Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

RansomHub

Als LockBit und ALPHV wegbrachen, sammelte RansomHub deren Affiliates ein – und wurde binnen Monaten zu einer der aktivsten Ransomware-Operationen.

Vorfall melden
Kurz erklärt

RansomHub ist eine Ransomware-as-a-Service-Plattform, die 2024 startete und gezielt erfahrene Affiliates zerschlagener Gruppen (LockBit, ALPHV/BlackCat) anwarb – mit ungewöhnlich hohen Gewinnbeteiligungen. Das Ergebnis: professionelle Angreifer, eingespielte Werkzeuge, hohe Schlagzahl über alle Branchen hinweg.

Historisch

Modell

RaaS (aggressiv: bis 90 % Provision für Affiliates)

Auch bekannt als

RansomHub (RaaS)

Gegründet

Februar 2024

Entstanden aus

Kaufte die Codebasis von Knight Ransomware; nahm ALPHV-Affiliates nach dem BlackCat-Zusammenbruch auf

Herkunft

Osteuropa (vermutet), evtl. Bezug zu Knight/Cyclops-Operatoren

Zielsektoren

Gesundheitswesen, kritische Infrastruktur, Wasserversorgung, Finanzwesen

Zielregionen

USA (primär), DACH, UK, global

Typisches Lösegeld

100.000 – 10 Mio. USD

Opferzahl

2024 eine der aktivsten Gruppen; Infrastruktur seit April 2025 offline

File Extensions

zufällige 6-stellige Endung je Opfer

Ransom Note

README_[Kennung].txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Change Healthcare (mit ehemaligen ALPHV-Affiliates)
  • US-Wasserversorger (2024)
  • Christie's Auktionshaus (Mai 2024)
  • Rite Aid

Angriffstechniken (TTPs)

  • Initial Access: Exploits, Spearphishing und Password Spraying.
    • CVE-2023-3519 (Citrix NetScaler), CVE-2023-27997 (FortiOS), CVE-2023-46604 (Apache ActiveMQ), CVE-2023-22515 (Confluence), CVE-2023-46747 (F5 BIG-IP), CVE-2017-0144 (EternalBlue)
    • MITRE: T1190, T1566.002, T1110.003
  • Persistence: Anlegen privilegierter Konten (T1136).

Technologie & Malware

Sprache/Plattform: GoLang (Windows/Linux), C++ (ESXi); täglich neu gebaut mit AST-Obfuskation gegen Signaturen. Ziele: Windows, Linux, ESXi, FreeBSD, MIPS.

Verschlüsselung: X25519 (asymmetrisch, je Opfer) + AES-256; ESXi-Variante nutzt PowerShell gegen vCenter, aktiviert SSH und setzt das Root-Passwort zurück.

Indicators of Compromise (IOCs)

  • File Extension: zufällige 6-stellige Endung
  • Ransom Note: README_[Kennung].txt
  • Ausgenutzte CVEs: CVE-2023-3519, CVE-2023-27997, CVE-2023-46604, CVE-2023-22515, CVE-2017-0144
  • Nachfolge: Affiliates v. a. zu Qilin; DragonForce-„Kartell“

Was Unternehmen jetzt prüfen sollten

  • Grundhygiene konsequent: MFA, Patch-Management, minimale Rechte
  • Erkennung von Datenexfiltration – vor der Verschlüsselung ist der Datenabfluss das Warnsignal
  • EDR-Abdeckung auf allen Endpunkten und Servern, inklusive Alarme außerhalb der Bürozeiten
  • Incident-Response-Plan mit geübten Meldewegen (DSGVO 72h, NIS2 24h)

Wie Argos unterstützt

24/7-Überwachung im Cyber Defense Center, Managed XDR zur frühen Eindämmung und Incident Response mit ≤ 30 Minuten Reaktionszeit remote.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →