SafePay

┌──────────────────────────────────────────────────────┐
│           SafePay 集中化封闭运营模式                    │
├──────────────────────────────────────────────────────┤
│                                                        │
│  与 RaaS 模式对比：                                    │
│                                                        │
│  RaaS 模式：           SafePay 模式：                   │
│  ├── 大量附属机构       ├── 单一核心团队                │
│  ├── 代码泄露风险高     ├── 代码泄露风险极低            │
│  ├── 执法渗透风险高     ├── 执法渗透风险极低            │
│  ├── TTPs 不一致       ├── TTPs 高度一致                │
│  └── 利润分成           └── 独占全部利润                │
│                                                        │
│  Conti 传承：                                          │
│  ├── 标准 Conti TTPs                                   │
│  ├── 垃圾邮件钓鱼 + 自定义加载器                       │
│  ├── ESXi 平台攻击                                     │
│  └── 可能包含 Conti 前成员                             │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│           SafePay 24小时攻击周期                       │
├──────────────────────────────────────────────────────┤
│                                                        │
│  T+0h   侦察（Shodan/Apollo OSINT）                   │
│  T+1h   初始访问（凭证/漏洞/社会工程）                 │
│  T+3h   持久化（QDoor/ScreenConnect）                  │
│  T+5h   权限提升（CMSTPLUA COM）                       │
│  T+8h   发现（Invoke-ShareFinder）                     │
│  T+10h  横向移动（PsExec/WinRM/RDP）                   │
│  T+14h  数据窃取（WinRAR 5GB分卷 + Rclone）           │
│  T+18h  防御规避（终止安全进程/删除卷影副本）          │
│  T+20h  加密部署（AES-256-CBC + RSA-4096）            │
│  T+24h  完成                                           │
│                                                        │
└──────────────────────────────────────────────────────┘

C:\ProgramData\<8位随机>\encryptor.exe
C:\ProgramData\<8位随机>\system.exe
C:\ProgramData\<8位随机>\sliver.bat
C:\ProgramData\rclone\*
C:\temp\* / C:\temp2\*

Shodan/Apollo 侦察 → 受损凭证/FortiGate/社会工程
    ↓
QDoor 后门 + ScreenConnect（持久化）
    ↓
CMSTPLUA COM（UAC 绕过）
    ↓
Invoke-ShareFinder（网络发现）
    ↓
PsExec / WinRM / RDP（横向移动）
    ↓
WinRAR 5GB分卷 + Rclone/FileZilla（数据外传）
    ↓
终止安全/业务进程 + 删除卷影副本
    ↓
SafePay 载荷（AES-256-CBC + RSA-4096 + .safepay 扩展名）

title: SafePay - Suspicious File Creation in ProgramData
id: sp001-file-creation
status: experimental
description: 检测 SafePay 在 ProgramData 随机目录创建可疑文件
logsource:
  category: file_event
  product: windows
detection:
  selection:
    TargetFilename|contains: '\ProgramData\'
    TargetFilename|endswith:
      - '\encryptor.exe'
      - '\system.exe'
      - '\sliver.bat'
  condition: selection
level: critical
tags:
  - attack.execution
  - attack.t1059

title: SafePay - CMSTPLUA UAC Bypass
id: sp002-uac-bypass
status: experimental
description: 检测通过 CMSTPLUA COM 接口绕过 UAC 的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\DllHost.exe'
    CommandLine|contains: 'CMSTPLUA'
  condition: selection
level: high
tags:
  - attack.privilege_escalation
  - attack.t1548.002

title: SafePay - Security Process Termination
id: sp003-security-termination
status: experimental
description: 检测 SafePay 终止安全软件和备份服务的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains:
      - 'net stop'
    CommandLine|contains|any:
      - 'Sophos'
      - 'Veeam'
      - 'backup'
      - 'GxVss'
      - 'sqlsvc'
      - 'msexchange'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1562.001

rule SafePay_Ransomware {
    meta:
        description = "检测 SafePay 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-07-01"
        reference = "SafePay centralized ransomware"
    strings:
        $s1 = ".safepay" ascii
        $s2 = "readme_safepay.txt" ascii
        $s3 = "SafePay" ascii
        $s4 = "QDoor" ascii
        $s5 = "vssadmin delete shadows" ascii
        $s6 = "CMSTPLUA" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}