Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Maze

Maze erfand die Double Extortion – das Erpressungsmodell, das die gesamte Branche bis heute prägt.

Vorfall melden
Kurz erklärt

Maze war 2019–2020 eine Ransomware-Gruppe, die als erste die „Double Extortion“ populär machte: Daten vor der Verschlüsselung zu stehlen und mit deren Veröffentlichung zu drohen. Ende 2020 stellte Maze den Betrieb offiziell ein – doch das Erpressungsmodell wurde zum Standard nahezu aller Nachfolger.

Historisch

Modell

RaaS (Pionier)

Auch bekannt als

Maze, ChaCha Ransomware, Twisted Spider, TA2101

Gegründet

2019

Entstanden aus

Eigenentwicklung; Vorgänger von Egregor

Herkunft

Russland/Osteuropa (vermutet)

Zielsektoren

Gesundheitswesen, Fertigung, IT, Recht, Regierung

Zielregionen

USA, UK, DACH, global

Typisches Lösegeld

1 – 15 Mio. USD

Opferzahl

100+ Organisationen; Maze/Egregor-Kartell: 75+ Mio. USD. Inaktiv seit November 2020

File Extensions

zufällige Endung je Opfer

Ransom Note

DECRYPT-FILES.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Datenabfluss eingrenzen – Maze prägte die Double Extortion (Datendiebstahl + Verschlüsselung).
  • Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – für eine Archivierung/spätere Analyse aufbewahren.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Cognizant (Apr. 2020, 50–70 Mio. USD Schaden)
  • Canon (Aug. 2020, ~10 TB Daten)
  • Xerox (Juli 2020); Pemex Mexiko (Nov. 2019)

Angriffstechniken (TTPs)

  • Initial Access: Spearphishing mit Makro-Dokumenten, Exploit-Kits (Spelevo/Fallout), RDP/Citrix, VPN-Exploits.
    • CVE-2019-11510 (Pulse Secure), CVE-2018-8174 (IE), Flash CVE-2018-15982/4878
    • MITRE: T1133, T1078, T1566
  • Vorgehen: Mimikatz, BloodHound, Procdump; AV per Batch-Skript abschalten.

Technologie & Malware

Verschlüsselung: ChaCha20 (Datei) + RSA-2048 (pro Datei + Master-Key). Keine Master-Keys bei Shutdown veröffentlicht.

Sprache: C/C++ (32-Bit PE, EXE/DLL). Plattformen: nur Windows.

Historisch bedeutend: Erfinder der Double Extortion und der öffentlichen Leak-Seite (Dez. 2019) – das Modell, das heute jede große Gruppe nutzt. Bildete das erste Ransomware-„Kartell“.

Indicators of Compromise (IOCs)

  • Ransom Note: DECRYPT-FILES.txt
  • Tracking: Twisted Spider (CrowdStrike), TA2101 (Proofpoint)
  • Nachfolge: Egregor (Affiliates ab Sep. 2020)
  • Historie: Shutdown 1. Nov. 2020

Was Unternehmen jetzt prüfen sollten

  • Datendiebstahl-Erkennung, nicht nur Verschlüsselungsschutz
  • Datensparsamkeit und Klassifizierung sensibler Daten
  • MFA, Patch-Management, Offline-Backups

Wie Argos unterstützt

Das Cyber Defense Center erkennt Exfiltration vor der Verschlüsselung – genau den Schritt, den Maze zum Standard machte.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →