SafePay Ransomware: un esquema de extorsión digital que toma archivos como rehenes

La mecánica del ransomware SafePay

SafePay Ransomware es un tipo de herramienta de extorsión digital diseñada para cifrar los archivos de las víctimas, haciéndolos inaccesibles hasta que se pague un rescate. Al igual que otras amenazas de ransomware, se dirige a empresas y particulares, bloqueando datos cruciales y exigiendo un pago a cambio de la restauración. Esta cepa en particular deja una marca distintiva en los archivos comprometidos al agregar ".safepay" a sus nombres. Por ejemplo, un archivo originalmente llamado "document.pdf" se renombraría "document.pdf.safepay", lo que indicaría que está cifrado.

Además de cifrar los archivos, SafePay genera una nota de rescate titulada "readme_safepay.txt", que proporciona a las víctimas instrucciones sobre cómo comunicarse con los atacantes. La nota afirma que el ataque fue posible gracias a "errores de configuración de seguridad" en la red de la víctima. Los cibercriminales afirman haber robado datos confidenciales y amenazan con filtrarlos a menos que se cumplan sus exigencias.

Esto es lo que dice la nota de rescate:

Greetings! Your corporate network was attacked by SafePay team.

Your IT specialists made a number of mistakes in setting up the security of your corporate network, so we were able to spend quite a long period of time in it and compromise you.

It was the misconfiguration of your network that allowed our experts to attack you, so treat this situation as simply as a paid training session for your system administrators.

We’ve spent the time analyzing your data, including all the sensitive and confidential information. As a result, all files of importance have been encrypted and the ones of most interest to us have been stolen and are now stored on a secure server for further exploitation and publication on the Web with an open access.

Now we are in possession of your files such as: financial statements, intellectual property, accounting records, lawsuits and complaints, personnel and customer files, as well as files containing information on bank details, transactions and other internal documentation.

Furthermore we successfully blocked most of the servers that are of vital importance to you, however upon reaching an agreement, we will unlock them as soon as possible and your employees will be able to resume their daily duties.

We are suggesting a mutually beneficial solution to that issue. You submit a payment to us and we keep the fact that your network has been compromised a secret, delete all your data and provide you with the key to decrypt all your data.

In the event of an agreement, our reputation is a guarantee that all conditions will be fulfilled. No one will ever negotiate with us later on if we don't fulfill our part and we recognise that clearly! We are not a politically motivated group and want nothing more than money. Provided you pay, we will honour all the terms we agreed to during the negotiation process.

In order to contact us, please use chat below, you have 14 days to contact us, after this time a blog post will be made with a timer for 3 days before the data is published and you will no longer be able to contact us.

To contact us follow the instructions:

1) Install and run “Tor Browser” from hxxps://www.torproject.org/download/

2) Go to -

Reserve Link: -

3) Log in with ID: -

Contact and wait for a reply, we guarantee that we will reply as soon as possible, and we will explain everything to you once again in more detail.

---

Our blog:

-

-

Our TON blog:

tonsite://safepay.ton

You can connect through your Telegramm account.

Demandas de rescate y tácticas de extorsión

A diferencia de algunas amenazas de ransomware que solo se centran en el cifrado de archivos, SafePay adopta un enfoque más agresivo al incorporar la exfiltración de datos en su estrategia de ataque. Los atacantes afirman haber extraído registros financieros, propiedad intelectual, información personal y de clientes, datos bancarios y documentos legales. Utilizan estos datos robados como herramienta y advierten a las víctimas que, si no cumplen con las normas, sus archivos confidenciales quedarán expuestos al público.

Las víctimas tienen un plazo estricto de 14 días para iniciar el contacto a través de la red Tor. Si no se produce ninguna comunicación en ese plazo, los atacantes aumentan la presión publicando una entrada en un blog en la que anuncian la filtración de datos. Esta entrada incluye una cuenta atrás de tres días antes de que se publiquen los archivos robados, lo que obliga aún más a las víctimas a pagar el rescate.

Los riesgos de pagar el rescate

Si bien pagar el rescate puede parecer la forma más rápida de recuperar el acceso a los archivos cifrados, conlleva riesgos importantes. Los cibercriminales no tienen obligación de cumplir sus promesas y no hay garantía de que proporcionen una herramienta de descifrado que funcione después de recibir el pago. Además, financiar a los operadores de ransomware los alienta a continuar con sus ataques, lo que hace que más víctimas caigan presas de esquemas similares.

La mejor alternativa al pago del rescate es mantener copias de seguridad seguras y actualizadas de los archivos importantes. Sin embargo, incluso con copias de seguridad, es fundamental eliminar el ransomware del sistema afectado. Si no se hace esto, es posible que se sigan cifrando los archivos nuevos o restaurados, lo que hace que el proceso de copia de seguridad sea ineficaz.

Cómo se propagan las amenazas de ransomware

Al igual que muchas otras amenazas (por ejemplo, Cloak Ransomware o CmbLabs Ransomware ), SafePay Ransomware se basa en múltiples tácticas de distribución para infiltrarse en los sistemas. Los cibercriminales suelen emplear correos electrónicos engañosos camuflados en correspondencia legítima para engañar a los destinatarios y hacer que abran archivos adjuntos maliciosos o hagan clic en enlaces peligrosos. Estos correos electrónicos de phishing pueden hacerse pasar por facturas, confirmaciones de envío o mensajes urgentes que requieren atención inmediata.

Otro método de infección común son las vulnerabilidades del software. Los sistemas operativos o aplicaciones obsoletos proporcionan un punto de entrada para que los atacantes implementen ransomware sin necesidad de interacción del usuario. Además, SafePay y otras amenazas similares pueden estar integradas en software pirateado, generadores de claves y programas pirateados, infectando los sistemas tan pronto como se ejecutan.

Medidas preventivas contra el ransomware

Para protegerse contra el ransomware es necesario adoptar un enfoque proactivo en materia de ciberseguridad. Los usuarios deben ser cautelosos al interactuar con correos electrónicos de remitentes desconocidos y evitar los archivos adjuntos y enlaces no solicitados. Descargar software solo de fuentes oficiales y mantener todas las aplicaciones actualizadas ayuda a minimizar el riesgo de ataques basados en exploits.

Además, la práctica de hábitos de navegación seguros (como evitar anuncios sospechosos, ventanas emergentes y sitios web engañosos) reduce las posibilidades de ser víctima de estafas en línea. Realizar copias de seguridad periódicas de los archivos importantes en un almacenamiento seguro sin conexión garantiza que, incluso en caso de ataque, la recuperación de datos siga siendo posible sin tener que pagar rescates.

Reflexiones finales

SafePay Ransomware es un ejemplo de una tendencia creciente en la extorsión cibernética, en la que los atacantes combinan el cifrado de archivos con el robo de datos para presionar a las víctimas a pagar cuantiosos rescates. Si bien las exigencias de rescate pueden resultar intimidantes, el cumplimiento de las normas es riesgoso y no garantiza la recuperación de los datos. En cambio, tomar medidas preventivas (como mantener copias de seguridad, aplicar actualizaciones de seguridad y tener cuidado en línea) sigue siendo la mejor defensa contra las amenazas de ransomware.