safepay

SafePay（safepay）は、2024年に登場したランサムウェアグループである。

Check Point は初の確認活動を2024年9月とし [s4][s5]、ThreatLocker は2024年11月ごろにセキュリティベンダーが把握したとする [s6]。RansomLook の初出記録は2024年11月20日である [s1]。Check Point は、LockBit と ALPHV の活動停止で生じた空白を、RansomHub や Akira などの既存勢力と SafePay のような新規参入者が埋めようと競っていると説明する [s4][s5]。メンバーや所在地に関する公開情報はなく、ダークウェブのフォーラムでの議論もほとんどないという [s4][s5]。ThreatLocker は、CIS 諸国の現・旧加盟国の組織を意図的には標的にしないことから、拠点は東欧またはアジアの可能性があると述べる [s6]。ランサムウェアのバイナリは2022年後半の LockBit と類似点があり、ALPHV や INC Ransom の要素も取り込んでいる [s4][s5]。ThreatLocker は初期サンプルに漏えい版 LockBit Black や Hive との類似があるとしつつ、暗号化ツールは独自開発の可能性が高いとする [s6]。初期サンプルにはキリル文字圏の言語を検出するキルスイッチがあり、ThreatLocker は東欧の国家支援の可能性に言及するが、このチェックは後のサンプルで削除された [s4][s6]。

初期侵入について、Check Point は、ダークウェブで購入したとみられる有効な認証情報と VPN ゲートウェイ経由のアクセスを挙げ、既知の VPN 脆弱性の悪用も予想している [s4][s5]。ThreatLocker は主な経路を VPN ゲートウェイ、ファイアウォール、リモートデスクトップゲートウェイなどエッジ機器の脆弱性とし、フィッシングや初期アクセスブローカー、公開された認証情報ダンプによる入手も挙げる [s6]。侵入後は Remote Desktop Protocol を起点とする多段階の手法を取り、LOLBins で Windows Defender などを無効化する [s4][s5]。ネットワークや SMB 共有を列挙し、PowerTools の ShareFinder.ps1 を使う [s6]。横展開は PSExec、WinRM、RDP、RMM ソフトなどで行い、必要ならトークン偽装で権限を昇格する [s6]。マルウェアは権限昇格、UAC バイパス、ネットワーク伝播を備えたモジュール設計である [s4][s5]。データの圧縮と持ち出しには WinRAR、7-Zip、Rclone、FileZilla、RDP クリップボードを使う [s4][s6]。感染端末ではミューテックスを生成して再実行を防ぎ、通常は被害者ごとに異なるものを使う [s6]。

暗号化後のファイルには .SafePay 拡張子が付き、身代金メモは readme_SafePay.txt である [s4][s5]。回復オプションの無効化とシャドウコピーの削除も行う [s4][s5]。ThreatLocker によれば、Volume Shadow Copy サービスの停止後にシャドウコピーとサードパーティ製バックアップが静かに削除される [s6]。二重脅迫では、復号ツールの代金に加え、データ削除のためにも支払いを求める [s6]。盗んだデータは支払いがなければリークサイトで公開すると脅す [s4][s5]。Check Point は、侵入から展開まで通常24時間未満と述べる [s4][s5]。被害者との連絡には The Open Network（TON）を使い、Tor のリークサイトとダークウェブ上のブログを運営している [s4][s5]。RansomLook は連絡手段を email とし、ハンドルとして VanessaCooke94@protonmail[.]com を記録している [s1]。

標的は公共・民間を問わず幅広い業種にわたる [s4][s5]。2025年の攻撃は米国、英国、ドイツに集中し、米国とドイツでは1日10件以上の波状攻撃も見られた [s4][s5]。ThreatLocker は主な標的国に米国、ドイツ、英国、オーストラリア、カナダを挙げる [s6]。2025年第1四半期のドイツでは、報告された被害者の24％が SafePay 関連で、Check Point はこれを単一グループとして国別で最高の割合とする [s4][s5]。初期の著名な事案は英国のテレマティクス企業 Microlise で、同社は2024年10月にインシデントを公表し、2024年11月に SafePay が1.2TB のデータを盗んだと主張して24時間以内の支払いを要求した [s4][s5]。ThreatLocker は、米国の IT 製品・サービス販売会社 Ingram Micro の3.5TB 超の内部データを公開すると脅したことが国際的に報じられたと述べる [s6]。

動向としては、2024年11月に報告された被害者の5％を SafePay が占めた [s4][s5]。2025年第1四半期には公に主張された被害者が77件となり、9番目に多いランサムウェアとなった [s4][s5]。ThreatLocker によれば、Tor のリークサイトで200組織超を主張しており、最も活発なグループの一つになった [s6]。同社は、より攻撃的な標的選定への転換について、Ingram Micro 事案の報道や法執行機関の圧力の高まりが一因の可能性があるとする [s6]。Check Point は、能力の全容評価のため調査が続いているとしている [s4][s5]。