Threat Intelligence

AuditTeam

Erpressergruppe mit ungewöhnlichem Zielbild: Seit Februar 2026 34 gelistete Opfer, fast die Hälfte in Russland – und im September zwei Einträge aus Deutschland.

Kurz erklärt

AuditTeam ist eine junge Erpressergruppe, die sich sprachlich als Wirtschaftsprüfer tarnt: Die Erpressernotiz ist als „Audit Log“ an Geschäftsleitung und Compliance-Abteilung adressiert, das Lösegeld heißt „Audit & Consulting Fee“, und wer nicht zahlt, dem droht die „öffentliche Transparenz“ – also die Veröffentlichung der gestohlenen Daten und die direkte Benachrichtigung von Kunden, Partnern und Aufsichtsbehörden. Eine Entschlüsselung wird in der Notiz gar nicht angeboten; ob die Gruppe überhaupt verschlüsselt, ist öffentlich nicht belegt.

Seit dem ersten geschätzten Angriff im Februar 2026 sind 34 Opfer in 14 Ländern gelistet, davon 13 allein in der zweiten Septemberwoche. Ungewöhnlich ist die Zielverteilung: 15 Opfer sitzen in Russland, was AuditTeam von den meisten russischsprachigen Gruppen unterscheidet, die russische Ziele meiden. Am 9. und 13. September 2026 erschienen zwei Einträge aus Deutschland – einer davon als „Paid Victim“ mit Kennung, ein Format, das darauf hindeutet, dass die Gruppe bezahlte Fälle anonymisiert als Referenz stehen lässt.

Einordnung: Zu AuditTeam existiert keine öffentliche Malware-Analyse, nur Tracker-Daten und die Erpressernotiz. Die Opfernamen sind auf der Leak-Site überwiegend maskiert. Wir führen das Profil wegen des Tempos und des Deutschland-Bezugs, weisen aber ausdrücklich darauf hin, dass die Behauptungen der Gruppe nicht unabhängig bestätigt sind.

Aktiv

Modell

Geschlossen auftretende Erpressergruppe mit eigener Tor-Leak-Site; kein bekanntes Partnerprogramm

Auch bekannt als

AuditTeam, Auditteam, „Audit Team“ – der Name leitet sich aus der Erpressernotiz ab, die als „Audit Log“ formuliert ist

Gegründet

Erstes Opfer geschätzt am 21. Februar 2026; Leak-Site am 8. April 2026 erstmals von Trackern erfasst

Entstanden aus

Nicht öffentlich dokumentiert; keine belegte Verbindung zu bekannten Gruppen

Herkunft

Nicht zugeordnet; die Opferverteilung mit Schwerpunkt Russland ist für eine russischsprachige Gruppe untypisch, eine belastbare Zuschreibung existiert nicht

Zielsektoren

Technologie und Software (größte Gruppe), Transport und Logistik, Fertigung, Stahl, Agrar, Finanzdienstleister

Zielregionen

14 Länder; Russland mit 15 Opfern klar an erster Stelle, dazu Südkorea, Deutschland (2), Kolumbien, Senegal, Japan, Indien, Argentinien, Ukraine

Typisches Lösegeld

Öffentlich nicht beziffert; die Notiz spricht von einer „Audit & Consulting Fee“ ohne Betrag

Opferzahl

34 gelistete Opfer in 14 Ländern seit Februar 2026, davon 13 in der Woche vom 8. bis 13. September 2026; +117 % gegenüber dem Vormonat (Stand: 14. September 2026)

File Extensions

Keine belastbare öffentliche Angabe – die Erpressernotiz bietet keine Entschlüsselung an, eine Verschlüsselung ist nicht belegt

Ransom Note

[zufallszeichen].README.txt – formuliert als „AUDIT LOG: SEVERE INFRASTRUCTURE COMPROMISE VERIFIED“, adressiert an Geschäftsleitung und Compliance

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Umfang des Datenabflusses bestimmen: Welche Konten, Systeme und Datenbestände waren betroffen, welche Daten wurden nachweislich ausgeleitet?
  • Beweise sichern: Firewall-, Proxy-, VPN- und Microsoft-365-Audit-Logs unverändert sichern, bevor sie rotieren.
  • Kompromittierte Identitäten sperren, Zugangsdaten zurücksetzen, Mehr-Faktor-Anmeldung erzwingen, aktive Sitzungen und OAuth-Tokens widerrufen – der Einstieg lief mit hoher Wahrscheinlichkeit über gestohlene Logins.
  • Nach Dateien mit der Endung .README.txt und dem Kopf „AUDIT LOG“ suchen, um den betroffenen Umfang abzugrenzen.
  • Meldepflichten fristgerecht erfüllen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden – bevor die Erpresser diese Stellen selbst informieren.
  • Kunden- und Partnerkommunikation vorbereiten: AuditTeam droht ausdrücklich damit, Kunden und Partner direkt anzuschreiben.
  • Incident Response aktivieren und die Leitung einbinden – nicht die IT allein entscheiden lassen.
⛔ Unbedingt vermeiden
  • Nicht auf eigene Faust über das „Audit-Portal“ verhandeln – nur über erfahrene Incident-Responder und mit Rechtsbeistand.
  • Nicht vorschnell die „Audit & Consulting Fee“ zahlen: Es gibt keine Garantie für Löschung der Daten, und ein anonymisierter „Paid Victim“-Eintrag kann trotzdem stehen bleiben.
  • Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist – sonst bleibt unklar, welcher Zugang missbraucht wurde.
  • Sich nicht in Sicherheit wiegen, weil nichts verschlüsselt wurde – der Datenabfluss allein begründet Melde- und Haftungsfolgen.
  • Log-Daten nicht rotieren oder überschreiben lassen – sie sind für die Umfangsbestimmung entscheidend.
  • Den Vorfall nicht aussitzen, weil der eigene Name auf der Leak-Site maskiert ist – die Maskierung fällt nach Fristablauf weg.

Bekannte Angriffe

  • Deutschland (September 2026): zwei Einträge auf der Leak-Site – ein maskierter Name („mo***al“, 9. September) und ein „Paid Victim“ mit Kennung (13. September). Namen sind nicht lesbar, die Zuordnung zu Deutschland stammt vom Tracker.
  • Demidov Steel Group (Russland, 26. August 2026) – Stahlkonzern; einer der wenigen Klarnamen auf der Site.
  • mansurovogroup (Russland, September 2026) – Agrarunternehmen aus der Region Kursk.
  • I-SYS (Russland, Juni 2026) – Softwareentwickler für Geschäftsautomatisierung.
  • Welle vom 8. bis 13. September 2026: 13 Einträge in sechs Tagen aus Russland, Südkorea, Japan, Indien, Argentinien, der Ukraine und Deutschland.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site und sind nicht unabhängig bestätigt; Opfernamen sind überwiegend maskiert.

Angriffstechniken (TTPs)

  • Initialer Zugang (aus Tracker-Daten abgeleitet, nicht forensisch belegt):
    • Gestohlene Zugangsdaten aus Infostealer-Infektionen – bei 100 % der gelisteten Opfer mit bekannter Domain nachweisbar – T1078
    • Fernzugänge ohne Mehr-Faktor-Anmeldung als wahrscheinlicher Eintrittspunkt – T1133
  • Datendiebstahl:
    • Ausleitung von Unternehmensdaten, interner Kommunikation und geschützten Datensätzen vor der Erpressung – T1567 / TA0010
  • Auswirkung:
    • Ablage einer Erpressernotiz [zufallszeichen].README.txt auf den Systemen – eine Verschlüsselung ist nicht belegt (T1486 offen)
  • Erpressung:
    • Veröffentlichung mit Countdown auf der Tor-Leak-Site „Data Exposure Terminal“; Androhung, Kunden, Partner und Aufsichtsbehörden direkt zu informieren – T1657
    • Kontakt über ein Portal mit individueller „Audit ID“

