FBI, CISA e Secret Service dos Estados Unidos, junto com a polícia criminal da Alemanha e agências do Reino Unido, publicaram em 20 de outubro de 2026 o advisory conjunto #StopRansomware: SafePay Ransomware, com táticas, ferramentas e indicadores de comprometimento do grupo. O documento descreve uma das operações de ransomware mais ativas do ano: o SafePay impactou pelo menos 600 vítimas separadas desde agosto de 2024, entre empresas e infraestrutura crítica da América do Norte, América do Sul, Europa e Austrália. A ação prioritária é imediata e não exige ferramenta nova: corrigir firewalls, VPNs e servidores de backup expostos, exigir MFA em acessos administrativos e testar a restauração de backups antes que a negociação do resgate se torne o único plano disponível.
Quem é o SafePay
O SafePay opera desde agosto de 2024 e está entre os grupos de ransomware mais ativos de 2026, segundo o advisory assinado também pelo Landeskriminalamt Rheinland-Pfalz, pela National Crime Agency e pela North West Regional Organised Crime Unit. As táticas descritas vêm de investigações do FBI, do USSS e da polícia alemã tão recentes quanto agosto de 2026. O padrão de ataque é conhecido, mas executado com disciplina: os atores entram roubando ou adivinhando senhas, explorando falhas em sistemas de segurança e usando phishing; depois criam contas administrativas ou assumem as existentes, movem-se com ferramentas legítimas do próprio Windows, desativam proteções e só então criptografam os arquivos, deixando uma nota que exige pagamento em criptomoeda.
O alvo preferencial é a superfície exposta: acessos VPN, dispositivos de borda e consoles de backup acessíveis pela internet. O documento traz indicadores observados entre novembro de 2024 e agosto de 2026, com mapeamento completo das técnicas para o MITRE ATT&CK, o que permite transformar a leitura em regras de detecção no mesmo dia.
Como a invasão começa
O acesso inicial combina três caminhos: exposição de credenciais, ataques de força bruta e exploração de VPN. Um detalhe operacional merece registro: os atores usam endereços IP do provedor de VPN Mullvad, com perfis de conta obtidos por phishing, para alcançar as redes das vítimas. Na sequência, exploram falhas conhecidas em produtos de borda, como CVE-2020-3259 e CVE-2023-20269, e varrem sistemas expostos com scripts automatizados contra CVE-2023-27532, CVE-2024-40766 e falhas de plataformas de backup.
O caso do Veeam Backup & Replication ilustra a cadeia completa: o SafePay explora a falha CVE-2024-40711 como um dos vetores de acesso inicial, e o boletim de segurança da Veeam descreve essa mesma falha como execução remota de código sem autenticação, com gravidade crítica. Um servidor de backup desatualizado não é um risco periférico: é a porta de entrada do ataque e, ao mesmo tempo, o ativo que a gangue sabota para impedir a recuperação depois.
Dentro da rede, o SafePay trabalha com o que já existe: contas administrativas novas ou tomadas, PsExec e WinRM para executar comandos remotos, bypass de UAC e impersonação de token para escalar privilégio. O Mimikatz aparece na coleta de senhas, e utilitários como ShareFinder.ps1 e SharpShares.exe enumeram compartilhamentos do Active Directory em busca de arquivos valiosos. Antes do movimento lateral, os atores desativam software de segurança e, em alguns casos, trocam as senhas de usuários do sistema para inviabilizar logins legítimos da equipe de defesa.
Exfiltração antes da criptografia
O dado sai antes do arquivo ser trancado. Com 7-Zip e WinRAR, os atores comprimem e fatiam o material; com RClone, WinSCP e FileZilla enviam o pacote para contas controladas pelo grupo. Há registros de uso do OneDrive e até do utilitário de linha de comando do Backblaze B2 como rota de exfiltração. Ferramentas de acesso remoto legítimas, como AnyDesk e TeamViewer, servem para transferir o próprio ransomware e outros programas até as estações comprometidas.
