Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

3AM

3AM taucht dort auf, wo etablierte Ransomware blockiert wird – als Ausweich-Werkzeug erfahrener Angreifer.

Vorfall melden
Kurz erklärt

3AM (ThreeAM) ist eine 2023 erstmals beobachtete, in Rust geschriebene Ransomware. Sie wurde unter anderem eingesetzt, als der Versuch scheiterte, LockBit auszurollen – ein Hinweis auf erfahrene Affiliates mit mehreren Werkzeugen. Vorgehen: Datendiebstahl, Deaktivierung von Schutzsoftware, Verschlüsselung.

Zuletzt ist es um 3AM ruhig geworden: Seit dem Frühjahr 2026 sind keine neuen Opfer mehr hinzugekommen, die Gruppe gilt derzeit als geschwächt.

Geschwächt

Modell

RaaS (kleine, selektive Gruppe)

Auch bekannt als

3AM, ThreeAM

Gegründet

2023

Entstanden aus

Erstmals als Fallback beobachtet, als ein LockBit-Einsatz scheiterte (Symantec)

Herkunft

Unbekannt; Bezüge zum Conti-/Royal-Umfeld

Zielsektoren

Branchenübergreifend, zunehmend Mittelstand

Zielregionen

USA, Europa (DACH), global

Typisches Lösegeld

100.000 – 2 Mio. USD

Opferzahl

Rund 73 gelistete Opfer; zuletzt im Frühjahr 2026 neue Opfer (Stand: Juli 2026)

File Extensions

.threeamtime

Ransom Note

RECOVER-FILES.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Helpdesk sensibilisieren: keine Fernwartung/Passwort-Resets ohne strenge Identitätsprüfung – 3AM kommt über gefälschten IT-Support.
  • Betroffene Systeme isolieren, aber nicht ausschalten; Backups offline prüfen.
  • Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Verdächtige „IT-Support“-Anrufe (Teams/Quick Assist) nicht zulassen – der klassische Einfallsweg.
  • Nicht auf E-Mail-Bombing mit Panik reagieren – es dient als Vorwand für den „Support“-Anruf.
  • Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Diverse mittelständische Unternehmen in den USA und Europa (2024–2025)

Angriffstechniken (TTPs)

  • Initial Access: E-Mail-Bombing + anschließendes Vishing (gefälschter IT-Support via Microsoft Teams/Quick Assist – ähnlich Black Basta); gekaufte Zugänge.
    • MITRE: T1566, T1219, T1078
  • Vorgehen: QEMU-VM als versteckter Netzwerk-Tunnel, gsocket-Reverse-Shells, Schattenkopien löschen.

Technologie & Malware

Sprache: Rust. Verschlüsselung: AES + RSA.

Plattformen: Windows (Linux/ESXi-Varianten beobachtet).

Besonderheit: kombiniert Social Engineering (Teams-Vishing) mit Virtualisierungs-Tricks zur Tarnung.

Indicators of Compromise (IOCs)

  • File Extension: .threeamtime
  • Ransom Note: RECOVER-FILES.txt
  • Tools: QEMU-Tunnel, gsocket
  • Muster: E-Mail-Bombing + Teams-Vishing

Was Unternehmen jetzt prüfen sollten

  • Manipulationsschutz (Tamper Protection) für EDR/AV aktivieren
  • Alarme, wenn Sicherheitsdienste gestoppt werden
  • MFA und Least Privilege
  • Offline-Backups

Wie Argos unterstützt

24/7-Erkennung im Cyber Defense Center meldet das Abschalten von Schutzsoftware sofort; Managed XDR und IR begrenzen den Schaden.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →