Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Payload

Unabhängige Datenerpresser-Gruppe mit eigener Leak-Site und Babuk-basiertem Windows-/ESXi-Verschlüsseler – mit auffällig starkem Fokus auf den DACH-Raum.

Vorfall melden
Kurz erklärt

Payload ist eine seit Februar 2026 aktive Ransomware- und Datenerpressungsgruppe, die unabhängig und nicht als klassisches Ransomware-as-a-Service-Modell auftritt: Sie betreibt eine eigene Tor-Leak-Site und ein eigenes Verhandlungsportal. Der Verschlüsseler basiert auf der 2021 geleakten Babuk-Codebasis und wurde für Windows- und VMware-ESXi-Umgebungen weiterentwickelt (Double Extortion aus Verschlüsselung plus Datendiebstahl). Bemerkenswert ist die starke Betroffenheit im deutschsprachigen Raum: Nach den USA sind die Schweiz und Deutschland die am häufigsten gelisteten Länder, gefolgt von weiteren DACH-Opfern in Österreich – ein deutlich überdurchschnittlicher DACH-Fußabdruck.

Aktiv

Modell

Unabhängige Gruppe mit eigener Tor-Leak-Site und eigenem Verhandlungsportal – kein klassisches Ransomware-as-a-Service.

Auch bekannt als

Keine weiteren Aliasnamen öffentlich dokumentiert (benannt nach der Dateiendung .payload).

Gegründet

Februar 2026

Entstanden aus

Basiert auf der im September 2021 geleakten Babuk-Codebasis; die ursprüngliche HC-128-Verschlüsselung wurde durch ChaCha20 in Kombination mit Curve25519-Schlüsselaustausch ersetzt.

Herkunft

nicht eindeutig zugeordnet

Zielsektoren

Fertigung/Industrie, Unternehmensdienstleistungen, Konsum- und Endkundendienste, Energie sowie Tourismus und Hotellerie; branchenübergreifend bei mittelständischen und größeren Organisationen.

Zielregionen

Global über rund 35 Länder, mit ausgeprägtem DACH-Schwerpunkt: Nach den USA zählen die Schweiz und Deutschland zu den am häufigsten gelisteten Ländern, Österreich ist ebenfalls mehrfach betroffen.

Typisches Lösegeld

nicht öffentlich beziffert

Opferzahl

Rund 69 gelistete Opfer in ~35 Ländern (Stand: Juli 2026)

File Extensions

.payload

Ransom Note

Zwei Erpresserschreiben-Varianten dokumentiert; der genaue Dateiname der Ransom-Note ist nicht öffentlich dokumentiert.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort isolieren (Netz trennen), aber nicht ausschalten, um flüchtige Spuren und Schlüsselmaterial im Speicher zu erhalten.
  • ESXi-Hosts und Backup-Infrastruktur vom Netz nehmen und deren Zugangsdaten als kompromittiert behandeln – separat neu setzen.
  • Offline- bzw. unveränderliche Backups auf Integrität prüfen und vor weiterem Zugriff schützen, bevor eine Wiederherstellung beginnt.
  • Zentrale Log-Quellen (SIEM) sichern, da lokale Windows-Ereignisprotokolle durch die Schadsoftware gelöscht werden.
  • Incident-Response-Team einbinden und – sofern meldepflichtig – Datenschutzbehörde bzw. betroffene Personen fristgerecht informieren.
  • Kein direkter Kontakt und keine Zahlung ohne professionelle IR-Begleitung; forensische Beweissicherung vor jeder Bereinigung.
⛔ Unbedingt vermeiden
  • Betroffene Server nicht vorschnell neu starten oder neu aufsetzen – dabei gehen forensische Spuren und ggf. Wiederherstellungschancen verloren.
  • Keine Wiederherstellung auf noch kompromittierte Systeme; erst Ursache und Persistenz beseitigen.
  • Backups nicht mit denselben (potenziell kompromittierten) Domänen- oder Admin-Konten verbinden, die der Angreifer nutzen konnte.
  • Lösegeld nicht eigenmächtig und ohne IR-/Rechtsberatung zahlen – eine Entschlüsselung ist nicht garantiert.
  • Interne Kommunikation nicht über möglicherweise mitgelesene Kanäle (kompromittiertes AD/E-Mail) führen – auf Out-of-Band-Kommunikation ausweichen.
  • Den Vorfall nicht verschweigen oder verzögert melden – gesetzliche Meldefristen beachten.