Só depois vem a criptografia: um esquema híbrido que combina a cifra de fluxo ChaCha20 com troca de chaves RSA, ajustado por tipo e tamanho de arquivo, capaz de aplicar criptografia total ou parcial. Os arquivos recebem a extensão.SafePay e não podem ser recuperados sem a chave de descriptografia — o que transforma a decisão de pagar em uma decisão sobre dados que já saíram da rede.
| Ferramenta legítima abusada | Papel no ataque | Sinal para a defesa |
|---|---|---|
| ShareFinder.ps1 / SharpShares.exe | Enumera compartilhamentos do Active Directory | Script PowerShell fora de fluxo administrativo |
| RClone | Sincroniza dados com armazenamento em nuvem | Tráfego de saída incomum para serviços de arquivo |
| WinRAR / 7-Zip | Empacota e fatia dados antes da exfiltração | Picos de compressão em estações de trabalho |
| WinSCP / FileZilla | Transfere arquivos por SFTP e FTP | Conexões de saída a hosts não gerenciados |
| AnyDesk / TeamViewer | Acesso remoto e entrega do ransomware | Instalação de ferramenta remota sem chamado |
| Mimikatz | Extrai credenciais do domínio | Alertas de DCSync e acesso anômalo ao LSASS |
A negociação sob pressão
A nota de resgate fica na área de trabalho ou no diretório raiz e orienta a vítima a entrar em um portal de chat em site.onion na rede TOR, usando um ID de vítima como login. Daí em diante, a pressão é humana: um representante do grupo faz ligações telefônicas para pressionar a vítima durante a negociação e, sem pagamento, os dados exfiltrados são publicados no site de vazamentos do SafePay, vinculado na própria nota. É a extorsão dupla clássica, com o dado roubado como principal alavanca — a mesma lógica que analisamos ao detalhar como a extorsão sem criptografia se tornou o centro do crime digital.
As agências autoras são diretas: não incentivam o pagamento, porque ele não garante a recuperação dos arquivos, pode incentivar novos ataques e financia atividade criminosa. Independentemente da decisão, o incidente deve ser reportado às autoridades — e o reporte tem valor operacional concreto, porque FBI e CISA solicitam logs de borda, amostra da nota de resgate, comunicações com os criminosos, informações de carteira de Bitcoin, arquivos de descriptografia e um arquivo criptografado benigno. Negociar sem apoio jurídico e sem especialistas de resposta a incidentes multiplica o risco de pagar duas vezes: no valor do resgate e na exposição regulatória do vazamento.
Recuperação: o que fazer
A sabotagem da recuperação é deliberada: os atores do SafePay interrompem o Volume Shadow Copy Service e restauram unidades NAS de backup ao estado de fábrica, destruindo cópias locais antes de apresentar a exigência. Isso muda a matemática da resposta: cópias de sombra de volume e NAS gerenciado com credenciais de domínio não contam como plano de recuperação contra esse adversário. O caminho é isolamento: repositórios imutáveis ou offline, contas de backup fora do alcance de credenciais de domínio comprometidas — a prática que detalhamos no guia sobre backups em conta separada — e restauração testada em rotina, não improvisada em plena crise.
Priorização prática a partir do advisory completo:
- P1 — Corrigir agora as falhas de borda e de backup em todo sistema que responde na internet, incluindo a falha do Veeam Backup & Replication; quando o patch não for possível, remover o sistema da exposição.
- P1 — Exigir MFA em VPN, consoles administrativos e contas com privilégio, e revisar contas recém-criadas e trocas de senha fora de processo.
- P1 — Isolar credenciais e rede da infraestrutura de backup; criar alerta para tentativas de restauração de fábrica em dispositivos NAS.
- P1 — Monitorar e restringir RClone, WinSCP, FileZilla e instaladores de acesso remoto não aprovados em estações de trabalho.
- P2 — Limitar PsExec, WinRM e execução de scripts PowerShell a fluxos aprovados por política.
- P2 — Investigar acessos corporativos originados de provedores de VPN comercial, como os endereços do Mullvad citados no documento.
- P2 — Exercitar a restauração dos backups críticos e validar detecções contra as técnicas ATT&CK mapeadas no advisory.