Brain Cipher tauchte im Juni 2024 auf und wurde binnen Wochen weltweit bekannt: Ein Angriff auf Indonesiens nationales Rechenzentrum legte über 160 staatliche Dienste lahm, darunter die Einreisekontrolle an Flughäfen. Technisch ist die Gruppe kein Eigenbau, sondern ein Abkömmling – ihre Verschlüsseler entstehen aus dem geleakten LockBit-3.0-Bausatz, ergänzt um eigene Änderungen.
Zwei dieser Änderungen sind für Betroffene besonders unangenehm: Brain Cipher verschlüsselt nicht nur den Dateiinhalt, sondern auch den Dateinamen – nach dem Angriff ist ohne Wiederherstellung nicht mehr erkennbar, welche Datei welche war. Und die Datei-Endung ist keine feste Marke, sondern eine je Kampagne wechselnde Zeichenfolge. Wer nach einer bestimmten Endung sucht, findet den Angriff also nicht. Seit 2024 sind rund 69 Opfer in etwa 23 Ländern gelistet; die Gruppe ist bis heute aktiv.
Aktiv
Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site und Tor-Verhandlungsportal; Kontaktaufnahme zusätzlich über anonyme E-Mail-Dienste.
Brain Cipher, BrainCipher; auf Tracking-Portalen „braincipher“
Erstmals beobachtet im Juni 2024
Kein Rebrand einer benannten Vorgängergruppe, aber technisch ein Abkömmling: Die Verschlüsseler entstehen aus dem <strong>geleakten LockBit-3.0-Bausatz (LockBit Black)</strong> mit eigenen Änderungen. Ähnliche Kommunikationsmuster zeigen auch die zeitgleich aufgetauchten Familien Risen und SenSayQ.
Nicht eindeutig zugeordnet; öffentlich diskutiert wird ein Bezug zu südostasiatischen Betreibern, eine belastbare Zuschreibung fehlt
Öffentliche Verwaltung und staatliche Rechenzentren, Gesundheitswesen, Bildung, Fertigung und Industriedienstleister.
International mit Schwerpunkt Südostasien und Nordamerika; Opfer in rund 23 Ländern, darunter vereinzelt europäische Einträge. Ein belastbarer DACH-Bezug ist bislang <strong>nicht</strong> nachgewiesen.
Berichtet werden Forderungen von rund 150.000 bis mehrere Millionen US-Dollar, zahlbar in der Kryptowährung Monero.
69 gelistete Opfer in rund 23 Ländern seit Juli 2024; jüngster Eintrag am 22. Juli 2026 (Stand: 10. August 2026)
zufällige neunstellige Zeichenfolge je Kampagne – keine feste Endung; zusätzlich wird der Dateiname selbst verschlüsselt
[zufällige Zeichenfolge].README.txt (LockBit-3.0-Schema)
Die Verschlüsseler von Brain Cipher basieren auf dem geleakten LockBit-3.0-Bausatz. Die Dateiinhalte werden mit Salsa20 verschlüsselt, der zugehörige Schlüssel mit RSA-1024 geschützt. Verschlüsselt wird intermittierend – jenseits eines Versatzes von etwa 0x80000 bleiben Daten unangetastet, was den Durchlauf über große Dateibestände stark beschleunigt.
Abweichend vom Original verschlüsselt Brain Cipher auch den Dateinamen: Aus jeder Datei wird eine siebenstellige Zeichenfolge mit einer neunstelligen, je Kampagne wechselnden Endung. Für die Wiederherstellung bedeutet das zusätzlichen Aufwand – selbst wenn Inhalte gerettet werden, ist die Zuordnung von Datei zu Name verloren. Es existieren Varianten für Windows und Linux einschließlich virtualisierter Umgebungen. Die Kontaktaufnahme läuft über anonyme E-Mail-Adressen (cyberfear-Dienste) und ein Tor-Verhandlungsportal, dessen Adresse seit 2025 mit „brain“ beginnt.
Gegen einen Verschlüsseler, der Dateinamen mitverschlüsselt und seine Endung je Kampagne wechselt, hilft keine Signaturliste, sondern Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei massenhaften Schreib- und Umbenennungsvorgängen, verdächtigen Anmeldungen und großen Datenausleitungen an – ausdrücklich auch in Linux- und Virtualisierungsumgebungen, die dieser Akteur mit angreift. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf, klärt den Umfang des Datenabflusses und begleitet Meldepflichten und Kommunikation.