Threat Intelligence

Aurora

Verschlüsselt, ohne Dateinamen zu verändern – der Schaden fällt oft erst auf, wenn niemand mehr eine Datei öffnen kann. Bereits mit deutschen und österreichischen Industrieopfern.

Kurz erklärt

Aurora (auch „Aur0ra“) ist eine im April 2026 erstmals beobachtete Ransomware-Operation. Sie arbeitet mit mehrstufiger Erpressung: direkte Geldforderung, Androhung der Veröffentlichung gestohlener Daten und tatsächliche Freigaben auf einer Tor-Leak-Site sowie einem öffentlich erreichbaren Leak-Portal.

Technisch fällt eine Eigenheit auf, die im Ernstfall wertvolle Zeit kostet: Der Verschlüsseler verändert weder Dateinamen noch Endungen. Es gibt also kein sichtbares „.aurora“, an dem der Angriff auf einen Blick erkennbar wäre – die Dateien sehen unverändert aus und lassen sich lediglich nicht mehr öffnen. Innerhalb weniger Monate hat die Gruppe rund 25 Opfer gelistet, darunter mehrere Industrieunternehmen aus Deutschland und Österreich.

Aktiv

Modell

Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site und zusätzlichem Clearnet-Leak-Portal; direkte Erpressung ergänzt um gestaffelte Datenfreigaben.

Auch bekannt als

Aur0ra, Aur0ra Blog (Leak-Site)

Gegründet

April 2026

Entstanden aus

Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert. Der Name ist identisch mit dem eines Infostealers aus dem Jahr 2022; ein Zusammenhang zwischen beiden ist <strong>nicht belegt</strong> und sollte nicht angenommen werden.

Herkunft

Nicht eindeutig zugeordnet

Zielsektoren

Fertigung und Industriezulieferer (Schwerpunkt), Gesundheitswesen, Rechtsberatung, Transport und Logistik, Versicherungen, Hotellerie und Einrichtungshandel.

Zielregionen

International, mit Opfern in den USA, Australien, den Niederlanden und der DACH-Region; für <strong>Deutschland und Österreich</strong> sind mehrere Industrieunternehmen gelistet.

Typisches Lösegeld

Nicht öffentlich beziffert; Verhandlung über ein Tor-Portal.

Opferzahl

25 gelistete Opfer (Stand: 3. August 2026), davon fünf in der DACH-Region

File Extensions

keine – verschlüsselte Dateien behalten Name und Endung unverändert bei

Ransom Note

!!!README!!!DO_NOT_DELETE.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backup-Synchronisation sofort stoppen. Weil die Verschlüsselung an den Dateinamen nicht sichtbar ist, besteht die reale Gefahr, dass Sicherungssysteme bereits verschlüsselte Dateien über intakte Versionen schreiben.
  • Zeitpunkt des Angriffsbeginns bestimmen – er entscheidet darüber, welcher Wiederherstellungspunkt überhaupt noch sauber ist.
  • Incident Response aktivieren; Fernzugänge sperren, Zugangsdaten zurücksetzen, Sitzungen widerrufen und MFA erzwingen.
  • Umfang des Datenabflusses ermitteln – bei Konzernstrukturen ausdrücklich auch Tochtergesellschaften und weitere Standorte prüfen.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
⛔ Unbedingt vermeiden
  • Nicht davon ausgehen, ein System sei sauber, weil keine veränderten Datei-Endungen zu sehen sind – genau darauf ist dieser Verschlüsseler ausgelegt.
  • Backups nicht weiterlaufen lassen und nicht ungeprüft zurückspielen, bevor der Angriffszeitpunkt feststeht.
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine eigenständige Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung – eine Entschlüsselung ist nicht garantiert.
  • Nicht auf eigene Faust über das Tor-Portal verhandeln; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Den Vorfall nicht verharmlosen, weil „nur“ ein Standort betroffen scheint – die Gruppe wirbt bei mehrstandortigen Opfern ausdrücklich mit standortübergreifenden Datenbeständen.

Bekannte Angriffe

  • Deutschland (Auswahl laut Leak-Site): Sumitomo Electric Bordnetze (Bordnetz-Hersteller, Juni 2026; die Gruppe behauptet den Abfluss von rund 1,1 Terabyte aus mehreren internationalen Fertigungsstandorten), Evosys Laser, Primed Halberstadt Medizintechnik, Kochs GmbH.
  • Österreich: Aerospace & Advanced Composites GmbH (Raumfahrtwerkstoffe, Juni 2026).
  • International: unter anderem Pyramid Analytics (Niederlande) sowie Opfer aus Rechtsberatung, Logistik und Gesundheitswesen in den USA und Australien.
  • Alle Nennungen und Mengenangaben beruhen auf Eigenangaben der Leak-Site und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Öffentlich nicht abschließend dokumentiert; die Opferstruktur deutet auf kompromittierte Fernzugänge und gültige Konten hin – T1078 / T1133
  • Sammlung & Exfiltration:
    • Ausleitung großer Datenmengen vor der Verschlüsselung, bei mehrstandort-Opfern auch über Standortgrenzen hinweg – T1567
  • Auswirkung:
    • Intermittierende (teilweise) Verschlüsselung der Dateiinhalte für höheres Tempo – T1486 (Data Encrypted for Impact)
    • Keine Änderung von Dateinamen oder Endungen – erschwert die Erkennung und verzögert die Entdeckung erheblich
  • Erpressung:
    • Kombination aus direkter Forderung, Veröffentlichungsandrohung und gestaffelten Freigaben über Tor- und Clearnet-Portale – T1657 (Financial Theft)

Technologie & Malware

Der Verschlüsseler arbeitet hybrid: AES mit 256 Bit im Zählermodus (CTR) für die Dateiinhalte, RSA mit 4.096 Bit zum Schutz der Schlüssel. Verschlüsselt wird intermittierend, also nur ein Teil jeder Datei – das beschleunigt den Angriff erheblich und verringert die Chance, ihn während des Laufs zu unterbrechen.

Die praktisch wichtigste Eigenschaft ist eine Auslassung: Dateinamen und Endungen bleiben unverändert. Damit fehlt das übliche Alarmsignal – kein plötzlich auftauchendes „.aurora“ auf dem Dateiserver. Bemerkt wird der Angriff häufig erst über die Erpressernotiz !!!README!!!DO_NOT_DELETE.txt oder wenn Anwendungen Dateien nicht mehr öffnen können. Für die Erkennung bedeutet das: Es zählt das Verhalten – massenhafte Schreibzugriffe und Entropie-Anstieg –, nicht das Dateinamensmuster.

Indicators of Compromise (IOCs)

  • Erpressernotiz: !!!README!!!DO_NOT_DELETE.txt
  • Datei-Endung: keine – die Verschlüsselung ist am Dateinamen nicht erkennbar
  • Verschlüsselung: AES-256-CTR in Kombination mit RSA-4096, intermittierend
  • Leak-Infrastruktur: Leak-Site „Aur0ra Blog“ über Tor sowie ein zusätzliches öffentlich erreichbares Leak-Portal; Verhandlungsportal über eine .onion-Adresse beginnend mit ijexszhscln27nl263lmcd7tx3jttkhm4wjhd4e3y6r4csdbfyepr
  • Beispiel-Hash (SHA256): 81ca5fc6b55accdbc44266d66bd72c7c4152a75b215593adc433d51250054333
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Erkennt Ihre Überwachung Verschlüsselung an ihrem Verhalten – massenhafte Schreibzugriffe, Entropie-Anstieg – und nicht nur an neuen Datei-Endungen?
  • Sind Backups versioniert und unveränderlich, sodass eine unbemerkt verschlüsselte Datei nicht die letzte intakte Version überschreibt?
  • Ist jeder Fernzugang durch Multi-Faktor-Authentifizierung abgesichert, und sind die von außen erreichbaren Systeme auf aktuellem Patch-Stand?
  • Wird ausgehender Datenverkehr auf ungewöhnlich große Ausleitungen überwacht – der Datenabfluss geht der Verschlüsselung voraus?
  • Gibt es einen definierten Ablauf für die Meldung „Dateien lassen sich nicht mehr öffnen“ – und landet diese Meldung schnell bei der Sicherheitsstelle statt nur beim Helpdesk?
  • Sind Standorte und Tochtergesellschaften netzseitig getrennt, damit ein Angriff nicht das gesamte Konzernnetz erreicht?

Wie Argos unterstützt

Wenn der Verschlüsseler keine sichtbaren Spuren an den Dateinamen hinterlässt, entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei den Mustern an, die einem solchen Angriff vorausgehen und ihn begleiten: verdächtige Anmeldungen an Fernzugängen, Erkundung im Netz, große Datenausleitungen und massenhafte Schreibzugriffe auf Dateiservern. Im Ernstfall greift unser Incident-Response-Team kurzfristig per Fernzugriff ein, bestimmt Umfang und Zeitpunkt der Verschlüsselung – entscheidend für die Wahl eines sauberen Wiederherstellungspunkts – und koordiniert Forensik, Wiederanlauf und Meldepflichten.