Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

APT73 / Bashe

Selbsternannte „APT“ aus dem LockBit-Umfeld, die vor allem mit Datenerpressung arbeitet – mit auffällig vielen Einträgen aus Deutschland, Österreich und der Schweiz.

Vorfall melden
Kurz erklärt

APT73 – seit Ende 2024 vor allem unter dem Namen Bashe unterwegs, früher auch Eraleig – tauchte im April 2024 kurz nach der Zerschlagung von LockBit auf. Die Gruppe gab sich selbst das Label „Advanced Persistent Threat“, obwohl sie technisch keine staatlich gesteuerte Spionagegruppe ist, sondern finanziell motiviert erpresst. Aufbau und Gestaltung ihrer Leak-Site sind der LockBit-Seite nachempfunden, weshalb ehemalige LockBit-Partner als Betreiber vermutet werden. APT73/Bashe setzt überwiegend auf reine Datenerpressung: Es wird mit der Veröffentlichung angeblich erbeuteter Datenbestände gedroht, ein eigener Verschlüsseler ist öffentlich bislang nicht analysiert. Bis Juli 2026 listete die Gruppe rund 161 Opfer in 50 Ländern – darunter auffallend viele Organisationen aus dem deutschsprachigen Raum.

Aktiv

Modell

Datenerpressung (Extortion) mit Leak-Site; RaaS-ähnliche Selbstdarstellung

Auch bekannt als

Bashe; Eraleig; APT73

Gegründet

April 2024 (als APT73/Eraleig); Umbenennung in Bashe ab Oktober 2024

Entstanden aus

Mutmaßlich Umfeld ehemaliger LockBit-Partner nach der Zerschlagung von LockBit im Rahmen der Operation Cronos (Februar 2024); die Leak-Site übernimmt Struktur und Rubriken der LockBit-Seite nahezu identisch.

Herkunft

Nicht eindeutig zugeordnet; vermutet wird das russischsprachige LockBit-Partnerumfeld

Zielsektoren

Professionelle Dienstleistungen (Schwerpunkt), Technologie und IT, Finanzdienstleistungen, Behörden und Verteidigung sowie Gesundheitswesen.

Zielregionen

Weltweit in rund 50 Ländern, am stärksten USA, Vereinigtes Königreich und Brasilien. Die DACH-Region ist deutlich vertreten: Auf der Leak-Site erscheinen regelmäßig Organisationen aus Deutschland, Österreich und der Schweiz.

Typisches Lösegeld

Nicht öffentlich beziffert.

Opferzahl

Rund 161 gelistete Opfer in 50 Ländern (Stand: Juli 2026), davon rund 21 in den letzten 90 Tagen

File Extensions

Öffentlich nicht dokumentiert – ein eigener Verschlüsseler der Gruppe ist bislang nicht analysiert.

Ransom Note

Öffentlich nicht dokumentiert – die Erpressung läuft primär über die Leak-Site und direkte Kontaktaufnahme.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Behauptung zuerst verifizieren: Datenproben der Leak-Site sichern und prüfen lassen, ob sie tatsächlich aus Ihrer Umgebung stammen – oder aus einem Dienstleister-, Lieferanten- oder Infostealer-Leak.
  • Incident Response aktivieren und ein spezialisiertes Team einbinden; parallel Krisenstab, Datenschutzbeauftragte und Geschäftsführung informieren.
  • Alle potenziell betroffenen Zugangsdaten zurücksetzen und MFA erzwingen – der typische Einstieg läuft über gestohlene Passwörter.
  • Logs sichern und den Betrachtungszeitraum weit zurück ansetzen: Die Veröffentlichung erfolgt oft erst Monate nach dem eigentlichen Abfluss.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung an die zuständige Behörde binnen 24 Stunden; Strafanzeige bei Polizei/ZAC erwägen.
  • Kommunikation vorbereiten: abgestimmte Sprachregelung für Kunden, Partner und Presse, bevor die Veröffentlichung Reichweite gewinnt.
⛔ Unbedingt vermeiden
  • Die Nennung weder ungeprüft bestätigen noch vorschnell dementieren – beides fällt zurück, wenn sich die Faktenlage später dreht.
  • Keine eigenständige Zahlung ohne juristische, forensische und ggf. behördliche Abstimmung – gerade bei reiner Datenerpressung gibt es keine überprüfbare Gegenleistung.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Datenschutzrechtliche Bewertung nicht aufschieben, bis die Echtheit vollständig geklärt ist – die Fristen laufen ab Kenntnis eines möglichen Vorfalls.
  • Logs und Beweise nicht überschreiben lassen; Aufbewahrungsfristen im Zweifel sofort verlängern.
  • Das Thema nicht allein der IT überlassen – Reputations- und Haftungsfragen gehören früh auf die Ebene der Geschäftsführung.

Bekannte Angriffe

  • Österreich: Einträge u. a. zu viennaairport.com (Juni 2026), polleninformation.at, credio.eu und ritavo.com.
  • Deutschland: Einträge u. a. zu metrabyte.cloud (Juli 2026), scopeset.de, phb.com und alx-pc.com.
  • Schweiz: Eintrag zu baldinger-ag.ch.
  • International: u. a. die marokkanische Medienaufsicht HACA (März 2026).
  • Wichtig: Sämtliche Nennungen sind Eigenangaben der Leak-Site und nicht unabhängig verifiziert. Bei dieser Gruppe ist der Anteil wiederverwerteter oder aus Drittquellen stammender Daten erfahrungsgemäß hoch – eine Nennung ist kein Beleg für einen Einbruch in die eigene Umgebung.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Gültige, per Infostealer erbeutete Zugangsdaten – T1078 (Valid Accounts)
    • Externe Fernzugriffsdienste und Cloud-Portale – T1133 (External Remote Services)
  • Sammlung:
    • Zusammenführen von Daten aus Dritt- und Lieferantenquellen – T1213 (Data from Information Repositories)
  • Exfiltration:
    • Datenabfluss über Webdienste und Filesharing – T1567 (Exfiltration Over Web Service)
  • Auswirkung / Erpressung:
    • Veröffentlichungsdrohung auf einer Tor-Leak-Site – Erpressung ohne belegte Verschlüsselung
    • Öffentlicher Reputationsdruck durch Countdown, Datenproben und Presseansprache
  • Besonderheit:
    • Zeitverzug von durchschnittlich rund drei Monaten zwischen Vorfall und Veröffentlichung – Einträge betreffen häufig ältere Kompromittierungen

Technologie & Malware

Für APT73/Bashe ist bislang kein eigener Verschlüsseler öffentlich analysiert worden. Die Gruppe tritt vor allem als Datenerpresser auf: Sie betreibt eine über Tor erreichbare Leak-Site mit mehreren Vanity-Onion-Adressen, deren Aufbau – inklusive Rubriken wie „Contact Us“, „How to Buy Bitcoin“, „Web Security Bug Bounty“ und „Mirrors“ – der LockBit-Seite nachempfunden ist. Diese Nähe ist das wesentliche Indiz für die vermutete Herkunft aus dem LockBit-Partnerumfeld. Für den initialen Zugang werden überwiegend gestohlene Zugangsdaten aus Infostealer-Infektionen genutzt; bei rund 70 % der gelisteten Opfer lassen sich parallel entsprechende Datenlecks nachweisen.

Indicators of Compromise (IOCs)

  • Tor-Leak-Site mit mehreren Vanity-Onion-Adressen, deren Namen mit „bashe…“ beginnen; Layout an LockBit angelehnt
  • Frühere Domains und Bezeichnungen: APT73, Eraleig
  • Kein bekannter Datei-Endungs- oder Erpressernotiz-Indikator – die Erkennung stützt sich auf Datenabfluss und kompromittierte Zugangsdaten
  • Infostealer-Treffer zu Unternehmens-Domains sind ein starker Frühindikator; entsprechende Monitorings sollten aktiv ausgewertet werden.

Was Unternehmen jetzt prüfen sollten

  • Werden die Zugangsdaten Ihrer Mitarbeitenden und Dienstleister systematisch auf Infostealer-Leaks überwacht, damit kompromittierte Konten vor einer Erpressung gesperrt werden können?
  • Gibt es ein festgelegtes Verfahren für den Fall, dass Ihr Unternehmen auf einer Leak-Site erscheint – wer verifiziert die Behauptung, wer informiert Geschäftsführung, Datenschutz und ggf. Behörden?
  • Können Sie rückwirkend mindestens sechs Monate nachvollziehen, welche Daten wann aus Ihrer Umgebung abgeflossen sind (Logging-Aufbewahrung, Netz- und Cloud-Telemetrie)?
  • Sind alle externen Zugänge und Cloud-Dienste mit Multi-Faktor-Authentifizierung abgesichert, sodass gestohlene Passwörter allein nicht ausreichen?
  • Ist geregelt, welche Daten Ihre Dienstleister und Lieferanten halten – damit ein Leak beim Dritten nicht fälschlich Ihnen zugeordnet oder übersehen wird?

Wie Argos unterstützt

Wenn Ihr Unternehmen auf einer Leak-Site wie der von APT73/Bashe erscheint, ist die erste Frage immer: Stimmt das überhaupt – und wenn ja, woher stammen die Daten? Genau hier setzt Argos Security an: Unser Threat-Intelligence-Team ordnet die Veröffentlichung ein, gleicht sie mit bekannten Infostealer- und Drittleaks ab und prüft, ob es sich um einen realen Vorfall in Ihrer Umgebung handelt. Das Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt Datenabflüsse sowie Anmeldungen mit gestohlenen Zugangsdaten frühzeitig. Bestätigt sich ein Vorfall, übernimmt unser Incident-Response-Team die Untersuchung, den Umfangsnachweis und die Begleitung von Melde- und Informationspflichten.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →