Die Erpressergruppe, die zuerst Ihre Sicherungsfestplatte auf Werkszustand setzt
Die meiste Erpressersoftware verschlüsselt Ihre Dateien. SafePay macht sich zuerst auf die Suche nach den Kopien. Die gemeinsame Warnung vom 20. Oktober von CISA, FBI, dem US Secret Service, dem Landeskriminalamt Rheinland-Pfalz und der britischen National Crime Agency beschreibt die Reihenfolge: den Volumeschattenkopie-Dienst anhalten, jedes erreichbare Netzwerkspeichergerät auf Werkseinstellungen zurücksetzen und erst dann mit dem Verschlüsseln beginnen. Die Dateien kommen mit der Endung .SafePay zurück, und es gibt keinen Weg, sie zu öffnen.
Die Größenordnung: mindestens 600 Opfer in Nordamerika, Südamerika, Europa und Australien seit August 2024, was die Behörden als Untergrenze und nicht als Obergrenze bezeichnen, weil die Gruppe nur jene Opfer nennt, die nicht zahlen. SafePay arbeitet als geschlossene Truppe, statt die Schadsoftware an Partner zu vermieten, und kommt über geleakte Passwörter, Brute-Force-Angriffe, Phishing sowie ungepatchte VPN- und Firewall-Geräte am Netzwerkrand herein. Die Warnung erwähnt Angreifer, die über Adressen des VPN-Anbieters Mullvad verbunden waren, was beschreibt, woher die Eindringlinge kamen, und kein Problem bei Mullvad oder bei dessen Nutzern bedeutet.
Sie betreiben keine kritische Infrastruktur, aber Sie besitzen beides, was SafePay zerstört. Auf Volumeschattenkopien stützen sich still und leise der Dateiversionsverlauf und das Wiederherstellen früherer Versionen. Und in vielen Haushalten liegt mittlerweile jedes jemals aufgenommene Foto auf einem NAS-Kästchen im Schrank, dauerhaft eingeschaltet und dauerhaft verbunden, also genau auf dem Gerät, das gelöscht wird. Eine Sicherung, die immer angeschlossen ist, ist eine Sicherung, an die ein Angreifer herankommt. Der Satz der CISA ist eine Wiederholung wert: Lösegeld zu zahlen garantiert keine Rückgabe der Dateien.
Die Antwort ist unspektakulär. Tendvanes Sicherung mit einem Klick kopiert Dokumente, Bilder und Desktop auf ein Laufwerk Ihrer Wahl, und wenn Sie dieses Laufwerk danach abziehen, kommt nichts im Netzwerk mehr daran.