APT73 – seit Ende 2024 vor allem unter dem Namen Bashe unterwegs, früher auch Eraleig – tauchte im April 2024 kurz nach der Zerschlagung von LockBit auf. Die Gruppe gab sich selbst das Label „Advanced Persistent Threat“, obwohl sie technisch keine staatlich gesteuerte Spionagegruppe ist, sondern finanziell motiviert erpresst. Aufbau und Gestaltung ihrer Leak-Site sind der LockBit-Seite nachempfunden, weshalb ehemalige LockBit-Partner als Betreiber vermutet werden. APT73/Bashe setzt überwiegend auf reine Datenerpressung: Es wird mit der Veröffentlichung angeblich erbeuteter Datenbestände gedroht, ein eigener Verschlüsseler ist öffentlich bislang nicht analysiert. Bis Juli 2026 listete die Gruppe rund 160 Opfer in 50 Ländern – darunter auffallend viele Organisationen aus dem deutschsprachigen Raum.
Aktuelle Einordnung (August 2026): Seit dem Eintrag vom 24. Juli 2026 hat die Gruppe kein neues Opfer mehr veröffentlicht – in den letzten 30 Tagen kein einziges, in den letzten 90 Tagen 14. Wir führen APT73/Bashe deshalb als geschwächt. Ob es sich um eine Pause, einen Umbau oder das Ende der Marke handelt, ist offen. Bei dieser Gruppe ist eine Stille besonders schwer zu deuten, weil zwischen Vorfall und Veröffentlichung im Schnitt rund drei Monate liegen.
Geschwächt
Datenerpressung (Extortion) mit Leak-Site; RaaS-ähnliche Selbstdarstellung
Bashe; Eraleig; APT73
April 2024 (als APT73/Eraleig); Umbenennung in Bashe ab Oktober 2024
Mutmaßlich Umfeld ehemaliger LockBit-Partner nach der Zerschlagung von LockBit im Rahmen der Operation Cronos (Februar 2024); die Leak-Site übernimmt Struktur und Rubriken der LockBit-Seite nahezu identisch.
Nicht eindeutig zugeordnet; vermutet wird das russischsprachige LockBit-Partnerumfeld
Professionelle Dienstleistungen (Schwerpunkt), Technologie und IT, Finanzdienstleistungen, Behörden und Verteidigung sowie Gesundheitswesen.
Weltweit in rund 50 Ländern, am stärksten USA, Vereinigtes Königreich und Brasilien. Die DACH-Region ist deutlich vertreten: Auf der Leak-Site erscheinen regelmäßig Organisationen aus Deutschland, Österreich und der Schweiz.
Nicht öffentlich beziffert.
Rund 160 gelistete Opfer in 50 Ländern; 14 in den letzten 90 Tagen, keine in den letzten 30 Tagen (Stand: 24. August 2026)
Öffentlich nicht dokumentiert – ein eigener Verschlüsseler der Gruppe ist bislang nicht analysiert.
Öffentlich nicht dokumentiert – die Erpressung läuft primär über die Leak-Site und direkte Kontaktaufnahme.
Für APT73/Bashe ist bislang kein eigener Verschlüsseler öffentlich analysiert worden. Die Gruppe tritt vor allem als Datenerpresser auf: Sie betreibt eine über Tor erreichbare Leak-Site mit mehreren Vanity-Onion-Adressen, deren Aufbau – inklusive Rubriken wie „Contact Us“, „How to Buy Bitcoin“, „Web Security Bug Bounty“ und „Mirrors“ – der LockBit-Seite nachempfunden ist. Diese Nähe ist das wesentliche Indiz für die vermutete Herkunft aus dem LockBit-Partnerumfeld. Für den initialen Zugang werden überwiegend gestohlene Zugangsdaten aus Infostealer-Infektionen genutzt; bei rund 70 % der gelisteten Opfer lassen sich parallel entsprechende Datenlecks nachweisen.
Wenn Ihr Unternehmen auf einer Leak-Site wie der von APT73/Bashe erscheint, ist die erste Frage immer: Stimmt das überhaupt – und wenn ja, woher stammen die Daten? Genau hier setzt Argos Security an: Unser Threat-Intelligence-Team ordnet die Veröffentlichung ein, gleicht sie mit bekannten Infostealer- und Drittleaks ab und prüft, ob es sich um einen realen Vorfall in Ihrer Umgebung handelt. Das Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt Datenabflüsse sowie Anmeldungen mit gestohlenen Zugangsdaten frühzeitig. Bestätigt sich ein Vorfall, übernimmt unser Incident-Response-Team die Untersuchung, den Umfangsnachweis und die Begleitung von Melde- und Informationspflichten.