Bekannte Angriffe

  • Deutschland (u. a.): Tofutown, G. Theodor Freese, Franziskusschule Wilhelmshaven, Caravaning City
  • Österreich (u. a.): Roofinox, b3-bruck.at, Tscherne Consulting Steuerberatung
  • Schweiz (u. a.): Mosaic Partners, ENB Versicherungen
  • Insgesamt rund 69 gelistete Opfer in etwa 35 Ländern, mit deutlichem DACH-Schwerpunkt (Stand: Juli 2026)

Angriffstechniken (TTPs)

  • Erstzugang: nicht öffentlich dokumentiert; bei einem Teil der Opfer korrelieren die Vorfälle mit zuvor durch Infostealer kompromittierten Zugangsdaten (Hinweis, kein bestätigter Einbruchsvektor).
  • Verteidigung umgehen / Anti-Forensik:
    • Abschalten von Event Tracing for Windows (ETW) durch Patchen von ntdll.dll-Funktionen (T1562.006 – Impair Defenses: Indicator Blocking)
    • Löschen sämtlicher Windows-Ereignisprotokolle nach der Verschlüsselung (T1070.001 – Clear Windows Event Logs)
    • Selbstlöschung des Binaries über NTFS-Alternate-Data-Stream-Technik ohne Kindprozesse oder Temp-Dateien
  • Wiederherstellung verhindern: gezieltes Anvisieren von Backup-Diensten wie Veeam, Acronis und BackupExec (T1490 – Inhibit System Recovery)
  • Auswirkung:
    • Verschlüsselung von Windows- und VMware-ESXi-Systemen mit ChaCha20 + Curve25519; Dateien über 2 GB werden zu ~20 % in verteilten 1-MB-Blöcken (intermittierend) verschlüsselt (T1486 – Data Encrypted for Impact)
    • Datendiebstahl mit anschließender Veröffentlichung auf eigener Leak-Site (Double Extortion)

Technologie & Malware

Payload nutzt einen von der geleakten Babuk-Codebasis abgeleiteten Verschlüsseler in Windows- und Linux-/VMware-ESXi-Varianten. Die ursprüngliche HC-128-Verschlüsselung wurde durch das ChaCha20-Stromchiffre in Kombination mit einem Curve25519-Schlüsselaustausch ersetzt, wobei pro Datei ein frisches Schlüsselpaar und eine 12-Byte-Nonce erzeugt werden. Die kompakte Linux-Variante (rund 40 KB) zielt vor allem auf ESXi ab: Sie liest VMware-Konfigurationsdateien aus, lokalisiert die virtuellen Festplattenabbilder und verschlüsselt diese direkt. Unabhängige Analysen fanden keine kryptografischen Schwächen oder Hintertüren.

Indicators of Compromise (IOCs)

  • Dateiendung verschlüsselter Dateien: .payload
  • Mutex (Single-Instance-Sperre): MakeAmericaGreatAgain
  • Verhaltensbasiert: Patchen von ETW-Funktionen in ntdll.dll, flächiges Löschen der Windows-Ereignisprotokolle, Manipulation von Veeam-/Acronis-/BackupExec-Diensten
  • Weitere netzwerkbezogene IOCs (IP-Adressen, Onion-Domains): nicht abschließend öffentlich dokumentiert

Was Unternehmen jetzt prüfen sollten

  • Sind ESXi-Hosts gehärtet (Lockdown-Modus, deaktiviertes SSH, restriktives Management-Netz) und vom übrigen Netz segmentiert?
  • Existieren offline- bzw. unveränderliche (immutable) Backups, die von den produktiven Systemen und Backup-Konten getrennt sind – und werden Wiederherstellungen regelmäßig getestet?
  • Sind Backup-Dienste wie Veeam, Acronis und BackupExec durch eigene Zugangsdaten, MFA und Netzsegmentierung geschützt, sodass sie nicht mit kompromittierten Domänenkonten deaktiviert werden können?
  • Werden Windows-Ereignisprotokolle und ESXi-Logs zentral (SIEM) außerhalb der Endgeräte gesammelt, damit das lokale Löschen von Logs nicht die Sichtbarkeit zerstört?

Wie Argos unterstützt

Das Cyber Defense Center von Argos Security überwacht Ihre Windows- und Virtualisierungsumgebungen rund um die Uhr (24/7) auf genau die Verhaltensmuster, die für Payload typisch sind – etwa Manipulation von Backup-Diensten, Abschalten von Event Tracing und Löschen von Ereignisprotokollen. Wir härten ESXi- und Backup-Infrastruktur, richten unveränderliche Sicherungen ein und etablieren belastbare Wiederherstellungsprozesse. Im Ernstfall greift unser Incident-Response-Team remote in ≤ 30 Minuten ein, um Ausbreitung zu stoppen, Beweise zu sichern und die Wiederherstellung zu steuern.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →