SafePay

SafePay surgió como grupo cerrado (no RaaS) entre agosto y noviembre de 2024, varios meses después de que la Operación Cronos desmantelara parte de la infraestructura de LockBit en febrero de 2024. Las fuentes no coinciden en la fecha exacta de aparición (septiembre vs. octubre/noviembre de 2024). Su cifrador muestra solapamiento de código con el builder filtrado de LockBit Black (filtrado en 2023) y con elementos de ALPHV/BlackCat e INC Ransom, pero no hay evidencia de que su personal sea de hecho ex-afiliados de LockBit; varios analistas (Bitdefender) sostienen que opera de forma independiente.

Grupo cerrado y centralizado (closed group), explícitamente NO ofrecido como RaaS según su propio sitio de filtración; el núcleo del equipo controla acceso inicial, despliegue del ransomware y negociación de extorsión, a diferencia del modelo de afiliados típico de LockBit/ALPHV. Doble extorsión: robo de datos antes de cifrar, con amenaza de publicación.

Vínculo de código (no confirmado como vínculo de personal) con el builder de LockBit Black filtrado en 2023, reutilizando flags de línea de comandos y lógica de cifrado, con modificaciones propias (p. ej. kill switch en cirílico). También se ha documentado uso de la puerta trasera QDoor, previamente asociada a BlackSuit, y de las mismas LOLBins que INC Ransom; Blackpoint Cyber (informes de 2025-2026) sugiere posible solapamiento de afiliados con INC Ransom y Lynx, formando una presunta 'tríada', pero esto se presenta como evaluación de confianza moderada/baja, no como hecho confirmado. No hay evidencia de que SafePay sea un rebrand formal de ningún grupo.

Acceso inicial vía credenciales válidas, fuerza bruta, phishing y RDP/VPN expuestas (incluyendo abuso de IPs de Mullvad VPN según el aviso CISA/FBI de oct-2026); explotación de vulnerabilidades en dispositivos de borde (VPN, firewalls). Uso de regsvr32.exe para cargar DLL maliciosa vía rutas UNC, bypass UAC vía interfaz COM CMSTPLUA, habilitación de SeDebugPrivilege y token impersonation. Reconocimiento de red con ShareFinder.ps1, exfiltración con WinRAR/FileZilla. Sabotaje de recuperación: borrado de shadow copies, reseteo de NAS con backups, terminación de servicios de BD/correo/backup. Nota de rescate incluye enlace onion v3 y, de forma inusual, un sitio en TON (The Open Network).