AiLock ist eine finanziell motivierte Ransomware-as-a-Service-Gruppe, die sich selbst als „KI-gestützt" vermarktet und Opferdaten sowohl verschlüsselt als auch stiehlt (Doppelerpressung). Technisch fällt AiLock durch eine hybride Verschlüsselung auf: ChaCha20 sichert die Dateiinhalte, das post-quantensichere Verfahren NTRUEncrypt schützt die Schlüssel und Metadaten – eine unter Ransomware-Familien seltene Wahl.
Besonders aggressiv ist die Erpressungslogik: Zahlt ein Opfer nicht, droht AiLock nicht nur mit der Veröffentlichung der Daten, sondern ausdrücklich damit, die zuständige Datenschutzbehörde zu informieren und Wettbewerber per E-Mail und über soziale Medien auf den Vorfall aufmerksam zu machen. Betroffene haben rund 72 Stunden zur Reaktion und bis zu fünf Tage bis zur Zahlung.
Aktiv
Ransomware-as-a-Service (RaaS)
AiLock (keine weiteren öffentlich dokumentierten Aliase)
2025/2026 – Quellen uneinheitlich (S2W verortet das erste Auftauchen auf März 2025, ransomware.live führt die erste dokumentierte Aktivität auf März 2026).
nicht öffentlich dokumentiert
nicht eindeutig zugeordnet
Branchenübergreifend, mit Schwerpunkt auf Fertigung/Industrie, Bauzulieferer, Software/IT und mittelständischen Dienstleistern.
Global, mit deutlichem Schwerpunkt USA (rund die Hälfte der Opfer); mehrere dokumentierte Opfer im DACH-Raum (Deutschland und Schweiz).
nicht öffentlich beziffert
Rund 47 gelistete Opfer, davon etwa 22 in den USA (Stand: Juli 2026).
.AiLock
Readme.txt
Readme.txt) sichern; keine verschlüsselten Dateien löschen oder verändern.AiLock setzt auf eine hybride Verschlüsselung: ChaCha20 verschlüsselt die Dateiinhalte, während das post-quantensichere NTRUEncrypt (NTRUEncrypt256) den ChaCha20-Schlüssel und die Metadaten schützt – eine unter Ransomware-Familien ungewöhnliche Wahl. Schlüssel und Nonces werden über CryptGenRandom() erzeugt. Zur Beschleunigung nutzt der Verschlüsseler I/O Completion Ports (IOCP) mit parallelen Pfad-Traversal- und Verschlüsselungs-Threads. Je nach Dateigröße erfolgt Voll- (< 100 MB) oder Teilverschlüsselung (größere Dateien); verschlüsselte Dateien erhalten die Endung .AiLock. Öffentlich dokumentierte Analysen beziehen sich auf die Windows-Variante.
.AiLockReadme.txtDas Argos Cyber Defense Center (CDC) überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt typische AiLock-Muster – etwa Netzwerk-Share-Discovery, das Stoppen von Diensten und beginnende Massenverschlüsselung – frühzeitig, bevor flächendeckender Schaden entsteht. Im Ernstfall greift unser Incident-Response-Team in ≤ 30 Minuten remote ein, isoliert betroffene Systeme, sichert Forensik-Spuren und koordiniert die Wiederherstellung. Ergänzend härten wir mit Secure Access und durchgängiger MFA genau die Fernzugänge, über die Ransomware-Affiliates typischerweise eindringen, und begleiten Sie bei den regulatorischen Meldepflichten (DSGVO/NIS2).