SafePay: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

SafePay ist eine Ende 2024 aufgekommene Ransomware-Operation, die 2025 durch eine hohe Zahl gelisteter Opfer auffiel. Der Einstieg erfolgt häufig über gültige Zugangsdaten und RDP; anschließend Datendiebstahl und Verschlüsselung (Double Extortion).

Aktiv

Modell

Privates Kollektiv (zentral geführt, kein klassisches RaaS)

Auch bekannt als

SafePay Ransomware

Gegründet

2024

Entstanden aus

Nutzt geleakten LockBit-3.0-Quellcode (Bezüge zu ALPHV & INC)

Herkunft

Osteuropa (vermutet); nutzt LockBit-3.0-Codebasis

Zielsektoren

Industrie/Fertigung (stark), IT-Dienstleister, MSPs, KMU

Zielregionen

USA (~40 %), Deutschland (~20 %), UK, Kanada, global

Typisches Lösegeld

50.000 – 2 Mio. USD

Opferzahl

502 Opfer in 45 Ländern (Juni 2026). Deutschland stark betroffen: 24 % aller dt. Ransomware-Opfer in Q1 2025

File Extensions

.safepay

Ransom Note

readme_safepay.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
Fern-/VPN-Zugänge sperren und MFA erzwingen – SafePay kommt über VPN-Fehlkonfiguration und gestohlene Zugänge.
Backups sofort prüfen und offline/schreibgeschützt sichern.
Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.

⛔ Unbedingt vermeiden

Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
Verdächtige „IT-Support“-Anrufe (Teams/Quick Assist) nicht zulassen – SafePay nutzt Impersonation.
Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

Ingram Micro (Juli 2025, großer IT-Distributor, 3,5 TB gedroht)
Conduent (Feb. 2025, 8,5 TB gedroht)
Mehrere DACH-Industrieunternehmen (2024–2025)

Angriffstechniken (TTPs)

Initial Access: gestohlene/gekaufte Zugänge (IABs, Infostealer), RDP-Brute-Force, FortiGate-SSL-VPN-Fehlkonfiguration (MFA-Bypass); Ingram Micro via GlobalProtect-VPN.
- Social Engineering: IT-Impersonation via Microsoft Teams, Missbrauch von ScreenConnect/Quick Assist
- MITRE: T1078, T1190, T1219
Vorgehen: QDoor-Backdoor, UAC-Bypass (CMSTPLUA – LockBit-3.0-Erbe), Mimikatz, ShareFinder, PsExec.

Technologie & Malware

Verschlüsselung: ChaCha20 (LockBit-Black-Linie), teils AES; pro Datei eindeutiger Schlüssel, per RSA/X25519 geschützt. Intermittierend, 65-Byte-Footer je Datei. Kein bekannter Decryptor.

Endung: .safepay. C2: Tor + TON (The Open Network).

Besonderheit: zentral geführt – eine Gruppe steuert Intrusion, Verschlüsselung, Verhandlung und Leak; gezieltes MSP-Targeting.

Indicators of Compromise (IOCs)

File Extension: .safepay
Ransom Note: readme_safepay.txt
C2-IPs: 45.91.201.247, 77.37.49.40, 80.78.28.63, 88.119.167.239
Tools: QDoor, ScreenConnect, ShareFinder.ps1; Herkunft LockBit-3.0-Leak

Was Unternehmen jetzt prüfen sollten

RDP nie ungeschützt exponieren; MFA erzwingen
Überwachung auf verdächtige Anmeldungen und LOLBins
Least Privilege und Netzwerksegmentierung
Offline-Backups

Wie Argos unterstützt

Identity-Monitoring und verhaltensbasierte 24/7-Erkennung im Cyber Defense Center fängt neue, signaturarme Gruppen wie SafePay früh ab.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →