CISA warnt: SafePay-Ransomware hat über 600 Organisationen getroffen und Backup-Systeme zerstört

Was passiert ist

Die CISA warnt, dass Akteure der Ransomware SafePay (Software, die Dateien sperrt und Lösegeld fordert) mindestens 600 Organisationen in mehreren kritischen Infrastruktursektoren kompromittiert haben. Sie kombinieren Datendiebstahl und Verschlüsselung (das Verwürfeln von Daten, sodass nur der Inhaber des Schlüssels sie lesen kann) mit gezielten Angriffen auf Backup-Systeme, um die Wiederherstellung zu behindern.

Ermittler beobachteten Verbindungen, die von IP-Adressen des Mullvad VPN (einem Dienst, der eine Verbindung über ein anderes Netzwerk leitet) ausgingen, ebenso wie den Missbrauch kompromittierter Kontoprofile und automatisierter Exploit-Skripte. Die Warnung nennt fünf ausgenutzte Schwachstellen: CVE-2020-3259 (die öffentliche Katalognummer einer bestimmten Softwarelücke), CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 und CVE-2024-40766.

Die gemeinsame Warnung vom 20. Oktober 2026 beschreibt Aktivitäten, die seit August 2024 Nordamerika, Südamerika, Europa und Australien umfassen. Cyber Security News Ransomware, 2 Min.

Veröffentlicht wurde sie gemeinsam mit dem FBI, dem United States Secret Service sowie deutschen und britischen Strafverfolgungsbehörden, und sie berücksichtigt Ermittlungsergebnisse bis August 2026. Die Schwachstellen betreffen Informationspreisgabe, Authentifizierungsfehler, unsichere Deserialisierung und unzureichende Zugriffskontrollen.

CVE-2024-40711 ermöglicht die Remote-Code-Ausführung (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) ohne Authentifizierung durch die Deserialisierung nicht vertrauenswürdiger Daten und hat einen kritischen CVSS-Wert von 9,8. CVE-2024-40766 betrifft den Verwaltungszugriff von SonicWall SonicOS, wodurch potenziell unautorisierter Zugriff auf Ressourcen möglich ist und unter bestimmten Bedingungen Firewalls (eine Barriere, die entscheidet, welcher Netzwerkverkehr passieren darf) abstürzen können.