Threat Intelligence

AiLock

Ransomware-as-a-Service mit „KI-gestützter" Vermarktung, post-quantensicherer Verschlüsselung und der ausdrücklichen Drohung, Opfer bei Aufsichtsbehörden und Wettbewerbern anzuschwärzen.

Kurz erklärt

AiLock ist eine finanziell motivierte Ransomware-as-a-Service-Gruppe, die sich selbst als „KI-gestützt" vermarktet und Opferdaten sowohl verschlüsselt als auch stiehlt (Doppelerpressung). Technisch fällt AiLock durch eine hybride Verschlüsselung auf: ChaCha20 sichert die Dateiinhalte, das post-quantensichere Verfahren NTRUEncrypt schützt die Schlüssel und Metadaten – eine unter Ransomware-Familien seltene Wahl.

Besonders aggressiv ist die Erpressungslogik: Zahlt ein Opfer nicht, droht AiLock nicht nur mit der Veröffentlichung der Daten, sondern ausdrücklich damit, die zuständige Datenschutzbehörde zu informieren und Wettbewerber per E-Mail und über soziale Medien auf den Vorfall aufmerksam zu machen. Betroffene haben rund 72 Stunden zur Reaktion und bis zu fünf Tage bis zur Zahlung.

Aktiv

Modell

Ransomware-as-a-Service (RaaS)

Auch bekannt als

AiLock (keine weiteren öffentlich dokumentierten Aliase)

Gegründet

2025/2026 – Quellen uneinheitlich (S2W verortet das erste Auftauchen auf März 2025, ransomware.live führt die erste dokumentierte Aktivität auf März 2026).

Entstanden aus

nicht öffentlich dokumentiert

Herkunft

nicht eindeutig zugeordnet

Zielsektoren

Branchenübergreifend, mit Schwerpunkt auf Fertigung/Industrie, Bauzulieferer, Software/IT und mittelständischen Dienstleistern.

Zielregionen

Global, mit deutlichem Schwerpunkt USA (rund die Hälfte der Opfer); mehrere dokumentierte Opfer im DACH-Raum (Deutschland und Schweiz).

Typisches Lösegeld

nicht öffentlich beziffert

Opferzahl

Rund 47 gelistete Opfer, davon etwa 22 in den USA (Stand: Juli 2026).

File Extensions

.AiLock

Ransom Note

Readme.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Isolieren statt Ausschalten: Betroffene Systeme vom Netz trennen (LAN/WLAN), aber nicht herunterfahren – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sichern: Sicherungen sofort vom Netzwerk trennen und vor Überschreiben/Verschlüsselung schützen.
  • Forensik bewahren: Logs, Speicherabbilder und die Ransom Note (Readme.txt) sichern; keine verschlüsselten Dateien löschen oder verändern.
  • Meldepflichten einhalten: Datenschutzvorfälle innerhalb von 72 Stunden an die Aufsichtsbehörde (DSGVO) und – sofern anwendbar – binnen 24 Stunden nach NIS2 melden; ggf. Strafverfolgungsbehörden einbinden.
  • 24/7-Incident-Response aktivieren: Das Argos CDC bzw. IR-Team einbinden (Remote-Ersteingriff ≤ 30 Minuten), um Ausbreitung zu stoppen und Wiederanlauf zu koordinieren.
  • Intern koordinieren: Krisenstab, Geschäftsführung und Kommunikation einbeziehen und einen sauberen, dokumentierten Ablauf sicherstellen.
⛔ Unbedingt vermeiden
  • Nicht überstürzt zahlen: Der 72-Stunden-/5-Tage-Countdown ist gezielter Druck – eine Zahlung garantiert weder Entschlüsselung noch Löschung gestohlener Daten.
  • Nichts voreilig löschen oder neu aufsetzen, bevor Forensik-Spuren gesichert sind – sonst gehen Beweise und Wiederherstellungsoptionen verloren.
  • Nicht allein verhandeln: Kontakt mit den Tätern nur koordiniert über spezialisierte IR-/Rechtsberatung, nie im Alleingang.
  • Betroffene Systeme nicht herunterfahren – das vernichtet flüchtige forensische Daten im RAM.
  • Backups nicht am infizierten Netz belassen und keine Wiederherstellung in eine noch kompromittierte Umgebung starten.
  • Vorfall nicht verschweigen: Meldepflichten und interne Eskalation ernst nehmen – Verschleierung erhöht rechtliches und reputatives Risiko, gerade angesichts der Behörden-Drohung von AiLock.

