Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Fog

Fog stieg über kompromittierte VPN-Zugänge ein und verschlüsselte oft in unter zwei Stunden – seit März 2025 aber ohne neue Opfer.

Vorfall melden
Kurz erklärt

Fog war eine 2024 aufgekommene Ransomware-Gruppe, die häufig über kompromittierte VPN-Zugangsdaten einstieg und dann sehr schnell verschlüsselte. Nach einer aktiven Phase 2024/25 ist die Leak-Site seit März 2025 ohne neue Opfer – die Gruppe gilt derzeit als inaktiv/dormant. Das Vorgehen bleibt als Blaupause für VPN-getriebene Angriffe relevant.

Historisch

Modell

Privates Kollektiv / RaaS

Auch bekannt als

Fog Ransomware

Gegründet

2024

Entstanden aus

Keine bekannte Verbindung; Wallet-Bezüge zu Akira/Conti

Herkunft

Unbekannt (Bezüge zu Akira/Conti-Ökosystem)

Zielsektoren

Bildung, Freizeit/Recreation, IT, zunehmend Industrie & Behörden

Zielregionen

USA (stark), DACH, global (35 Länder)

Typisches Lösegeld

10.000 – 500.000 USD (typisch niedriger)

Opferzahl

189+ Opfer in 35 Ländern (bis April 2025); letztes Leak-Site-Opfer ~März 2025, seither inaktiv

File Extensions

.FOG, .Fog, .FLOCKED

Ransom Note

readme.txt (mit TOR-Portal + Opfer-ID)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • VPN-Zugänge (v. a. SonicWall/Cisco) sperren, patchen und MFA erzwingen – Fogs Hauptvektor.
  • Backups (v. a. Veeam) sofort prüfen und offline sichern – Fog löscht Backups gezielt.
  • Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – Fog verschlüsselt teils in unter 2 Stunden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Brasilianische Bundesregierung (Juli 2024, 9 Ministerien + Münze + COAF via VPN-Zugänge)
  • Aurora Public Schools (Jan. 2025)
  • GFZ Helmholtz-Zentrum für Geoforschung (2025)

Angriffstechniken (TTPs)

  • Initial Access: kompromittierte VPN-Zugänge (Hauptvektor), Exploits, Phishing (ZIP/LNK).
    • CVE-2024-40766 (SonicWall SSL-VPN), CVE-2024-40711 (Veeam)
    • MITRE: T1190, T1078, T1566.001
  • Vorgehen: BYOVD (iQVW64.sys), Zerologon (CVE-2020-1472), noPac; AnyDesk als RMM; extrem schnelle Verschlüsselung (1,5–2 h nach Zugang).

Technologie & Malware

Verschlüsselung: AES-256 (pro Datei) + RSA-2048, 2–16 Threads. Endungen: .FOG / .Fog / .FLOCKED.

Sprache: C++ (vermutet). Plattformen: Windows (inkl. DCs, Hyper-V, Veeam), Linux/ESXi (.vmdk).

Besonderheit: erste Gruppe, die Opfer-IP-Adressen auf der Leak-Site veröffentlichte; enge Kopplung an Akira (30+ gemeinsame SonicWall-Einbrüche).

Indicators of Compromise (IOCs)

  • File Extension: .FOG / .Fog / .FLOCKED
  • Ransom Note: readme.txt
  • Tools: cwiper.exe, ktool.exe (iQVW64.sys BYOVD, Key fd6c57fa3852aec8), AnyDesk („Admin#123“)
  • Ausgenutzte CVEs: CVE-2024-40766, CVE-2024-40711, CVE-2020-1472

Was Unternehmen jetzt prüfen sollten

  • VPN-Zugänge mit MFA; kompromittierte Konten schnell sperren
  • Überwachung auf ungewöhnliche VPN-Anmeldungen
  • Schnelle Erkennung von Massen-Verschlüsselung
  • Offline-Backups

Wie Argos unterstützt

Secure Access mit MFA und 24/7-Erkennung im Cyber Defense Center schließt den VPN-Einstieg und stoppt schnelle Verschlüsselung früh.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →