Brain Cipher tauchte im Juni 2024 auf und wurde binnen Wochen weltweit bekannt: Ein Angriff auf Indonesiens nationales Rechenzentrum legte über 160 staatliche Dienste lahm, darunter die Einreisekontrolle an Flughäfen. Technisch ist die Gruppe kein Eigenbau, sondern ein Abkömmling – ihre Verschlüsseler entstehen aus dem geleakten LockBit-3.0-Bausatz, ergänzt um eigene Änderungen.
Zwei dieser Änderungen sind für Betroffene besonders unangenehm: Brain Cipher verschlüsselt nicht nur den Dateiinhalt, sondern auch den Dateinamen – nach dem Angriff ist ohne Wiederherstellung nicht mehr erkennbar, welche Datei welche war. Und die Datei-Endung ist keine feste Marke, sondern eine je Kampagne wechselnde Zeichenfolge. Wer nach einer bestimmten Endung sucht, findet den Angriff also nicht.
Aktuelle Einordnung (September 2026): Die im August festgestellte Pause ist vorbei. Nach vier Wochen ohne Eintrag hat Brain Cipher in der letzten Augustwoche acht neue Opfer veröffentlicht, das jüngste am 31. August 2026 – rund 20 in den letzten 90 Tagen. Wir führen die Gruppe deshalb wieder als aktiv. Das Muster – längere Stille, dann ein Schwall Veröffentlichungen – ist bei dieser Gruppe wiederkehrend und sollte nicht als Entwarnung gelesen werden.
Aktiv
Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site und Tor-Verhandlungsportal; Kontaktaufnahme zusätzlich über anonyme E-Mail-Dienste.
Brain Cipher, BrainCipher; auf Tracking-Portalen „braincipher“
Erstmals beobachtet im Juni 2024
Kein Rebrand einer benannten Vorgängergruppe, aber technisch ein Abkömmling: Die Verschlüsseler entstehen aus dem <strong>geleakten LockBit-3.0-Bausatz (LockBit Black)</strong> mit eigenen Änderungen. Ähnliche Kommunikationsmuster zeigen auch die zeitgleich aufgetauchten Familien Risen und SenSayQ.
Nicht eindeutig zugeordnet; öffentlich diskutiert wird ein Bezug zu südostasiatischen Betreibern, eine belastbare Zuschreibung fehlt
Öffentliche Verwaltung und staatliche Rechenzentren, Gesundheitswesen, Bildung, Fertigung und Industriedienstleister.
International mit Schwerpunkt Südostasien und Nordamerika; Opfer in rund 23 Ländern, darunter vereinzelt europäische Einträge. Ein belastbarer DACH-Bezug ist bislang <strong>nicht</strong> nachgewiesen.
Berichtet werden Forderungen von rund 150.000 bis mehrere Millionen US-Dollar, zahlbar in der Kryptowährung Monero.
Rund 78 gelistete Opfer seit Juli 2024; 20 in den letzten 90 Tagen, davon 8 in den letzten 7 Tagen (Stand: 2. September 2026)
zufällige neunstellige Zeichenfolge je Kampagne – keine feste Endung; zusätzlich wird der Dateiname selbst verschlüsselt
[zufällige Zeichenfolge].README.txt (LockBit-3.0-Schema)
Die Verschlüsseler von Brain Cipher basieren auf dem geleakten LockBit-3.0-Bausatz. Die Dateiinhalte werden mit Salsa20 verschlüsselt, der zugehörige Schlüssel mit RSA-1024 geschützt. Verschlüsselt wird intermittierend – jenseits eines Versatzes von etwa 0x80000 bleiben Daten unangetastet, was den Durchlauf über große Dateibestände stark beschleunigt.
Abweichend vom Original verschlüsselt Brain Cipher auch den Dateinamen: Aus jeder Datei wird eine siebenstellige Zeichenfolge mit einer neunstelligen, je Kampagne wechselnden Endung. Für die Wiederherstellung bedeutet das zusätzlichen Aufwand – selbst wenn Inhalte gerettet werden, ist die Zuordnung von Datei zu Name verloren. Es existieren Varianten für Windows und Linux einschließlich virtualisierter Umgebungen. Die Kontaktaufnahme läuft über anonyme E-Mail-Adressen (cyberfear-Dienste) und ein Tor-Verhandlungsportal, dessen Adresse seit 2025 mit „brain“ beginnt.
Gegen einen Verschlüsseler, der Dateinamen mitverschlüsselt und seine Endung je Kampagne wechselt, hilft keine Signaturliste, sondern Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei massenhaften Schreib- und Umbenennungsvorgängen, verdächtigen Anmeldungen und großen Datenausleitungen an – ausdrücklich auch in Linux- und Virtualisierungsumgebungen, die dieser Akteur mit angreift. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf, klärt den Umfang des Datenabflusses und begleitet Meldepflichten und Kommunikation.