Bekannte Angriffe

  • ELO Digital Office (Deutschland, Stuttgart) – Anbieter für Enterprise-Content-Management; Bekennung durch AiLock am 3. März 2026.
  • Berning & Söhne GmbH (Deutschland) – Verbindungstechnik/Befestigung; Vorfall entdeckt am 3. April 2026.
  • Schneebeli AG (Schweiz, Ottenbach) – Schreinerei/Innenausbau; Bekennung durch AiLock am 1. Juni 2026.
  • Röben Tonbaustoffe GmbH (Deutschland) – einer der größten privaten Ziegelhersteller Deutschlands (Familienunternehmen); als Opfer auf der Leak-Seite gelistet.
  • Insgesamt rund 47 Opfer über mehrere Länder hinweg, mit klarem Übergewicht in den USA.

Angriffstechniken (TTPs)

  • Ausführung / Initialer Zugriff:
    • Windows-Kommandozeile für die Ausführung (T1059.003)
    • Missbrauch/Diebstahl von Zugriffstokens zur Rechteausweitung (T1134.001)
  • Discovery:
    • System-Informations-Ermittlung (T1082)
    • Datei- und Verzeichnis-Ermittlung (T1083)
    • Ermittlung von Netzwerkfreigaben (T1135)
  • Verteidigungsumgehung:
    • Obfuskierte Dateien/Informationen (T1027)
  • Impact / Verschlüsselung:
    • Daten zur Wirkung verschlüsselt (T1486) – ChaCha20 + NTRUEncrypt, IOCP-basiertes Multithreading; Vollverschlüsselung < 100 MB, Teilverschlüsselung bei größeren Dateien
    • Stoppen von Diensten (T1489)
  • Extortion:
    • Doppelerpressung: Datendiebstahl, Leak-Seite sowie Drohung mit Meldung an Datenschutzbehörden und Benachrichtigung von Wettbewerbern (72-Stunden-Reaktions-/5-Tage-Zahlungsfrist)

Technologie & Malware

AiLock setzt auf eine hybride Verschlüsselung: ChaCha20 verschlüsselt die Dateiinhalte, während das post-quantensichere NTRUEncrypt (NTRUEncrypt256) den ChaCha20-Schlüssel und die Metadaten schützt – eine unter Ransomware-Familien ungewöhnliche Wahl. Schlüssel und Nonces werden über CryptGenRandom() erzeugt. Zur Beschleunigung nutzt der Verschlüsseler I/O Completion Ports (IOCP) mit parallelen Pfad-Traversal- und Verschlüsselungs-Threads. Je nach Dateigröße erfolgt Voll- (< 100 MB) oder Teilverschlüsselung (größere Dateien); verschlüsselte Dateien erhalten die Endung .AiLock. Öffentlich dokumentierte Analysen beziehen sich auf die Windows-Variante.

Indicators of Compromise (IOCs)

  • Dateiendung verschlüsselter Dateien: .AiLock
  • Erpresserschreiben (Ransom Note): Readme.txt
  • Betrieb einer eigenen Data-Leak-Site (DLS); Infrastruktur wird laut Analysen fortlaufend verlagert.
  • Detaillierte technische Indikatoren (Hashes, YARA-Regeln) sind in der S2W-Analyse bzw. dem zugehörigen Repository veröffentlicht; weitere netzbasierte IOCs sind nicht abschließend öffentlich dokumentiert.

Was Unternehmen jetzt prüfen sollten

  • Offline- und Immutable-Backups: Sicherungen versioniert, getrennt vom Netz und regelmäßig auf Wiederherstellbarkeit getestet.
  • Externe Zugänge härten: VPN/RDP/Remote-Zugänge nur mit Multi-Faktor-Authentifizierung und aktuellem Patch-Stand.
  • Netzsegmentierung: Produktions-, Server- und Administrationsnetze trennen, um seitliche Ausbreitung (Lateral Movement) zu bremsen.
  • Frühwarnung: EDR/XDR und 24/7-Monitoring auf verdächtige Verschlüsselungs-, Discovery- und Dienst-Stopp-Aktivitäten (z. B. Massenumbenennungen, Service-Stop).

Wie Argos unterstützt

Das Argos Cyber Defense Center (CDC) überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt typische AiLock-Muster – etwa Netzwerk-Share-Discovery, das Stoppen von Diensten und beginnende Massenverschlüsselung – frühzeitig, bevor flächendeckender Schaden entsteht. Im Ernstfall greift unser Incident-Response-Team in ≤ 30 Minuten remote ein, isoliert betroffene Systeme, sichert Forensik-Spuren und koordiniert die Wiederherstellung. Ergänzend härten wir mit Secure Access und durchgängiger MFA genau die Fernzugänge, über die Ransomware-Affiliates typischerweise eindringen, und begleiten Sie bei den regulatorischen Meldepflichten (DSGVO/NIS2).