Aurora (auch „Aur0ra“) ist eine im April 2026 erstmals beobachtete Ransomware-Operation. Sie arbeitet mit mehrstufiger Erpressung: direkte Geldforderung, Androhung der Veröffentlichung gestohlener Daten und tatsächliche Freigaben auf einer Tor-Leak-Site sowie einem öffentlich erreichbaren Leak-Portal.
Technisch fällt eine Eigenheit auf, die im Ernstfall wertvolle Zeit kostet: Der Verschlüsseler verändert weder Dateinamen noch Endungen. Es gibt also kein sichtbares „.aurora“, an dem der Angriff auf einen Blick erkennbar wäre – die Dateien sehen unverändert aus und lassen sich lediglich nicht mehr öffnen. Innerhalb weniger Monate hat die Gruppe rund 25 Opfer gelistet, darunter mehrere Industrieunternehmen aus Deutschland und Österreich.
Aktiv
Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site und zusätzlichem Clearnet-Leak-Portal; direkte Erpressung ergänzt um gestaffelte Datenfreigaben.
Aur0ra, Aur0ra Blog (Leak-Site)
April 2026
Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert. Der Name ist identisch mit dem eines Infostealers aus dem Jahr 2022; ein Zusammenhang zwischen beiden ist <strong>nicht belegt</strong> und sollte nicht angenommen werden.
Nicht eindeutig zugeordnet
Fertigung und Industriezulieferer (Schwerpunkt), Gesundheitswesen, Rechtsberatung, Transport und Logistik, Versicherungen, Hotellerie und Einrichtungshandel.
International, mit Opfern in den USA, Australien, den Niederlanden und der DACH-Region; für <strong>Deutschland und Österreich</strong> sind mehrere Industrieunternehmen gelistet.
Nicht öffentlich beziffert; Verhandlung über ein Tor-Portal.
25 gelistete Opfer (Stand: 3. August 2026), davon fünf in der DACH-Region
keine – verschlüsselte Dateien behalten Name und Endung unverändert bei
!!!README!!!DO_NOT_DELETE.txt
Der Verschlüsseler arbeitet hybrid: AES mit 256 Bit im Zählermodus (CTR) für die Dateiinhalte, RSA mit 4.096 Bit zum Schutz der Schlüssel. Verschlüsselt wird intermittierend, also nur ein Teil jeder Datei – das beschleunigt den Angriff erheblich und verringert die Chance, ihn während des Laufs zu unterbrechen.
Die praktisch wichtigste Eigenschaft ist eine Auslassung: Dateinamen und Endungen bleiben unverändert. Damit fehlt das übliche Alarmsignal – kein plötzlich auftauchendes „.aurora“ auf dem Dateiserver. Bemerkt wird der Angriff häufig erst über die Erpressernotiz !!!README!!!DO_NOT_DELETE.txt oder wenn Anwendungen Dateien nicht mehr öffnen können. Für die Erkennung bedeutet das: Es zählt das Verhalten – massenhafte Schreibzugriffe und Entropie-Anstieg –, nicht das Dateinamensmuster.
Wenn der Verschlüsseler keine sichtbaren Spuren an den Dateinamen hinterlässt, entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei den Mustern an, die einem solchen Angriff vorausgehen und ihn begleiten: verdächtige Anmeldungen an Fernzugängen, Erkundung im Netz, große Datenausleitungen und massenhafte Schreibzugriffe auf Dateiservern. Im Ernstfall greift unser Incident-Response-Team kurzfristig per Fernzugriff ein, bestimmt Umfang und Zeitpunkt der Verschlüsselung – entscheidend für die Wahl eines sauberen Wiederherstellungspunkts – und koordiniert Forensik, Wiederanlauf und Meldepflichten.