Play: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

Play ist eine Ransomware-Gruppe, die international hunderte Organisationen getroffen hat – mit auffällig vielen Fällen im Mittelstand, bei Kommunen und Versorgern, auch im deutschsprachigen Raum. Die Gruppe nutzt bekannte Schwachstellen in Firewalls, VPNs und Exchange-Servern, exfiltriert Daten und verschlüsselt anschließend (Double Extortion).

Aktiv

Modell

Privates, zentral gesteuertes Kollektiv (kein klassisches RaaS)

Auch bekannt als

PlayCrypt

Gegründet

2022

Entstanden aus

Keine bekannte Verbindung zu anderen Gruppen

Herkunft

Unbekannt (Lateinamerika vermutet, evtl. Brasilien/Argentinien)

Zielsektoren

Gesundheitswesen, Recht, Immobilien, Fertigung, IT, Behörden

Zielregionen

USA, DACH, Frankreich, UK, Australien

Typisches Lösegeld

Keine öffentlichen Forderungen; Verhandlungen privat

Opferzahl

Top-10-Gruppe; hunderte Opfer seit 2022 (Stand: Juni 2026)

File Extensions

.play

Ransom Note

PLAY_README.txt / ReadMe.txt (nur E-Mail-Kontakt, kein Tor-Portal)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
Backups sofort prüfen und offline/schreibgeschützt sichern.
Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.

⛔ Unbedingt vermeiden

Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

Stadt Córdoba, Argentinien (Aug. 2022)
Rackspace (Dez. 2022, Exchange-Angriff)
Stadt Oakland (Feb. 2023, Notstand ausgerufen)

Angriffstechniken (TTPs)

Initial Access: Exploits gegen exponierte Systeme.
- FortiOS SSL-VPN (CVE-2018-13379, CVE-2020-12812), MS Exchange ProxyNotShell (CVE-2022-41040/41082) und OWASSRF, Cisco ASA
- SimpleHelp RMM (CVE-2024-57726/57727/57728) zum Ausrollen des Sliver-Beacons
- Gekaufte Zugänge über Initial Access Broker; exponiertes RDP (T1190, T1078, T1133)
Verschlüsselung: Intermittierende Verschlüsselung (Datei-Chunks) für Tempo und Tarnung.

Technologie & Malware

Verschlüsselung: AES-256 mit RSA-4096-Schutz; Fallback ChaCha20 ohne AES-NI. Intermittierende Verschlüsselung (0x100000-Byte-Chunks) umgeht Verhaltenserkennung.

Ziele: Windows und VMware ESXi (/vmfs/volumes/). Endung .play.

Indicators of Compromise (IOCs)

File Extension: .play
Ransom Note: PLAY_README.txt / ReadMe.txt
Ausgenutzte CVEs: CVE-2022-41040/41082 (ProxyNotShell), CVE-2018-13379 (FortiOS), CVE-2024-57726/57727/57728 (SimpleHelp)
Tools: Sliver, Cobalt Strike, SystemBC

Was Unternehmen jetzt prüfen sollten

Patch-Stand aller Internet-exponierten Systeme – Firewalls, VPN, Mail
Härtung von Exchange (oder Migration) und Deaktivierung von Alt-Protokollen
Segmentierung: kompromittierte Randsysteme dürfen nicht direkt ins Backend führen
Getestete Offline-Backups und geübter Wiederanlauf kritischer Prozesse

Wie Argos unterstützt

Managed Firewall und Schwachstellen-Management schließen die Einstiegswege, das Cyber Defense Center erkennt Play-typische Muster 24/7 – und der IR-Retainer sichert priorisierte Hilfe im Ernstfall.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →