Threat Intelligence

Brain Cipher

Gebaut auf dem geleakten LockBit-Bausatz – und bekannt geworden durch den Angriff, der Indonesiens staatliches Rechenzentrum lahmlegte.

Kurz erklärt

Brain Cipher tauchte im Juni 2024 auf und wurde binnen Wochen weltweit bekannt: Ein Angriff auf Indonesiens nationales Rechenzentrum legte über 160 staatliche Dienste lahm, darunter die Einreisekontrolle an Flughäfen. Technisch ist die Gruppe kein Eigenbau, sondern ein Abkömmling – ihre Verschlüsseler entstehen aus dem geleakten LockBit-3.0-Bausatz, ergänzt um eigene Änderungen.

Zwei dieser Änderungen sind für Betroffene besonders unangenehm: Brain Cipher verschlüsselt nicht nur den Dateiinhalt, sondern auch den Dateinamen – nach dem Angriff ist ohne Wiederherstellung nicht mehr erkennbar, welche Datei welche war. Und die Datei-Endung ist keine feste Marke, sondern eine je Kampagne wechselnde Zeichenfolge. Wer nach einer bestimmten Endung sucht, findet den Angriff also nicht. Seit 2024 sind rund 69 Opfer in etwa 23 Ländern gelistet; die Gruppe ist bis heute aktiv.

Aktiv

Modell

Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site und Tor-Verhandlungsportal; Kontaktaufnahme zusätzlich über anonyme E-Mail-Dienste.

Auch bekannt als

Brain Cipher, BrainCipher; auf Tracking-Portalen „braincipher“

Gegründet

Erstmals beobachtet im Juni 2024

Entstanden aus

Kein Rebrand einer benannten Vorgängergruppe, aber technisch ein Abkömmling: Die Verschlüsseler entstehen aus dem <strong>geleakten LockBit-3.0-Bausatz (LockBit Black)</strong> mit eigenen Änderungen. Ähnliche Kommunikationsmuster zeigen auch die zeitgleich aufgetauchten Familien Risen und SenSayQ.

Herkunft

Nicht eindeutig zugeordnet; öffentlich diskutiert wird ein Bezug zu südostasiatischen Betreibern, eine belastbare Zuschreibung fehlt

Zielsektoren

Öffentliche Verwaltung und staatliche Rechenzentren, Gesundheitswesen, Bildung, Fertigung und Industriedienstleister.

Zielregionen

International mit Schwerpunkt Südostasien und Nordamerika; Opfer in rund 23 Ländern, darunter vereinzelt europäische Einträge. Ein belastbarer DACH-Bezug ist bislang <strong>nicht</strong> nachgewiesen.

Typisches Lösegeld

Berichtet werden Forderungen von rund 150.000 bis mehrere Millionen US-Dollar, zahlbar in der Kryptowährung Monero.

Opferzahl

69 gelistete Opfer in rund 23 Ländern seit Juli 2024; jüngster Eintrag am 22. Juli 2026 (Stand: 10. August 2026)

File Extensions

zufällige neunstellige Zeichenfolge je Kampagne – keine feste Endung; zusätzlich wird der Dateiname selbst verschlüsselt

Ransom Note

[zufällige Zeichenfolge].README.txt (LockBit-3.0-Schema)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Virtualisierung zuerst prüfen: Es existieren Varianten für Linux und virtualisierte Umgebungen – Hypervisor-Verwaltung und zentrale Speichersysteme sofort kontrollieren und abschotten.
  • Ein Muster verschlüsselter Dateien und die Erpressernotiz sichern – weil Dateinamen mitverschlüsselt werden, sind diese Proben für Zuordnung und spätere Entschlüsselungsversuche wertvoll.
  • Zugangsdaten zurücksetzen, Sitzungen widerrufen, Fernzugänge sperren, MFA erzwingen; auf Rechteausweitung über bekannte Windows-Schwachstellen prüfen.
  • Umfang des Datenabflusses ermitteln; Meldepflichten prüfen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden.
  • Incident Response aktivieren; bei Dienstleistern und Rechenzentrumsbetreibern zusätzlich betroffene Mandanten informieren.
⛔ Unbedingt vermeiden
  • Nicht nach einer bestimmten Datei-Endung suchen – sie wechselt je Kampagne; die Erkennung muss am Verhalten ansetzen.
  • Verschlüsselte Dateien nicht löschen. Die Gruppe hat in einem Fall nachträglich einen Schlüssel veröffentlicht; ohne die Daten nützt er nichts.
  • Kein vorschnelles Neuaufsetzen betroffener Systeme, bevor die Forensik gesichert ist.
  • Nicht auf eigene Faust über die anonymen E-Mail-Adressen oder das Tor-Portal verhandeln.
  • Keine Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung – die Forderung wird in Monero gestellt und ist praktisch nicht rückholbar.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Indonesien, Nationales Rechenzentrum (Juni 2024): der bekannteste Fall der Gruppe – mehr als 160 staatliche Dienste fielen aus, darunter die Einreisekontrolle an Flughäfen. Die Gruppe forderte zunächst 8 Mio. US-Dollar, veröffentlichte später aber unentgeltlich einen Entschlüsselungsschlüssel.
  • Gesundheits- und Bildungswesen: mehrere Kliniken, Praxen und Bildungseinrichtungen in Asien und Nordamerika (2024–2026).
  • Industrie und Fertigung: laufende Einträge bis Juli 2026, unter anderem Zulieferer und technische Dienstleister.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site beziehungsweise auf öffentlicher Berichterstattung und sind nicht in jedem Einzelfall unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Gestohlene oder gekaufte Zugangsdaten und exponierte Fernzugänge – T1078, T1133
    • Ausnutzung ungepatchter, von außen erreichbarer Dienste – T1190
  • Rechteausweitung:
    • Mutmaßliche Ausnutzung von CVE-2023-28252 (Rechteausweitung im Windows-CLFS-Treiber) – T1068
  • Sammlung und Exfiltration:
    • Datenausleitung vor der Verschlüsselung als Druckmittel – T1567
  • Auswirkung:
    • Intermittierende Verschlüsselung für höheres Tempo, zusätzlich Verschlüsselung des Dateinamens – T1486
    • Varianten für Windows und Linux, einschließlich Virtualisierungsumgebungen
  • Erpressung:
    • Leak-Site, Tor-Verhandlungsportal und anonyme E-Mail-Adressen; Forderung in Monero – T1657

Technologie & Malware

Die Verschlüsseler von Brain Cipher basieren auf dem geleakten LockBit-3.0-Bausatz. Die Dateiinhalte werden mit Salsa20 verschlüsselt, der zugehörige Schlüssel mit RSA-1024 geschützt. Verschlüsselt wird intermittierend – jenseits eines Versatzes von etwa 0x80000 bleiben Daten unangetastet, was den Durchlauf über große Dateibestände stark beschleunigt.

Abweichend vom Original verschlüsselt Brain Cipher auch den Dateinamen: Aus jeder Datei wird eine siebenstellige Zeichenfolge mit einer neunstelligen, je Kampagne wechselnden Endung. Für die Wiederherstellung bedeutet das zusätzlichen Aufwand – selbst wenn Inhalte gerettet werden, ist die Zuordnung von Datei zu Name verloren. Es existieren Varianten für Windows und Linux einschließlich virtualisierter Umgebungen. Die Kontaktaufnahme läuft über anonyme E-Mail-Adressen (cyberfear-Dienste) und ein Tor-Verhandlungsportal, dessen Adresse seit 2025 mit „brain“ beginnt.

Indicators of Compromise (IOCs)

  • Datei-Endung: keine feste Endung – neunstellige Zufallsfolge je Kampagne; Dateiname wird auf sieben Zeichen umgeschrieben
  • Erpressernotiz: [zufällige Zeichenfolge].README.txt (LockBit-3.0-Schema)
  • Verschlüsselung: Salsa20 für Inhalte, RSA-1024 zum Schlüsselschutz, intermittierend ab etwa Versatz 0x80000
  • Kommunikation: E-Mail-Adressen bei cyberfear-Diensten; Tor-Verhandlungsportal mit Adresse beginnend mit „brain“
  • Ausgenutzte Schwachstelle (mutmaßlich): CVE-2023-28252 (Windows CLFS, Rechteausweitung)
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Erkennt Ihre Überwachung Verschlüsselung am Verhalten – massenhafte Schreibzugriffe, Entropie-Anstieg, umbenannte Dateien – statt an einer bestimmten Endung?
  • Sind Virtualisierungsumgebungen und deren Verwaltungszugänge eigenständig geschützt, mit MFA und getrennt vom übrigen Netz?
  • Ist der Patch-Stand bei bekannten Rechteausweitungs-Schwachstellen aktuell, insbesondere im Windows-Kern?
  • Sind Backups versioniert, unveränderlich und getrennt vom produktiven Verzeichnisdienst?
  • Wurde eine Wiederherstellung schon einmal geübt – einschließlich der Frage, wie Dateien ohne erkennbare Namen wieder zugeordnet werden?
  • Betreiben Sie Systeme für Dritte? Dann ist ein Ablauf nötig, wie Mandanten im Ernstfall informiert und getrennt wiederhergestellt werden.

Wie Argos unterstützt

Gegen einen Verschlüsseler, der Dateinamen mitverschlüsselt und seine Endung je Kampagne wechselt, hilft keine Signaturliste, sondern Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei massenhaften Schreib- und Umbenennungsvorgängen, verdächtigen Anmeldungen und großen Datenausleitungen an – ausdrücklich auch in Linux- und Virtualisierungsumgebungen, die dieser Akteur mit angreift. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf, klärt den Umfang des Datenabflusses und begleitet Meldepflichten und Kommunikation.