Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Cactus

Cactus verschlüsselt sich selbst, um unentdeckt zu bleiben – und steigt über ungepatchte VPNs ein.

Vorfall melden
Kurz erklärt

Cactus ist eine seit 2023 aktive Ransomware-Gruppe, die bekannt dafür ist, ihre eigene Schadsoftware zu verschlüsseln, um der Erkennung durch Antivirus zu entgehen. Der Einstieg erfolgt häufig über Schwachstellen in VPN-Appliances; anschließend Datendiebstahl und Verschlüsselung.

Historisch

Modell

Privates Kollektiv / RaaS-Hybrid

Auch bekannt als

Cactus Ransomware

Gegründet

März 2023

Entstanden aus

Keine bekannte Verbindung

Herkunft

Unbekannt (osteuropäisch vermutet)

Zielsektoren

Fertigung, Technologie, Energie, Logistik, Finanzwesen

Zielregionen

USA, DACH, Frankreich, global

Typisches Lösegeld

100.000 – 5 Mio. USD

Opferzahl

Seit Mitte 2025 inaktiv/eingestellt; letzte Veröffentlichung März 2025 (Check Point Q3/2025)

File Extensions

.cts1 (bzw. .CTS[N])

Ransom Note

cAcTuS.readme.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Schneider Electric (Jan. 2024, 1,5 TB Daten)
  • Coop Schweden (Okt. 2023)
  • Petrofac (2024)

Angriffstechniken (TTPs)

  • Initial Access: Exploits gegen VPN-Appliances.
    • CVE-2023-38035 (Ivanti MobileIron Sentry), Qlik Sense (CVE-2023-41266/41265, Patch-Bypass CVE-2023-48365); Qakbot, ProxyShell
    • MITRE: T1190
  • Besonderheit: sehr lange Verweildauer (Wochen) vor der Verschlüsselung; die Ransomware verschlüsselt sich selbst zur AV-Umgehung.

Technologie & Malware

Sprache: C++ (x86-64), Orchestrierung teils via Batch-Skripte.

Verschlüsselung: AES-256-CBC je Datei (große Dateien teilweise), AES-Schlüssel per RSA-4096 (Envelope). Selbstverschlüsselung: die Binary entschlüsselt sich erst zur Laufzeit – umgeht statische AV-Erkennung.

Indicators of Compromise (IOCs)

  • File Extension: .cts1 / .CTS[N]
  • Ransom Note: cAcTuS.readme.txt
  • Ausgenutzte CVEs: CVE-2023-38035 (Ivanti Sentry), CVE-2023-41266/41265 (Qlik Sense)
  • Besonderheit: selbstverschlüsselnde Binary

Was Unternehmen jetzt prüfen sollten

  • VPN-/Firewall-Appliances aktuell halten – bekannte CVEs werden ausgenutzt
  • Verhaltensbasierte EDR statt reiner Signatur-AV
  • MFA auf allen Fernzugängen
  • Segmentierung und Offline-Backups

Wie Argos unterstützt

Vulnerability- und Angriffsflächen-Management schließt VPN-Lücken; verhaltensbasierte Erkennung im Cyber Defense Center fängt die AV-Umgehung ab.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →