CISA Adds Plex Media Server Flaws to Known Exploited Vulnerabilities Catalog
Oktober 20, 2026PHP2Shell: Kritische Sicherheitslücken erfordern sofortiges Patchen
Oktober 21, 2026Die Cybersecurity and Infrastructure Security Agency (CISA) und das Federal Bureau of Investigation (FBI) haben am 20. Oktober 2026 eine gemeinsame Cybersecurity Advisory veröffentlicht, die vor der Ransomware-Gruppe SafePay warnt. Seit August 2024 haben die Angreifer mehr als 600 separate Opfer aus verschiedenen Sektoren der kritischen Infrastruktur in Nordamerika, Südamerika, Europa und Australien betroffen. SafePay zählte 2026 zu den aktivsten Ransomware-Gruppen und nutzt dabei eine Kombination aus Schwachstellenausnutzung, gestohlenen Zugangsdaten und Phishing, um in Netzwerke einzudringen.
Die Angreifer nutzen spezifische Schwachstellen in Edge-Geräten und internet-exponierten Systemen für den initialen Zugriff. Zu den ausgenutzten Common Vulnerabilities and Exposures (CVEs) gehören CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 und CVE-2024-40766. Nach dem Eindringen etablieren die Täter ihre Präsenz durch die Nutzung legitimer Systemtools, sogenannte Living-off-the-Land-Techniken (LOTL). Dazu gehören PsExec, Windows Remote Management (WinRM) und PowerShell-Skripte wie ShareFinder.ps1, um sich lateral im Netzwerk zu bewegen und wertvolle Dateien zu identifizieren.
Für die Datenexfiltration und Verschlüsselung setzen SafePay-Akteure legitime Tools wie FileZilla, 7-Zip, RClone und WinRAR ein. Die Verschlüsselung erfolgt mittels eines hybriden Schemas, das den ChaCha20-Stream-Cipher mit einem RSA-Public-Key-System kombiniert. Die verschlüsselten Dateien erhalten die Endung .SafePay. Die Täter fordern Lösegeld in Kryptowährung und drohen mit der Veröffentlichung gestohlener Daten auf einer Leak-Website, falls nicht gezahlt wird. Zudem deaktivieren sie Sicherheitssoftware und löschen Backups, um die Wiederherstellung zu verhindern.
Die Behörden empfehlen Organisationen, Systeme regelmäßig zu patchen, insbesondere Firewalls und andere Edge-Geräte. Es wird zur Implementierung des Zero-Trust-Prinzips und zur Einschränkung administrativer Tools und Privilegien geraten. Zur Stärkung der Kontensicherheit sollen Identity-, Credential- und Access-Management-Policies (ICAM) sowie Multifaktor-Authentifizierung (MFA) eingeführt werden. Indikatoren für Kompromittierungen (IOCs) stehen als STIX XML und JSON zur Verfügung.
