Alerta internacional sobre el ransomware SafePay y sus tácticas operativas

Las agencias de ciberseguridad de Estados Unidos (FBI, CISA, USSS), Alemania (Landeskriminalamt Rheinland-Pfalz) y el Reino Unido (National Crime Agency, North West Regional Organised Crime Unit) han publicado una alerta conjunta sobre la actividad del grupo de ransomware SafePay. Este aviso, accesible en cisa.gov, detalla las tácticas, técnicas y procedimientos (TTPs), así como los indicadores de compromiso (IOCs), observados en las operaciones de SafePay desde agosto de 2024 hasta agosto de 2026.

Desde su aparición en agosto de 2024, el grupo SafePay ha mantenido una alta actividad, impactando a al menos 600 víctimas en diversos sectores, incluida la infraestructura crítica, a lo largo de Norteamérica, Sudamérica, Europa y Australia. Fue identificado como uno de los grupos de ransomware más activos en 2026.

Los actores de SafePay obtienen acceso inicial a las redes mediante el robo o la adivinación de contraseñas, ataques de phishing y la explotación de vulnerabilidades en sistemas de seguridad. El aviso destaca la explotación de las siguientes vulnerabilidades conocidas: CVE-2020-3259 (Exposición de información sensible), CVE-2023-20269 (Omisión de autenticación), CVE-2023-27532 (Autenticación ausente para función crítica), CVE-2024-40711 (Deserialización de datos no confiables) y CVE-2024-40766 (Control de acceso inadecuado). Se ha observado que utilizan direcciones IP del proveedor de VPN "Mullvad" para el acceso inicial y scripts automatizados para la explotación.

Una vez dentro de la red, SafePay establece persistencia y se mueve lateralmente, creando o apoderándose de cuentas existentes y utilizando herramientas legítimas del sistema ("living off the land" o LOTL), como PsExec y Windows Remote Management (WinRM). También despliegan scripts como ShareFinder.ps1 y herramientas como SharpShares.exe para identificar archivos valiosos, deshabilitan protecciones de seguridad y en ocasiones cambian contraseñas de usuarios legítimos para impedir el acceso. Para la escalada de privilegios, se observó el uso de técnicas de bypass de Control de Cuentas de Usuario (UAC) y suplantación de tokens.

La fase de impacto implica la exfiltración y el cifrado de datos. SafePay utiliza herramientas como 7-Zip, FileZilla, RClone, WinRAR, WinSCP y, en algunos casos, OneDrive para comprimir y extraer información. Posteriormente, detienen el servicio de instantáneas de volumen (Volume Shadow Copy Service) y resetean sistemas de almacenamiento en red (NAS) para obstaculizar la recuperación. El cifrado se realiza con un esquema híbrido que combina ChaCha20 y RSA, añadiendo la extensión .SafePay a los archivos afectados. La demanda de rescate se presenta en una nota en el sistema de la víctima, dirigida a un portal en la red Tor, y se complementa con llamadas telefónicas. En caso de no pago, los datos exfiltrados se publican en un sitio web de filtraciones de SafePay.

Las agencias autoras instan a las organizaciones a implementar medidas de seguridad para mitigar el riesgo y el impacto de estos ataques. Entre las recomendaciones clave se incluyen la aplicación regular de parches y actualizaciones, priorizando las vulnerabilidades conocidas y explotadas (KEVs) en sistemas expuestos a internet. Es fundamental implementar políticas de gestión de identidad, credenciales y acceso (ICAM), así como la autenticación multifactor (MFA) para todos los servicios, especialmente para VPNs y cuentas críticas. Reforzar la seguridad de las cuentas con contraseñas robustas y la adopción de principios de privilegio mínimo, incluyendo el acceso Just-in-Time (JIT) para cuentas administrativas, son también pasos esenciales. Además, se aconseja mantener copias de seguridad offline, cifradas e inmutables, segmentar la red para contener posibles incidentes, monitorizar el tráfico para detectar actividad anómala con herramientas EDR, y restringir las herramientas y permisos administrativos a los usuarios estrictamente necesarios.