Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Conti

Aufgelöst 2022 – und doch der Ursprung vieler heute aktiver Gruppen von Black Basta bis BlackSuit.

Vorfall melden
Kurz erklärt

Conti war 2020–2022 eines der schlagkräftigsten Ransomware-Kartelle. Nach internen Leaks im Zuge des russischen Angriffskriegs gegen die Ukraine löste sich die Marke 2022 auf. Ihre Mitglieder und Werkzeuge leben in Nachfolgegruppen fort – darunter Black Basta, BlackSuit (über Royal) und weitere. Conti zu kennen heißt, die DNA vieler heutiger Angriffe zu verstehen.

Historisch

Modell

Privates Kollektiv (Angestelltenmodell, kein klassisches RaaS)

Auch bekannt als

Conti, Wizard Spider, TrickBot Group

Gegründet

2020 (öffentlich aktiv)

Entstanden aus

Aus dem TrickBot-Malware-Ökosystem

Herkunft

Russland (bestätigt; TrickBot/Wizard-Spider-Umfeld, St. Petersburg)

Zielsektoren

Alle Sektoren; Schwerpunkt Gesundheitswesen (150+ Organisationen 2021)

Zielregionen

Global; vermied GUS-Staaten

Typisches Lösegeld

500.000 – 25 Mio. USD; Costa Rica: 20 Mio. USD gefordert

Opferzahl

1.000+ Opfer (2020–2022) in ~31 Ländern; FBI schätzt 150+ Mio. USD Erlös. Aufgelöst Mai 2022, Nachfolger aktiv

File Extensions

.CONTI (Windows) / .conti (Linux/ESXi)

Ransom Note

CONTI_LOG.txt / readme.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Regierung Costa Rica (Apr. 2022, nationaler Notstand ausgerufen)
  • HSE Irland (Mai 2021, nationales Gesundheitssystem lahmgelegt)
  • Broward County Public Schools (2021, 40 Mio. USD gefordert)

Angriffstechniken (TTPs)

  • Initial Access: Phishing mit TrickBot/BazarLoader, gekaufte RDP-Zugänge, Exploits gegen VPN-Appliances (Cisco ASA, Fortinet).
    • MITRE: T1566.001, T1078, T1190, T1133
  • Privilege/Credential: Kerberoasting (Rubeus), Mimikatz, LSASS-Dumping, DCSync.
  • Lateral Movement: RDP, Pass-the-Hash, Cobalt-Strike-Beacons via WMI/rundll32.

Technologie & Malware

Verschlüsselung: Windows ChaCha20 (pro Datei) + RSA-4096; Linux/ESXi Salsa20 + RSA. Größenbasierte Teilverschlüsselung, bis 32 CPU-Threads parallel.

Sprache: C++ (VS2015). Plattformen: Windows, Linux, VMware ESXi (esxcli – fährt VMs herunter).

Bedeutung: „Cybercrime-Unternehmen“ mit 400+ Mitarbeitern; nach dem Conti-Leak (Feb./März 2022) in Nachfolger (Akira, Black Basta, Royal/BlackSuit, Karakurt) zerfallen.

Indicators of Compromise (IOCs)

  • File Extension: .CONTI / .conti
  • Ransom Note: CONTI_LOG.txt / readme.txt
  • Vorstufe: TrickBot, BazarLoader, Cobalt Strike
  • Nachfolger: Akira, Black Basta, Royal/BlackSuit, Karakurt, Fog

Was Unternehmen jetzt prüfen sollten

  • Loader-/Phishing-Erkennung am E-Mail-Gateway
  • Cobalt-Strike-/Lateral-Movement-Erkennung
  • MFA, Least Privilege, Offline-Backups

Wie Argos unterstützt

Das Cyber Defense Center erkennt die von Conti geprägten und in Nachfolgegruppen fortgeführten Angriffsmuster 24/7.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →