SafePay Ransomware: Um esquema de extorsão digital que mantém arquivos como reféns

A mecânica do SafePay Ransomware

SafePay Ransomware é um tipo de ferramenta de extorsão digital projetada para criptografar os arquivos das vítimas, tornando-os inacessíveis até que um resgate seja pago. Como outras ameaças de ransomware, ele tem como alvo empresas e indivíduos, bloqueando dados cruciais e exigindo pagamento em troca de restauração. Essa cepa em particular deixa uma marca distinta nos arquivos comprometidos ao anexar ".safepay" aos seus nomes. Por exemplo, um arquivo originalmente chamado "document.pdf" seria renomeado "document.pdf.safepay", sinalizando sua criptografia.

Além de criptografar arquivos, o SafePay gera uma nota de resgate intitulada "readme_safepay.txt", que fornece às vítimas instruções sobre como se comunicar com os invasores. A nota afirma que o ataque foi possível devido a "configurações incorretas de segurança" na rede da vítima. Os cibercriminosos alegam ter roubado dados confidenciais e ameaçam vazá-los a menos que suas exigências sejam atendidas.

Aqui está o que diz a nota de resgate:

Greetings! Your corporate network was attacked by SafePay team.

Your IT specialists made a number of mistakes in setting up the security of your corporate network, so we were able to spend quite a long period of time in it and compromise you.

It was the misconfiguration of your network that allowed our experts to attack you, so treat this situation as simply as a paid training session for your system administrators.

We’ve spent the time analyzing your data, including all the sensitive and confidential information. As a result, all files of importance have been encrypted and the ones of most interest to us have been stolen and are now stored on a secure server for further exploitation and publication on the Web with an open access.

Now we are in possession of your files such as: financial statements, intellectual property, accounting records, lawsuits and complaints, personnel and customer files, as well as files containing information on bank details, transactions and other internal documentation.

Furthermore we successfully blocked most of the servers that are of vital importance to you, however upon reaching an agreement, we will unlock them as soon as possible and your employees will be able to resume their daily duties.

We are suggesting a mutually beneficial solution to that issue. You submit a payment to us and we keep the fact that your network has been compromised a secret, delete all your data and provide you with the key to decrypt all your data.

In the event of an agreement, our reputation is a guarantee that all conditions will be fulfilled. No one will ever negotiate with us later on if we don't fulfill our part and we recognise that clearly! We are not a politically motivated group and want nothing more than money. Provided you pay, we will honour all the terms we agreed to during the negotiation process.

In order to contact us, please use chat below, you have 14 days to contact us, after this time a blog post will be made with a timer for 3 days before the data is published and you will no longer be able to contact us.

To contact us follow the instructions:

1) Install and run “Tor Browser” from hxxps://www.torproject.org/download/

2) Go to -

Reserve Link: -

3) Log in with ID: -

Contact and wait for a reply, we guarantee that we will reply as soon as possible, and we will explain everything to you once again in more detail.

---

Our blog:

-

-

Our TON blog:

tonsite://safepay.ton

You can connect through your Telegramm account.

Pedidos de resgate e táticas de extorsão

Ao contrário de algumas ameaças de ransomware que focam apenas na criptografia de arquivos, a SafePay adota uma abordagem mais agressiva ao incorporar a exfiltração de dados em sua estratégia de ataque. Os invasores afirmam que extraíram registros financeiros, propriedade intelectual, informações pessoais e de clientes, detalhes bancários e documentos legais. Eles usam esses dados roubados como alavanca, alertando as vítimas de que a falha em cumprir resultará na exposição pública de seus arquivos confidenciais.

As vítimas recebem um prazo estrito — 14 dias para iniciar o contato pela rede Tor. Se nenhuma comunicação for feita dentro desse período, os invasores aumentam a pressão publicando uma postagem de blog anunciando a violação de dados. Esta postagem inclui uma contagem regressiva de três dias antes que os arquivos roubados sejam liberados, coagindo ainda mais as vítimas a pagar o resgate.

Os riscos de pagar o resgate

Embora pagar o resgate possa parecer a maneira mais rápida de recuperar o acesso a arquivos criptografados, isso traz riscos significativos. Os criminosos cibernéticos não têm obrigação de cumprir suas promessas, e não há garantia de que eles fornecerão uma ferramenta de descriptografia funcional após receber o pagamento. Além disso, financiar operadores de ransomware os encoraja a continuar seus ataques, levando mais vítimas a serem vítimas de esquemas semelhantes.

A melhor alternativa ao pagamento do resgate é manter backups seguros e atualizados de arquivos importantes. No entanto, mesmo com backups, remover o ransomware de um sistema afetado é crucial. Não fazer isso pode resultar na criptografia contínua de arquivos novos ou restaurados, tornando o processo de backup ineficaz.

Como as ameaças de ransomware se espalham

Como muitas outras ameaças (por exemplo, Cloak Ransomware ou CmbLabs Ransomware ), o SafePay Ransomware depende de várias táticas de distribuição para se infiltrar em sistemas. Os criminosos cibernéticos geralmente empregam e-mails enganosos disfarçados de correspondência legítima para enganar os destinatários a abrir anexos maliciosos ou clicar em links perigosos. Esses e-mails de phishing podem se passar por faturas, confirmações de envio ou mensagens urgentes que exigem atenção imediata.

Outro método comum de infecção envolve vulnerabilidades de software. Sistemas operacionais ou aplicativos desatualizados fornecem um ponto de entrada para invasores implantarem ransomware sem exigir interação do usuário. Além disso, SafePay e ameaças semelhantes podem estar embutidas em software pirateado, geradores de chaves e programas crackeados, infectando sistemas assim que são executados.

Medidas preventivas contra ransomware

Manter-se protegido contra ransomware requer uma abordagem proativa à segurança cibernética. Os usuários devem ser cautelosos ao interagir com e-mails de remetentes desconhecidos, evitando anexos e links não solicitados. Baixar software apenas de fontes oficiais e manter todos os aplicativos atualizados ajuda a minimizar o risco de ataques baseados em exploração.

Além disso, praticar hábitos de navegação seguros — como evitar anúncios suspeitos, pop-ups e sites enganosos — reduz as chances de ser vítima de golpes online. Fazer backup regularmente de arquivos importantes para proteger o armazenamento offline garante que, mesmo em caso de ataque, a recuperação de dados continue possível sem cumprir com as exigências de resgate.

Considerações finais

SafePay Ransomware é um exemplo de uma tendência crescente em extorsão cibernética, onde os invasores combinam criptografia de arquivos com roubo de dados para pressionar as vítimas a pagar resgates altos. Embora suas exigências de resgate possam ser intimidantes, a conformidade é arriscada e não garante a recuperação de dados. Em vez disso, tomar medidas preventivas — como manter backups, aplicar atualizações de segurança e ter cautela online — continua sendo a melhor defesa contra ameaças de ransomware.