Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Cuba

Trotz des Namens keine Verbindung nach Kuba – die Gruppe erpresst seit Jahren Finanz- und KRITIS-Ziele.

Vorfall melden
Kurz erklärt

Die Cuba-Ransomware (auch COLDDRAW) ist seit 2019 aktiv und hat weltweit hunderte Organisationen getroffen, mit Schwerpunkt auf Finanzwesen, Gesundheitswesen, Industrie und öffentlicher Verwaltung. CISA/FBI veröffentlichten mehrere Advisories. Der Name ist ein Label der Gruppe, kein Herkunftshinweis.

Historisch

Modell

Privates Kollektiv / RaaS-Hybrid

Auch bekannt als

Cuba, COLDDRAW, Fidel; Tropical Scorpius (Unit 42)

Gegründet

2019

Entstanden aus

Keine bestätigte Verbindung; Bezüge zu Hancitor-Loader

Herkunft

Russland (vermutet)

Zielsektoren

Finanzwesen, Gesundheitswesen, kritische Infrastruktur, IT, Fertigung

Zielregionen

USA, Europa (DACH), Lateinamerika

Typisches Lösegeld

100.000 – 5 Mio. USD (bis Nov. 2022: 145 Mio. gefordert, 60 Mio. erhalten – FBI)

Opferzahl

100+ Opfer; seit ~2024 weitgehend inaktiv

File Extensions

.cuba

Ransom Note

!!FAQ for Decryption!!.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Regierung Montenegro (2022)
  • Mehrere US-KRITIS-Betreiber (2021–2022)

Angriffstechniken (TTPs)

  • Initial Access: Phishing (Hancitor), Exchange-Exploits (ProxyShell/ProxyLogon), RDP.
    • CVE-2022-24521 (Windows CLFS, Privilege Escalation)
    • MITRE: T1566, T1190, T1078
  • Vorgehen: BUGHATCH-Downloader, BURNTCIGAR/BYOVD zum Abschalten von EDR, Mimikatz.

Technologie & Malware

Verschlüsselung: eigener Encryptor – XSalsa20 (Datei) + RSA-2048 (Schlüssel).

Plattformen: vorwiegend Windows.

Besonderheit: stabiles, langlebiges Toolset (BUGHATCH/BURNTCIGAR); starke KRITIS-Ausrichtung.

Indicators of Compromise (IOCs)

  • File Extension: .cuba
  • Ransom Note: !!FAQ for Decryption!!.txt
  • Tools: Hancitor, BUGHATCH, BURNTCIGAR
  • Ausgenutzte CVE: CVE-2022-24521 (CLFS)

Was Unternehmen jetzt prüfen sollten

  • Patch-Management für exponierte Dienste
  • MFA und Absicherung von Remote-Zugängen
  • Loader-/Malware-Erkennung am Endpoint
  • Offline-Backups und Wiederanlauf-Test

Wie Argos unterstützt

24/7-Erkennung im Cyber Defense Center, Schwachstellen-Management und Incident Response mit forensischer Aufarbeitung im Ernstfall.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →