3AM: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

3AM (ThreeAM) ist eine 2023 erstmals beobachtete, in Rust geschriebene Ransomware. Sie wurde unter anderem eingesetzt, als der Versuch scheiterte, LockBit auszurollen – ein Hinweis auf erfahrene Affiliates mit mehreren Werkzeugen. Vorgehen: Datendiebstahl, Deaktivierung von Schutzsoftware, Verschlüsselung.

Nach einer ruhigen Phase im Frühjahr 2026 ist 3AM im Sommer 2026 mit aufgefrischter Vorgehensweise zurückgekehrt – unter anderem mit Social Engineering per Telefon (Vishing) und Missbrauch von Fernwartungs-Werkzeugen. Die Gruppe listet wieder regelmäßig neue Opfer, darunter im Juli 2026 auch ein deutsches Unternehmen, und gilt damit erneut als aktiv.

Aktiv

Modell

RaaS (kleine, selektive Gruppe)

Auch bekannt als

3AM, ThreeAM

Gegründet

2023

Entstanden aus

Erstmals als Fallback beobachtet, als ein LockBit-Einsatz scheiterte (Symantec)

Herkunft

Unbekannt; Bezüge zum Conti-/Royal-Umfeld

Zielsektoren

Branchenübergreifend, zunehmend Mittelstand

Zielregionen

USA, Europa (DACH), global

Typisches Lösegeld

100.000 – 2 Mio. USD

Opferzahl

Rund 88 gelistete Opfer; im Sommer 2026 neue Opfer inkl. deutschem Ziel (Stand: Juli 2026)

File Extensions

.threeamtime

Ransom Note

RECOVER-FILES.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
Helpdesk sensibilisieren: keine Fernwartung/Passwort-Resets ohne strenge Identitätsprüfung – 3AM kommt über gefälschten IT-Support.
Betroffene Systeme isolieren, aber nicht ausschalten; Backups offline prüfen.
Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.

⛔ Unbedingt vermeiden

Nicht vorschnell Lösegeld zahlen – keine Garantie; Zahlungen können sanktions- und strafrechtlich relevant sein.
Verdächtige „IT-Support“-Anrufe (Teams/Quick Assist) nicht zulassen – der klassische Einfallsweg.
Nicht auf E-Mail-Bombing mit Panik reagieren – es dient als Vorwand für den „Support“-Anruf.
Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist.
Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

Diverse mittelständische Unternehmen in den USA und Europa (2024–2025)
Deutsches Unternehmen im Zuge der Sommer-Kampagne 2026 (Juli 2026)

Angriffstechniken (TTPs)

Initial Access: E-Mail-Bombing + anschließendes Vishing (gefälschter IT-Support via Microsoft Teams/Quick Assist – ähnlich Black Basta); gekaufte Zugänge.
- MITRE: T1566, T1219, T1078
Vorgehen: QEMU-VM als versteckter Netzwerk-Tunnel, gsocket-Reverse-Shells, Schattenkopien löschen.

Technologie & Malware

Sprache: Rust. Verschlüsselung: AES + RSA.

Plattformen: Windows (Linux/ESXi-Varianten beobachtet).

Besonderheit: kombiniert Social Engineering (Teams-Vishing) mit Virtualisierungs-Tricks zur Tarnung.

Indicators of Compromise (IOCs)

File Extension: .threeamtime
Ransom Note: RECOVER-FILES.txt
Tools: QEMU-Tunnel, gsocket
Muster: E-Mail-Bombing + Teams-Vishing

Was Unternehmen jetzt prüfen sollten

Manipulationsschutz (Tamper Protection) für EDR/AV aktivieren
Alarme, wenn Sicherheitsdienste gestoppt werden
MFA und Least Privilege
Offline-Backups

Wie Argos unterstützt

24/7-Erkennung im Cyber Defense Center meldet das Abschalten von Schutzsoftware sofort; Managed XDR und IR begrenzen den Schaden.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →