Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Hunters International

Nach der Zerschlagung von Hive tauchte Hunters International auf – mit auffällig ähnlichem Code und hoher Schlagzahl.

Vorfall melden
Kurz erklärt

Hunters International erschien Ende 2023 und wird von Analysten weithin als Nachfolge- bzw. Rebranding-Operation der 2023 zerschlagenen Hive-Gruppe eingeordnet (starke Code-Überschneidungen). Die Gruppe setzt auf Datendiebstahl und Verschlüsselung und gehörte 2024/2025 zu den aktivsten überhaupt.

Historisch

Modell

RaaS

Auch bekannt als

Hunters International (Nachfolger: World Leaks)

Gegründet

Oktober 2023

Entstanden aus

Mutmaßlich direkter Nachfolger der zerschlagenen Hive-Gruppe (Code-Ähnlichkeiten)

Herkunft

Unbekannt (Nigeria vermutet) oder internationales Kollektiv

Zielsektoren

Fertigung, Gesundheitswesen, IT-Dienstleistungen, Bildung

Zielregionen

USA, DACH, Asien, global

Typisches Lösegeld

100.000 – 2 Mio. USD

Opferzahl

2024/25 sehr aktiv; am 3. Juli 2025 Einstellung angekündigt (Nachfolger: World Leaks)

File Extensions

wechselnd; frühe Versionen .locked (v6 ohne Endung)

Ransom Note

Contact.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Hoya Optical Labs (Apr. 2024, 10 Mio. USD gefordert)
  • IdeaLab (2024, 262 GB exfiltriert)
  • US-Navy-Zulieferer (2024)

Angriffstechniken (TTPs)

  • Initial Access: Exploits (CVE-2024-55591 FortiOS, CVE-2020-14644 Oracle WebLogic); gestohlene Zugänge aus Infostealern/Botnets (33 % der Opfer mit Vorinfektion); Phishing.
    • SharpRhino (C#-RAT) via Typosquatting-Domäne (Fake Angry IP Scanner), erstmals Aug. 2024
    • MITRE: T1190, T1078, T1566

Technologie & Malware

Sprache: Rust (Encryptor, ähnlich Hive); SharpRhino-RAT in C#.

Verschlüsselung: AES-256 (CBC/CTR) + RSA-2048; Schlüssel in verschlüsselten Dateien eingebettet. Ab v6 (Aug. 2024) teils ohne Ransom-Note/Endung.

Indicators of Compromise (IOCs)

  • File Extension: .locked (früh); später wechselnd
  • Ransom Note: Contact.txt
  • Tools: SharpRhino (C#-RAT), Storage-Software-Exfiltration
  • Vorgänger/Nachfolger: Hive → Hunters International → World Leaks

Was Unternehmen jetzt prüfen sollten

  • MFA flächendeckend und Absicherung von Fernzugängen
  • Erkennung von Datenexfiltration vor der Verschlüsselung
  • Patch-Management für exponierte Systeme
  • Getestete Offline-Backups

Wie Argos unterstützt

Managed XDR und 24/7-Detection im Cyber Defense Center erkennen Exfiltration und laterale Bewegung früh; IR-Retainer sichert schnelle Reaktion.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →