SafePay 勒索病毒解密与数据恢复

SafePay 在 2024 年 9 至 10 月首次被观察到，同年 11 月上线暗网泄露站。与当前主流的勒索软件即服务不同，它是一个封闭式团伙：不对外招募附属、不出租加密器，从初始访问、投放到谈判全部由同一核心团队完成。这种结构让其战术高度统一、节奏很快——多份分析都提到 SafePay 常在入侵后数小时内完成从进入到加密的全过程。

上升速度是它最突出的特征。2025 年全年 SafePay 声明受害者超过 270 家，其中一个月内就出现过 73 家的峰值；到 2026 年 9 月，其泄露站累计声明受害者约 560 家，近 30 天新增 13 家。受害者仍以美国与德国为主（分别约 212 家与 126 家），并已明显外扩至西班牙、意大利、葡萄牙、奥地利、阿根廷、菲律宾与韩国，行业上以制造、医疗、建筑、教育、科研、政府与 IT 服务为主，规模以中型企业和集团为主。

最具代表性的事件是 2025 年 7 月对全球 IT 分销巨头 Ingram Micro 的攻击：内部系统大面积中断，订单平台与分销业务受到全球性影响，公开报道指入侵起点是其 GlobalProtect VPN 网关。这也点出了 SafePay 对 MSP、IT 分销商与服务提供商的偏好——打一家就能波及一条链上的众多下游客户。

技术上，SafePay 的代码与 2022 年泄露的 LockBit 3.0（LockBit Black）高度重合，同时被发现包含类似 ALPHV/BlackCat 与 INC Ransom 的片段，属于典型的「拼装式」勒索载荷。对中国企业的参考意义很直接：SafePay 的主入口是 VPN 网关上的有效凭据与口令喷洒，而国内大量企业的 SSL VPN 同样存在弱口令、未启用多因素认证与离职账号未清理的问题，属于完全相同的暴露面。目前没有公开报告确认 SafePay 对中国大陆企业的定向攻击。

后缀：被加密文件追加 .safepay。

勒索信：readme_safepay.txt，落在各加密目录，英文，包含受害者专属 ID 与 Tor 谈判门户地址，声明数据已被加密并外传。

入侵与投放侧特征：

• VPN 网关（如 GlobalProtect 一类 SSL VPN）出现来自陌生地区、异常时间的成功登录，或大量口令喷洒失败后的成功；
• 终端防护被禁用或卸载，安全服务被停止；
• 卷影副本被删除、日志被清理；
• 部分场景可见通过安全模式或特定启动配置执行加密以规避防护；
• 数据外传前可见 WinRAR 打包与 FileZilla 传输，也观察到滥用 OneDrive 一类云同步通道，使外传流量看起来像正常业务。

施压手段：SafePay 会配合邮件轰炸（短时间内海量垃圾邮件淹没收件箱）与电话冒充 IT 支持人员，既用于社工获取访问，也用于加密后的施压。IT 部门突然收到大量垃圾邮件同时接到「IT 支持」来电，应视为高危信号。

判定要点：由于代码与 LockBit 3.0 高度重合，行为特征容易与 LockBit 系混淆，准确判定需要比对加密文件结构与二进制指纹，不能只看现象。

SafePay 的入侵路径极为集中，几乎所有公开案例都指向同一类入口：

• VPN 网关上的有效凭据：使用从暗网市场购买、信息窃取木马日志中获取或口令喷洒得到的账号，直接通过 VPN 登录进入内网。这是其第一入口，Ingram Micro 事件也被报道为经 VPN 网关进入；
• 口令喷洒与暴力破解：针对未启用多因素认证或未做登录频率限制的远程入口；
• VPN 与边界设备漏洞：对未及时修补的远程访问设备进行利用；
• 社工：邮件轰炸配合电话冒充 IT 支持，诱导员工安装远程管理工具（RMM）从而放行攻击者；
• 横向移动：使用有效凭据通过 RDP 与管理通道扩散，目标是文件服务器、数据库服务器、虚拟化平台与备份系统；
• 防御削弱：禁用终端防护、停止安全服务、删除卷影、清理日志；
• 数据外传：WinRAR 打包后经 FileZilla 传输，或借用 OneDrive 等云同步通道外传，隐蔽性较强；
• 快速投放：由于是同一团队全流程操作，从进入到全面加密的时间窗口往往很短，留给防守方的反应时间有限。

对国内企业而言，最直接的防守收益来自三点：VPN 强制多因素认证、及时清理离职与长期未用账号、对 VPN 登录做地理与时间异常告警。

算法：SafePay 使用 ChaCha20 加密文件内容，为每个文件生成独立的对称密钥，再由内嵌在加密器中的非对称密钥保护。设计上没有攻击者私钥即无法还原，公开分析未发现可利用缺陷。

代码血统：与 2022 年泄露的 LockBit 3.0（LockBit Black）代码高度重合，同时包含与 ALPHV/BlackCat、INC Ransom 相似的片段。需要强调的是，代码同源不等于密钥同源——针对 LockBit 的历史解密方案对 SafePay 无效。

破坏恢复能力：执行前后删除卷影副本、停止安全与备份相关服务、清理事件日志；部分场景通过安全模式启动执行加密以规避终端防护。

虚拟化范围：公开分析（截至 2025 年 5 月）指出 SafePay 尚未被确认拥有独立的 VMware ESXi 加密器，其加密器为 Windows 平台。但这不意味着虚拟化环境安全：若虚拟机文件存放在被加密的 Windows 宿主、Hyper-V 主机或可直连的网络共享/存储上，同样会被一并加密，实际业务影响与 ESXi 锁定器相当。处置时应按实际样本与环境确认影响范围，不要仅凭「没有 ESXi 版本」就放松对虚拟化平台的排查。

双重勒索：加密前完成数据外传，未付款则在泄露站公开，并配合邮件轰炸与电话施压。