ARTICLE / 安全

SafePay

Updated
Reading time
5 min

报告编号: TIR-2026-0701-017 | 分类等级: TLP:AMBER | 发布日期: 2026年7月1日 | 情报来源: 多源交叉验证（OSINT + Ransom-DB + Picus Labs + CYFIRMA + Check Point + ThreatLocker + Xcitium + Blackpoint Cyber + Barracuda + Halcyon Q1-Q2-2025）

一、执行摘要

SafePay 是2024年9-10月快速崛起的集中化、非 RaaS 模式勒索组织。该组织采用双重勒索策略，以后 Conti 时代的专业团队运营，从入侵到加密通常在 24小时内完成。截至2026年3月，Ransom-DB 已追踪到超过 403 名确认受害者，主要分布在美国（182）、德国（62）、加拿大（24）和英国（21）。

SafePay 最显著的特征是其集中化封闭运营模式——不采用 RaaS 模式，严格控制基础设施、谈判流程和利润，最大限度降低代码泄露和执法渗透风险。2025年5月，SafePay 以单月70次攻击成为全球最活跃勒索软件组织，占全球勒索攻击总量的18%。2025年12月29日，该组织创下单日10起攻击的纪录。该组织使用 AES-256-CBC + RSA-4096 加密方案，加密文件追加 .safepay 扩展名。

关键发现

维度关键指标
组织规模403+ 受害者
首要目标美国（182），德国（62），加拿大（24），英国（21）
加密方式AES-256-CBC + RSA-4096
首要入口受损凭证、FortiGate 漏洞、社会工程（邮件轰炸+Teams冒充）
商业模式集中化封闭运营（非 RaaS）
攻击速度入侵到加密 ≤ 24小时
文件扩展名.safepay
勒索信readme_safepay.txt
关联工具QDoor 后门（与 BlackSuit 关联）、ScreenConnect
解密可能性不存在（无公开解密工具）
当前状态活跃（Frontrunner Q1-Q2-2025）

威胁等级评估

评估维度等级说明
技术能力🔴 极高Conti TTPs、QDoor 后门、CMSTPLUA UAC 绕过、UPX 加壳
运营成熟度🔴 极高集中化封闭运营、24小时攻击周期、假日战术选择
攻击规模🔴 极高403+ 受害者，单月70次攻击峰值
目标针对性🟠 高行业无差别（零售/医疗/IT/政府/制造）
数据泄露风险🔴 极高双重勒索 + WinRAR/Rclone/FileZilla 多渠道外传

二、威胁行为者画像

2.1 组织标识

属性值
官方名称SafePay
组织类型集中化封闭运营（非 RaaS）
活跃周期2024年9月 – 至今
主要语言英语（勒索信/谈判）
地理归属东欧/亚洲（CIS kill switch 证据）
攻击目标全球（美国/德国/加拿大/英国为主）
动机经济利益

2.2 运营模式

┌──────────────────────────────────────────────────────┐
│           SafePay 集中化封闭运营模式                    │
├──────────────────────────────────────────────────────┤
│                                                        │
│  与 RaaS 模式对比：                                    │
│                                                        │
│  RaaS 模式：           SafePay 模式：                   │
│  ├── 大量附属机构       ├── 单一核心团队                │
│  ├── 代码泄露风险高     ├── 代码泄露风险极低            │
│  ├── 执法渗透风险高     ├── 执法渗透风险极低            │
│  ├── TTPs 不一致       ├── TTPs 高度一致                │
│  └── 利润分成           └── 独占全部利润                │
│                                                        │
│  Conti 传承：                                          │
│  ├── 标准 Conti TTPs                                   │
│  ├── 垃圾邮件钓鱼 + 自定义加载器                       │
│  ├── ESXi 平台攻击                                     │
│  └── 可能包含 Conti 前成员                             │
│                                                        │
└──────────────────────────────────────────────────────┘

三、归因分析

3.1 地理归属

证据类型详情置信度
CIS kill switch早期样本包含独联体语言检测终止开关高
Conti TTPs使用标准 Conti 战术技术程序中-高
QDoor 后门使用与 BlackSuit 关联的后门工具中
kill switch 移除后续版本移除 CIS 检测，扩大攻击范围中

四、技术能力评估

4.1 加密方案

属性值
对称加密AES-256-CBC
非对称加密RSA-4096
文件扩展名.safepay
勒索信readme_safepay.txt
加壳工具UPX
执行方式regsvr32.exe / rundll32.exe（LOLBins）
互斥体确保每台主机仅运行一个加密实例

4.2 攻击链速度

┌──────────────────────────────────────────────────────┐
│           SafePay 24小时攻击周期                       │
├──────────────────────────────────────────────────────┤
│                                                        │
│  T+0h   侦察（Shodan/Apollo OSINT）                   │
│  T+1h   初始访问（凭证/漏洞/社会工程）                 │
│  T+3h   持久化（QDoor/ScreenConnect）                  │
│  T+5h   权限提升（CMSTPLUA COM）                       │
│  T+8h   发现（Invoke-ShareFinder）                     │
│  T+10h  横向移动（PsExec/WinRM/RDP）                   │
│  T+14h  数据窃取（WinRAR 5GB分卷 + Rclone）           │
│  T+18h  加密测试（灰度验证，排除关键系统目录）       │
│  T+20h  批量下发（计划任务/PsExec/WinRM/域策略）     │
│  T+21h  加密执行 + 勒索信投放                        │
│  T+23h  泄露站预发布数据，谈判前施压                 │
│                                                      │
└──────────────────────────────────────────────────────┘

4.3 加密方案要点

组件实现说明
对称加密AES文件内容加密
非对称加密RSA会话密钥封装，私钥仅存运营者侧
交付形式DLL + LOLBinsregsvr32/rundll32 执行，无独立落地 EXE
平台覆盖Windows 为主Linux/ESXi 模块在附属版本中出现

集中化非 RaaS 运营使其代码未公开泄露，IoC 沉淀慢于同类——检测应更依赖攻击周期行为序列（OSINT 侦察→QDoor 持久化→CMSTPLUA 提权→Rclone 外传）而非样本特征。

五、防御建议

5.1 检测要点

  • Shodan/Apollo/Grep 等攻击面搜索 API 的异常调用（攻击前奏）
  • QDoor 后门与 ScreenConnect 合法远控的滥用组合
  • WinRAR 5GB 分卷 + Rclone 的批量外传行为

5.2 缓解与响应

  • 假设 24 小时被加密的极限节奏：入口告警必须直达产线值班响应
  • 收敛远控软件白名单，禁用未审批的 ScreenConnect/RustDesk 类工具

六、总结

SafePay 走的是"后 Conti 时代"的复古集中化路线：不卖源码、不招附属、全流程自控，以 24 小时极限攻击周期弥补产能。这一模式降低了代码泄露与渗透风险，也让传统的"样本驱动"情报失效——对它的有效防御是把攻击周期的每个阶段翻译成行为告警，用响应速度对冲其攻击速度。2025 年 SafePay 站群被查封后，其模式仍可能被继任组织复用，画像价值长期存在。

（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）

本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。