Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Everest

Everest verkauft Zugänge und erpresst mit Daten – mit wachsendem Fokus auf das Gesundheitswesen.

Vorfall melden
Kurz erklärt

Everest ist eine seit 2020 aktive, russischsprachige Erpressergruppe, die sowohl als Ransomware-Akteur als auch als Initial Access Broker auftritt. In den letzten Jahren verlagerte sie den Schwerpunkt stärker auf reine Datenerpressung, mit auffälligem Fokus auf Gesundheitswesen und öffentliche Einrichtungen.

Aktiv

Modell

Ransomware + reine Datenerpressung; zugleich Zugangs-Händler

Auch bekannt als

Everest Ransomware

Gegründet

2020

Entstanden aus

Keine bekannte Verbindung; agiert auch als Initial Access Broker (IAB)

Herkunft

Russland (vermutet, russischsprachig)

Zielsektoren

Gesundheitswesen, Behörden, Industrie, Rechtswesen

Zielregionen

USA, Europa (DACH), Lateinamerika

Typisches Lösegeld

100.000 – 5 Mio. USD

Opferzahl

230+ gelistete Opfer; deutliche Zunahme 2025 (aktiv 2026)

File Extensions

.everest

Ransom Note

!=How_to_decrypt.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Datenabfluss eingrenzen – Everest setzt stark auf Datenerpressung.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Den Datenabfluss nicht unterschätzen – auch verkaufte Zugänge bergen Folgerisiken.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Zahlreiche US-Gesundheitseinrichtungen (2024–2025)
  • Behörden und Industrie in Europa und Lateinamerika

Angriffstechniken (TTPs)

  • Initial Access: gestohlene/gekaufte Zugänge, RDP, Exploits gegen exponierte Dienste; Everest verkauft selbst Zugänge (IAB).
    • MITRE: T1078, T1133, T1190
  • Vorgehen: Living-off-the-Land, Datenexfiltration vor Verschlüsselung, teils reine Erpressung ohne Verschlüsselung.

Technologie & Malware

Verschlüsselung: AES + RSA (hybrides Schema).

Plattformen: Windows, teils VMware ESXi.

Besonderheit: Doppelrolle als Ransomware-Betreiber und Initial Access Broker – verkauft Zugänge auch an Dritte.

Indicators of Compromise (IOCs)

  • File Extension: .everest
  • Ransom Note: !=How_to_decrypt.txt
  • Besonderheit: agiert zugleich als Initial Access Broker

Was Unternehmen jetzt prüfen sollten

  • Credential-Hygiene und MFA – Zugänge werden aktiv gehandelt
  • Monitoring auf Datenexfiltration
  • Least Privilege und Segmentierung
  • DSGVO-Meldeprozesse

Wie Argos unterstützt

Identity- und Leak-Monitoring im Cyber Defense Center erkennt gehandelte Zugänge früh; forensische Klärung und Meldeunterstützung im Ernstfall.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →