SafePay Ransomware: Hinweis AA26-293A für Red Teams

Am 20. Oktober 2026 veröffentlichten die CISA, das FBI, der USSS sowie Partner aus Deutschland und dem Vereinigten Königreich den gemeinsamen Hinweis AA26-293A zu SafePay Ransomware. SafePay Ransomware bezeichnet die Operation und die Variante, die in diesem #StopRansomware-Hinweis beschrieben werden, mit beobachteter Aktivität seit August 2024 und mindestens 600 Opfern in mehreren Sektoren kritischer Infrastruktur.

Der offizielle Text liefert TTPs, Indikatoren und Mitigierungen aus Untersuchungen, die bis August 2026 reichen. Die CISA-Pressemitteilung vom 21. Oktober 2026 bestätigt dasselbe Bild und fasst praktische Schritte zur Risikosenkung zusammen, einschließlich der Kette rund um SafePay VPN Phishing CVE, die den Einstieg öffnet.

Für ein Red Team im Dienst der Verteidigung liegt der Wert des Hinweises nicht darin, den Angriff gegen Dritte zu wiederholen. Er liegt darin, die Kette in prüfbare Hypothesen zu übersetzen, nur in eigener Umgebung oder mit formeller schriftlicher Genehmigung, und jede Phase an Erkennungssignale sowie an Kontrollen zu binden, die das Blue Team messen kann.

Was der AA26-293A aussagt und wer den Hinweis unterzeichnet

Der AA26-293A stellt fest, dass Akteure von SafePay Ransomware seit August 2024 intensiv gegen Unternehmen und kritische Infrastruktur in den Amerikas, in Europa und in Australien vorgehen und dass die Gruppe 2026 zu den aktivsten zählte, mit mindestens 600 unterschiedlichen Opfern.

Die verfassenden Behörden sind das FBI, die CISA, der United States Secret Service, das Landeskriminalamt Rheinland-Pfalz, die National Crime Agency des Vereinigten Königreichs und die North West Regional Organised Crime Unit des Vereinigten Königreichs. Der Hinweis AA26-293A bei der CISA datiert die Veröffentlichung auf den 20. Oktober 2026, und die CISA-Pressemitteilung vom 21. Oktober 2026 spricht von rund 600 Opfern und zitiert Assistant Director Brett Leatherman von der FBI Cyber Division mit der Formulierung „more than 600 victims“.

Das Produkt SafePay Ransomware CISA beschreibt ein Muster, das Teams der Adversary Emulation kennen. Es umfasst Zugangsbeschaffung, Anlage oder Übernahme von Konten, Nutzung legitimer Werkzeuge für Bewegung, Abschalten von Schutzmaßnahmen, Dateiverschlüsselung und eine Lösegeldforderung in Kryptowährung. Die genannte Zielgruppe umfasst die zivile US-Bundesverwaltung, SLTT, kritische Infrastruktur und OT-Betreiber sowie defensive Analysten und Vulnerability-Manager.

In der Praxis verlange ich nach einem solchen Hinweis, dass der Übungsrahmen dem folgt, was die Behörden dokumentiert haben, und nicht dem Gerücht aus einem Forum. Wenn Opferzahl oder Geografie in einer späteren Aktualisierung ändern, bleibt die Vergleichsbasis der Text des AA26-293A und das Datum der Abfrage, nicht das kollektive Gedächtnis des Teams.

Wie SafePay Ransomware laut Hinweis den Erstzugriff erhält

Laut Hinweis erlangt SafePay Ransomware den Erstzugriff über exponierte Anmeldedaten, Passwort-Brute-Force, VPN-Missbrauch und Ausnutzung internetseitiger Systeme, inklusive Konto-Profilen aus Phishing und Verkehr, der mit IPs des VPN-Anbieters Mullvad in Verbindung gebracht wird.

In der vom AA26-293A genutzten MITRE ATT&CK Enterprise Version 20 erscheint das unter Initial Access (TA0001), mit Brute Force (T1110) und Exploitation of Public-Facing Application (T1190). Für Edge-Geräte listet der Hinweis CVE-2020-3259 und CVE-2023-20269. Für exponierte Systeme mit automatisierten Skripten nennt er CVE-2023-27532, CVE-2024-40711 und CVE-2024-40766. Die CISA priorisiert im AA26-293A die Behebung von KEV-Schwachstellen auf internetseitigen Systemen, ohne im CVE-Abschnitt Hersteller zu nennen.

Die AttackIQ-Analyse zum AA26-293A bestätigt denselben CVE-Block und die Rolle von Anmeldedaten sowie Phishing am Einstieg. Der Brandefense-Patch-Leitfaden zum Hinweis ordnet die ersten beiden CVEs Produkten von Cisco ASA/FTD zu, die folgenden zwei Veeam Backup & Replication und die letzte SonicWall SonicOS, jeweils gestützt auf Herstellerbulletins, weil der AA26-293A StopRansomware neben jeder CVE kein Produkt nennt. Das ist für defensives Red Teaming relevant, weil die Übungshypothese an Edge und Identität beginnt und nicht am Verschlüsselungs-Payload.

Der teuerste Fehler hier besteht darin, VPN und Firewall als bereits authentisiert und deshalb vertrauenswürdig zu behandeln. Wenn ein lokales Konto oder ein gephishtes Profil MFA umgeht, oder wenn eine Edge-CVE noch offen ist, wird der Rest der Kette von SafePay Ransomware vom Gedankenexperiment zum Incident-Zeitplan.

Welche TTPs der Hinweis auf MITRE ATT&CK abbildet

Der AA26-293A bildet die Aktivität von SafePay Ransomware auf Taktiken und Techniken von MITRE ATT&CK Enterprise Version 20 ab, und nur diese im Hinweis gelisteten IDs sollen autorisierte Emulation und Erkennungsregeln führen.

Nach dem Zugang beschreibt der Text Persistenz durch Manipulation bestehender Konten (T1098) oder Kontoanlage (T1136), Ausführung mit legitimen Binaries (T1218), PsExec über administrative Freigaben (T1021.002), WinRM (T1021.006) sowie PowerShell oder Shell (T1059.001, T1059.003). Genannte Werkzeuge umfassen ShareFinder.ps1 und SharpShares.exe zur Suche nach Freigaben. Bei Sammlung und Abfluss nennt der Hinweis Archivierung mit Utilities (T1560.001), Exfiltration über alternatives Protokoll (T1048) und über Webdienste wie OneDrive (T1567), mit beobachteter Nutzung von 7-Zip, FileZilla, RClone, WinRAR und WinSCP. Die SafeBreach-Zusammenfassung auf Security Boulevard bestätigt aus der ATT&CK-Tabelle des Hinweises die Hemmung der Wiederherstellung (T1490) und Verschlüsselung für Impact (T1486).

AttackIQ hält beim selben AA26-293A außerdem UAC-Bypass, Token-Impersonation, RDP, Mimikatz, DCSync-Artefakte sowie missbräuchliche Nutzung von ScreenConnect, AnyDesk und TeamViewer fest, dazu hybride Verschlüsselung mit ChaCha20 und RSA, die Erweiterung .SafePay, Lösegeldnotiz mit TOR-Chat, Telefonanrufe zur Druckausübung und die Drohung, Daten auf der Leak-Site zu veröffentlichen. Die CISA-Pressemitteilung beschreibt denselben Zyklus aus Diebstahl, Verschlüsselung und Zwang, inklusive direktem Telefonkontakt in manchen Fällen.

Viele meinen, es reiche, die Ransomware-Binary zu blockieren, und liegen meist falsch, weil der AA26-293A lange LOTL-Abschnitte vor der Verschlüsselung zeigt. Wenn die Telemetrie nur den Encryptor betrachtet, ist das Zeitfenster zur Eindämmung von SafePay Ransomware bereits vorbei.

Wie man die Kette in einer autorisierten Übung emuliert

Die Kette von SafePay Ransomware so zu emulieren, dass die Verteidigung davon profitiert, bedeutet, Hypothesen zu Zugang, Bewegung, Backup-Sabotage und Datenzwang in Labor oder isolierter Produktion zu prüfen, stets mit formeller schriftlicher Genehmigung, ohne Ziele Dritter auszunutzen und ohne funktionalen Exploit zu reproduzieren.

Das Übungsziel ist nicht der Beweis, dass das Red Team eindringt. Es ist der Beweis, ob die Organisation jede im AA26-293A gelistete Phase erkennt und eindämmt. Deshalb bleibt die Emulation auf Konzept- und Verhaltensebene, mit freigegebenen Werkzeugen, Testkonten und Erfolgskriterien, die das Blue Team vor dem Kickoff festlegt.

1. Den schriftlichen Umfang mit Systemen, Zeitfenstern, synthetischen Daten und Abbruchkriterien fixieren, den AA26-293A ausdrücklich als Bedrohungsmodell nennen und jede CVE-Ausnutzung mit armierbarem Payload außerhalb des kontrollierten Labors verbieten.
2. Identitäts- und VPN-Oberfläche mit Testkonten, verpflichtendem MFA und Prüfung lokaler Authentifizierung prüfen, die den zweiten Faktor umgeht, und Alarme zu Brute Force sowie anomalem Login messen, ohne das Internet Dritter zu scannen.
3. Laterale Bewegung nur mit bereits freigegebenen Utilities der Übungsumgebung emulieren, Artefakte erzeugen, die mit PsExec, WinRM und RDP aus dem Hinweis vergleichbar sind, und das SOC bitten zu klassifizieren, was gesehen oder übersehen wurde.
4. Freigaben-Entdeckung und Dateivorbereitung mit fiktiven Daten simulieren, ohne echte Kundendaten zu exfiltrieren, und prüfen, ob Alarme zu Massenkomprimierung und Sync-Clients greifen.
5. Die Hypothese der Wiederherstellungshemmung nur an verwerfbaren Kopien testen, nie am Produktionsbackup, und messen, ob das Continuity-Team den Verlust von Schattenkopien oder den Reset eines Labor-NAS rechtzeitig wahrnimmt.
6. Mit einem Tabletop zur SafePay doppelte Erpressung schließen, das Kommunikationsentscheidung, forensische Beweise und Wiederherstellung abdeckt, ohne mit realen Akteuren zu verhandeln und ohne TOR-Links aus Lösegeldnotizen als Betriebmaterial zu nutzen.

Die Grenze bleibt klar. Selbst eine gut geplante Übung garantiert nicht, dass ein realer Vorfall mit SafePay Ransomware eingedämmt wird, weil Telemetrie, menschliche Latenz und Produktionskonfiguration vom Labor abweichen. Ohne diesen Durchlauf entdeckt die Verteidigung die Lücke jedoch oft erst, wenn die Notiz .SafePay bereits auf dem Desktop liegt.

Wenn ich die Kampagne morgen aufsetzen würde, begänne ich bei Identität und Edge-KEV und erst danach bei der Emulation synthetischer Exfiltration. Zu frühes Verschlüsseln in der Übung lehrt wenig und verunsichert stark, ohne die Erkennungsreife zu verbessern.

Was in jeder Phase der Kette zu erkennen ist

Die Verteidigung sollte jede Phase von SafePay Ransomware mit expliziten Alarmhypothesen instrumentieren, weil der Hinweis eine lange LOTL-Kampagne beschreibt und nicht ein einziges offensichtliches Executable.

Beim Erstzugriff lohnen Spitzen fehlgeschlagener VPN-Authentifizierung, Logins mit frisch gephishten Profilen, Herkunft über den im Hinweis genannten kommerziellen VPN-Dienst und Versuche gegen noch ungepatchte Edge-Geräte. Bei Ausführung und Persistenz korreliere privilegierte Kontoanlage, Massenänderung gültiger Benutzerpasswörter und seltene Nutzung von PsExec, WinRM oder Remote-Access-Software außerhalb von Change-Fenstern. Bei Discovery behandle ShareFinder.ps1 und SharpShares.exe oder gleichwertiges Freigaben-Scanning im AD als Jagd nach Exfiltrationszielen. Bei Collection beobachte Komprimierung mit 7-Zip, WinRAR oder RClone auf Geschäftslaufwerken, gefolgt von Transfer über FileZilla, WinSCP oder OneDrive. Beim Impact priorisiere Stopp des Volume Shadow Copy Service, Reset von Backup-NAS und das Auftauchen der Erweiterung .SafePay, dazu Lösegeldnotizen auf Desktop oder Root.

Kein Signal allein beweist SafePay Ransomware. Zusammen und an die STIX-IOCs des AA26-293A gebunden erhöhen sie die Konfidenz genug, um Konto und Segment zu isolieren. Die versteckte Kostenstelle sind False Positives bei legitimer Administration. Deshalb muss die autorisierte Übung Allowlist und Change-Kontext kalibrieren, sonst lernt das SOC, den richtigen Alarm zu ignorieren.

In der Praxis sehe ich am häufigsten reiche Telemetrie am Endpunkt und schwache Sicht auf VPN sowie Backup. Gegen das Profil des AA26-293A macht diese Asymmetrie die Organisation genau dort blind, wo der Akteur entscheidet, ob Wiederherstellung noch existiert.

Warum Backup-Zerstörung und doppelte Erpressung die Reaktion ändern

Weil der Hinweis Akteure beschreibt, die vor dem Verschlüsseln exfiltrieren, Volume Shadow Copy und Backup-NAS sabotieren und zusätzlich per Telefon sowie Veröffentlichungsdrohung Druck ausüben, reicht „nur wiederherstellen“ nicht, wenn die Online-Kopie zerstört wurde oder der Leak bereits erfolgt ist.

Der AA26-293A hält fest, dass die Gruppe den Volume Shadow Copy Service stoppt und NAS mit Backup-Daten auf Werkseinstellungen zurücksetzt, eingeordnet als Inhibit System Recovery (T1490). Anschließend verschlüsselt sie mit ChaCha20 und RSA, fordert Zahlung in Kryptowährung und veröffentlicht bei Nichtzahlung auf der in der Notiz verknüpften Leak-Site. Die CISA-Pressemitteilung bestätigt das Muster Diebstahl plus Verschlüsselung und in manchen Fällen direkte Anrufe an Opfer. Das ist der Kern der SafePay doppelte Erpressung, wie ihn die Behörden beschreiben.

Für die Incident Response ändert das die Arbeitsreihenfolge. Neben der Eindämmung der Verschlüsselung müssen Exfiltrationsspuren gesichert, der mutmaßliche Abfluss geschätzt und Kommunikation rechtlich sowie vertraglich gesteuert werden, ohne anzunehmen, dass Zahlung Reputation wiederherstellt. Zahlung ist auch keine Garantie für saubere Entschlüsselung oder Löschung der gestohlenen Kopie, und technische Zusammenfassungen des Hinweises machen klar, dass mit der Variante .SafePay verschlüsselte Daten ohne Schlüssel des Akteurs nicht wiederhergestellt werden.

Den Weg, den ich mit den meisten Teams priorisiere, ist der Nachweis der Wiederherstellung aus einer Offline- und unveränderbaren Kopie vor dem Vorfall, und das Tabletop zum Leak als separates Ereignis neben der technischen Restauration. Wenn Backup nur im Segment liegt, das der Akteur bereits administriert hat, trifft der Zwang eine Organisation ohne Plan B.

Priorisierte Mitigierungen MFA, VPN, KEV und unveränderbare Backups

Die Mitigierungen SafePay Ransomware, die Hinweis und CISA-Mitteilung voranstellen, sind laufende Aktualisierung, MFA, prioritäres KEV-Patching internetseitiger Systeme, getestete Offline-Backups und Segmentierung, weil diese Maßnahmen die genutzten Eingänge und die Wirkungskette zur Erpressung durchschneiden.

Der AA26-293A fordert prioritäre KEV-Remediation, Zero Trust, Einschränkung administrativer Werkzeuge und Rechte sowie ICAM-Richtlinien mit MFA. Die Mitteilung vom 21. Oktober 2026 wiederholt MFA, Patch bekannter ausgenutzter Schwachstellen, Offline-Backups mit Restore-Test und Segmentierung. Zwei im Hinweis genannte CVEs standen bereits 2024 öffentlich im CISA-KEV-Katalog, was die historische Dringlichkeit von Edge und exponiertem Backup unterstreicht. Am 17. Oktober 2024 nahm die CISA CVE-2024-40711 in den KEV auf, und am 9. September 2024 folgte CVE-2024-40766. Das Veeam-Bulletin KB4649, veröffentlicht am 4. September 2024 und später aktualisiert, beschreibt CVE-2024-40711 als unauthentifizierte RCE mit CVSS v3.1 9.8 und Fix ab Build 12.2.0.334.

Diese Maßnahmen senken Wahrscheinlichkeit und Impact, beseitigen aber kein Restrisiko. Schlecht umgesetztes MFA scheitert weiterhin, wenn lokale Konten ohne zweiten Faktor existieren. Verspätetes Patchen am Appliance lässt T1190 offen. Unveränderbares Backup ohne Restore-Beweis wird in der Krise zur Fiktion. Segmentierung ohne Kontrolle privilegierter Konten wird von missbrauchtem RDP und WinRM durchquert.

Wenn ich Pläne nach einem #StopRansomware prüfe, verlange ich zuerst Belege für einen aktuellen Restore und ein KEV-Inventar der Edge, bevor über ein neues EDR-Tool gesprochen wird. Ohne diese beiden Säulen wird der Rest des Playbooks zu SafePay Ransomware zur Folien-Theateraufführung.

Was nach dem AA26-293A noch unklar bleibt

Allein aus dem öffentlichen Text des AA26-293A sind weder die vollständige stabile Opferliste noch der durchschnittliche geforderte Betrag je Fall bekannt, und es bleibt offen, ob jede gelistete CVE in jeder Intrusion vorkommt, weil der Hinweis Beobachtungen aus Untersuchungen bündelt und keinen auditierbaren Einzelfall-Zensus veröffentlicht.

Ebenso dürfen STIX-IOCs nicht als ewige Abdeckung gelten. Indikatoren altern, Akteursinfrastruktur rotiert und wandernde TTPs erscheinen nach dem Stichtag. Der Hinweis nennt Untersuchungen bis August 2026, und die Veröffentlichung datiert auf den 20. Oktober 2026, weshalb jede spätere Kampagne eine neue Prüfung der offiziellen Quellen verlangt. Leichte Formulierungsunterschiede zwischen „at least 600“, „approximately 600“ und „more than 600“ erscheinen bereits zwischen Hinweis, Mitteilung und Berichterstattung, was empfiehlt, den exakten Satz der genutzten Seite zu zitieren.

Für Red Team und Threat Intel liegt die nützliche Lücke woanders. Der AA26-293A ersetzt weder lokale Telemetrie noch erlaubt er offensive Scans fremder Internets im Namen der Recherche. Was in deinem Netz fehlt, zeigt sich nur durch Inventar, Hunting und autorisierte Übung, nicht durch Extrapolation aus dem PDF.

Ich behandle diese Unsicherheit als Teil der Arbeit und nicht als Ausrede für Stillstand. Man nutzt das, was der Hinweis mit Datum aussagt, kennzeichnet interne Hypothesen und aktualisiert das Modell, sobald CISA oder FBI eine Korrektur veröffentlichen.

Häufig gestellte Fragen zu SafePay Ransomware

Bevor der Text schließt, bündeln diese Fragen Zweifel, die entstehen, wenn ein SOC oder ein Red Team den AA26-293A erstmals öffnet und den Text in messbare Handlung überführen muss, ohne den ethischen Rahmen zu verlassen. Die Antworten bleiben auf der Ebene von Hinweis und Verteidigung, ohne armierbare Anleitung, und dienen sowohl der Patch-Priorisierung als auch dem Entwurf einer autorisierten Übung mit klaren Erfolgskriterien für das Blue Team.

Ordnet der AA26-293A SafePay welchem Operationstyp zu?

Der AA26-293A behandelt SafePay Ransomware als Gruppe und Variante, beobachtet seit August 2024, mit Verschlüsselung, Lösegeldnotiz in Kryptowährung sowie zusätzlichem Druck durch Leak und Telefon. Die Behörden präsentieren den Text nicht als staatliche geopolitische Attribution. Für defensive Planung zählen das dokumentierte Verhalten, die CVEs, die ATT&CK-TTPs und die Mitigierungen, jeweils mit Veröffentlichungsdatum 20. Oktober 2026 im Hinweis und Verstärkung am 21. Oktober 2026 in der CISA-Mitteilung.

Muss ich die gelisteten CVEs ausnutzen, um das Team zu trainieren?