Technologie & Malware

Zu AuditTeam existiert keine öffentliche Malware-Analyse. Bekannt sind nur die Erpressernotiz (Dateiname mit Zufallszeichen und Endung .README.txt), die Leak-Site-Infrastruktur und eine vom Tracker ransomware.live veröffentlichte YARA-Regel (AuditTeam.yar). Die Notiz bietet keine Entschlüsselung an, sondern verkauft das Nichtveröffentlichen als „Audit & Consulting Fee“ – ein Hinweis darauf, dass die Gruppe primär auf Datendiebstahl setzt.

Die Leak-Site tritt als „/// DATA EXPOSURE TERMINAL ///“ mit Countdown pro Opfer auf und läuft auf einem nginx-Webserver im Tor-Netz; eine zweite .onion-Adresse dient als Ausweich- oder Kontaktportal. Die Erreichbarkeit lag zuletzt bei rund 96 Prozent – die Gruppe betreibt ihre Infrastruktur stabil.

Indicators of Compromise (IOCs)

  • Erpressernotiz: [zufallszeichen].README.txt, Kopfzeile „AUDIT LOG: SEVERE INFRASTRUCTURE COMPROMISE VERIFIED“
  • Leak-Site (Tor): 6tdqqaxftvradka5d2frzgwixis7fmro7rfh4ettzcx7jfapkebe6jad.onion („Data Exposure Terminal“)
  • Zweite Adresse (Tor): cjg2avmzoly7k6mw7xobnyre354jxro4qegkoazhsmigdk2j3aziexyd.onion
  • Detektion: öffentliche YARA-Regel AuditTeam.yar (ransomware.live)
  • Verhaltensindikatoren: Anmeldung mit Zugangsdaten, die zuvor in Infostealer-Logs aufgetaucht sind; große ausgehende Datenübertragungen vor dem Erscheinen der Notiz
  • Datei-Hashes, C2-Adressen und Datei-Endungen: nicht öffentlich dokumentiert. Indikatoren vor dem Blocken gegen aktuelle Threat-Intelligence-Quellen prüfen.

Was Unternehmen jetzt prüfen sollten

  • Werden Zugangsdaten Ihrer Mitarbeitenden in Infostealer-Sammlungen und auf Untergrundmärkten überwacht? Bei allen gelisteten AuditTeam-Opfern mit bekannter Domain gab es solche Funde.
  • Sind alle Fernzugänge (VPN, RDP, Microsoft 365) mit Mehr-Faktor-Anmeldung geschützt – auch für Dienstleister und Administratoren?
  • Wird ausgehender Datenverkehr überwacht, sodass große Uploads zu unbekannten Zielen auffallen, bevor die Erpressernotiz erscheint?
  • Ist geregelt, wer im Unternehmen reagiert, wenn Kunden oder Aufsichtsbehörden direkt von Erpressern angeschrieben werden? AuditTeam droht genau damit.
  • Gibt es eine Suche nach Dateien mit dem Muster *.README.txt auf Servern und Freigaben?

Wie Argos unterstützt

AuditTeam steigt nach allem, was die Daten hergeben, über gestohlene Zugangsdaten ein und lebt vom Datendiebstahl. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und alarmiert bei den typischen Vorboten: erstmalige Anmeldung mit längst kompromittierten Zugangsdaten, ungewöhnliche Anmeldeorte und -zeiten, große ausgehende Datenübertragungen. Ergänzend beobachten wir Infostealer-Sammlungen und Untergrundmärkte auf Zugangsdaten Ihres Hauses, damit Konten gesperrt werden können, bevor sie benutzt werden.

Im Ernstfall übernimmt unser Incident-Response-Team die vollständige Fallbearbeitung: Umfang des Datenabflusses feststellen, Beweise sichern, Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen und die Kommunikation mit Kunden und Behörden steuern – damit die Drohung der Erpresser, genau diese Stellen selbst zu informieren, ins Leere läuft.