Nein. Funktionale Ausnutzung dieser CVEs gegen Systeme Dritter ist illegal und liegt außerhalb des ethischen Rahmens dieses Artikeltyps sowie verantwortlicher Übungen. Der mit dem Hinweis abgestimmte Weg ist prioritäres Patching, Edge-Inventar, MFA-Prüfung an VPN und Verhaltensemulation nur in eigener Umgebung oder mit schriftlicher Genehmigung. Erkennung von Authentifizierungsfehlern, anomalen LOLBins und Backup-Sabotage liefert mehr operativen Wert als die Reproduktion eines PoC.

Reichen Cloud-Backups gegen diese Gruppe?

Sie reichen nicht, wenn der Akteur bereits ein privilegiertes Konto besitzt und das über das kompromittierte Netz erreichbare Repository löschen, verschlüsseln oder zurücksetzen kann. Der AA26-293A beschreibt Stopp von Volume Shadow Copy und Reset von Backup-NAS, was erreichbare Online-Kopien trifft. Die von den Behörden genannte Mitigierung umfasst Offline-Backups und regelmäßige Restore-Tests. Ohne Unveränderbarkeit und ohne Restore-Beweis löst die Cloud allein den Zwang der doppelten Erpressung nicht.

Wie soll das Red Team das ATT&CK des Hinweises nutzen?

Es soll nur die Techniken nutzen, die der AA26-293A listet, als Hypothesenmatrix für Erkennung und autorisierte Szenarien, in der im Text genannten Enterprise-Version 20. Jede Technik wird zur Frage an das SOC zu Log, Alarm und Reaktionszeit. Techniken aus nicht offiziellen Quellen oder Einzelberichten bleiben getrennte Hypothesen mit niedrigerer Konfidenz, bis eine Primärquelle vorliegt. So vermeidet man Übungsrauschen und hält die Nachvollziehbarkeit zum Behördendokument.

Was ist in den ersten 72 Stunden nach dem Lesen des Hinweises zu tun?

In den ersten 72 Stunden priorisiere das Inventar der fünf CVEs des Hinweises an Edge und exponiertem Backup, bestätige MFA ohne lokalen Bypass am VPN, prüfe eine testbare Offline-Kopie und lade die STIX-IOCs des AA26-293A mit Ablaufprozess in die Detection-Pipeline. Parallel setze einen kurzen autorisierten Drill zu Identität, LOTL-Bewegung und Wiederherstellungshemmung in den Kalender. Diese Sequenz eliminiert das Risiko von SafePay Ransomware nicht, verringert jedoch die Oberfläche, die der Hinweis selbst als besonders ausgenutzt beschreibt.

Fazit

Der AA26-293A rückt SafePay Ransomware im Oktober 2026 mit Zahlen, Daten, CVEs und TTPs in den Fokus der Verteidigungspriorität, sodass Teams handeln können, ohne auf den nächsten Branchenvorfall zu warten. Für die meisten Organisationen ist der erste nützliche Schritt, Edge-KEV und VPN-MFA zu schließen sowie Offline-Restore zu beweisen, weil der Hinweis dort den Schwung der Kampagne zeigt.

Die Antwort ändert sich, sobald Belege für vorherigen Commit oder Exfiltration vorliegen. Dann lautet die Reihenfolge forensische Eindämmung, Schätzung des Abflusses und kontrollierte Kommunikation, weiterhin mit der Disziplin, keine offensive Ausnutzung zu improvisieren. Die autorisierte Übung existiert, um die Erkennungslücke vor dem realen Akteur zu finden, nicht um Screenshots von Verschlüsselung zu sammeln.

Wenn dein Team diese Woche nur eine Sache tun kann, wähle die Kombination aus Inventar der CVEs des Hinweises und Restore-Test aus einer Kopie, die SafePay Ransomware über das Unternehmensnetz nicht erreicht. Der Rest von Emulations- und Hunting-Programm gewinnt erst danach eine tragfähige Basis.

Dieser Text ist informativ und bildend zum Hinweis AA26-293A sowie zur defensiven Emulation von SafePay Ransomware. Er ersetzt keine professionelle Sicherheits-, Rechts- oder Incident-Response-Bewertung. Technische Tests dürfen nur in eigenen Umgebungen oder mit formeller schriftlicher Genehmigung des Systeminhabers stattfinden, ohne Ausnutzung von Zielen Dritter und ohne Einsatz von Exploit, Payload oder armierbarem Verfahren.