Threat Intelligence

BravoX

Ein streng selektives Partnerprogramm aus dem russischsprachigen Raum, das seinen Schwerpunkt 2026 von Nordamerika auf die DACH-Region verlagert hat.

Kurz erklärt

BravoX ist eine Ransomware-as-a-Service-Operation, die im Januar 2026 öffentlich in Erscheinung trat, nachdem der Betreiber im Untergrundforum RAMP eine Tor-Adresse veröffentlicht hatte. Die Gruppe arbeitet mit Doppelter Erpressung: Daten werden ausgeleitet, anschließend werden Systeme verschlüsselt – wer nicht zahlt, findet seine Unterlagen auf der Leak-Site wieder. Auffällig ist die strenge Auswahl der Partner: Wer mitmachen will, muss Zugang zu einem umsatzstarken Ziel nachweisen, eine Kaution hinterlegen oder von Vertrauten bürgen lassen.

Für die DACH-Region ist die Gruppe deshalb relevant, weil sie ihren Fokus verschoben hat: Nach dem Start mit Gesundheits- und Handelsunternehmen in Nordamerika liegt der Schwerpunkt seit 2026 auf Europa – ausdrücklich auf Deutschland, Österreich und der Schweiz sowie auf Finanz- und Rechtsdienstleistern. Die auf der Leak-Site angegebenen Datenmengen reichen von rund 460 Gigabyte bis über 3,1 Terabyte je Opfer, was auf ein systematisches Absaugen ganzer Dateiablagen hindeutet.

Aktiv

Modell

RaaS mit streng geprüftem Partnerprogramm: Bewerber müssen entweder Zugang zu einem Ziel mit über 5 Mio. USD Umsatz nachweisen, eine Kaution in einem anderen Untergrundforum hinterlegen oder über Bürgen verifiziert werden.

Auch bekannt als

BravoX; auf Tracking-Portalen auch „bravox“ und „bravox2“

Gegründet

Forenregistrierung im September 2025, öffentlicher Start im Januar 2026 (Leak-Site ab 17. Januar 2026, erste Opfer ab 20. Januar 2026)

Entstanden aus

Kein Rebrand einer bekannten Gruppe belegt. Der Betreiber registrierte sich im September 2025 im Untergrundforum RAMP und blieb bis zur Veröffentlichung der Leak-Site auffällig ruhig – ein Muster, das auf einen längeren Infrastrukturaufbau vor dem Start hindeutet.

Herkunft

Russischsprachiger Raum / GUS (nach Eigenangabe werden GUS-Staaten nicht angegriffen)

Zielsektoren

Zu Beginn Gesundheitswesen und Einzelhandel, seit 2026 verstärkt Finanz- und Rechtsdienstleister sowie mittelständische Unternehmen quer durch die Branchen.

Zielregionen

Anfangs Nordamerika (vor allem USA), seit 2026 klare Verlagerung nach Europa mit Schwerpunkt auf der DACH-Region; GUS-Staaten werden nach Eigenangabe ausgespart.

Typisches Lösegeld

Nicht öffentlich beziffert; Verhandlung über ein Tor-Portal, den Opfern werden vier Tage zur Kontaktaufnahme gesetzt.

Opferzahl

24 gelistete Opfer seit Februar 2026, darunter zwei Schweizer Unternehmen; jüngster Eintrag am 7. August 2026 (Stand: 10. August 2026)

File Extensions

Öffentlich nicht eindeutig dokumentiert

Ransom Note

00_Recovery_notes.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Fernzugänge zuerst: alle VPN-Sitzungen trennen, VPN- und Administratorkennwörter zurücksetzen, Sitzungen widerrufen und MFA erzwingen – der Einstieg erfolgt über gestohlene VPN-Zugangsdaten.
  • Verzeichnisdienst prüfen: kürzlich angelegte Domänen-Administratorkonten und neue Dienste suchen und deaktivieren.
  • Auf abgeschaltete Endpunkt-Sicherheit prüfen – gestoppte EDR-Dienste und neu geladene Treiber sind ein starkes Warnsignal.
  • Umfang des Datenabflusses ermitteln; die Gruppe wirbt mit Datenmengen im Terabyte-Bereich.
  • Incident Response aktivieren und Meldepflichten prüfen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
⛔ Unbedingt vermeiden
  • Die Vier-Tage-Frist der Angreifer nicht als Verhandlungstakt übernehmen – Zeitdruck ist Teil der Methode.
  • Nicht eigenständig über die genannten Freemail-Adressen antworten; Kommunikation ausschließlich über erfahrene Incident-Responder steuern.
  • Kein vorschnelles Herunterfahren oder Neuaufsetzen betroffener Systeme, bevor die Forensik gesichert ist.
  • Nicht davon ausgehen, dass ein zurückgesetztes Benutzerkonto genügt – solange angelegte Administratorkonten bestehen, ist der Zugang offen.
  • Keine Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung; eine Nicht-Veröffentlichung ist nicht garantiert.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Schweiz: MITC AG (August 2026) und PB Fiduciaire SA (Juli 2026) – beide auf der Leak-Site der Gruppe gelistet.
  • DACH-Vorfall mit Abwehrerfolg: In einem von Incident-Respondern veröffentlichten Fall gelangten die Angreifer über kompromittierte VPN-Zugangsdaten ins Netz und legten neue Domänen-Administratorkonten an; ein Security Operations Center erkannte den Angriff noch am selben Tag, sodass es nicht zur Verschlüsselung kam.
  • International: Opfer in Nordamerika (unter anderem Gesundheitswesen, Einzelhandel, Verbände) sowie in Lateinamerika und der Türkei.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site beziehungsweise auf veröffentlichten Vorfallsanalysen und sind nicht in jedem Einzelfall unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Kompromittierte VPN-Zugangsdaten – T1078 (Valid Accounts), T1133 (External Remote Services)
  • Rechteausweitung und Persistenz:
    • Anlage neuer Domänen-Administratorkonten – T1136 (Create Account)
    • Rechteausweitung über verwundbare Treiber (Bring Your Own Vulnerable Driver) – T1068
  • Verteidigungsumgehung:
    • Abschalten der Endpunkt-Sicherheit über eigene Dienste und Treiber (EDR-Killer) – T1562.001
    • Nutzung legitimer Werkzeuge statt eigener Malware (Living off the Land) – T1218
  • Erkundung und seitliche Bewegung:
    • Netzwerk-Scan mit Netscan – T1046
    • RDP-Verbindungen in flachen Netzstrukturen – T1021.001
  • Verschleierung und Exfiltration:
    • Verschleierung der eigenen Aktivität über ProtonVPN – T1090
    • Ausleitung großer Datenmengen (460 GB bis über 3,1 TB je Opfer) – T1567
  • Auswirkung und Erpressung:
    • Verschlüsselung der Daten – T1486; Veröffentlichung auf der Leak-Site rund zweieinhalb Wochen später – T1657

Technologie & Malware

BravoX setzt kaum auf eigene Werkzeuge, sondern kombiniert legitime Software mit wenigen spezialisierten Komponenten. Zur Erkundung dient der Netzwerk-Scanner Netscan, die eigene Anbindung wird über ProtonVPN verschleiert. Vor der Verschlüsselung wird die Endpunkt-Sicherheit abgeschaltet: über eigens angelegte Dienste und mitgebrachte verwundbare Treiber – dokumentiert sind unter anderem vulndriver.sys, UnknownKiller.sys und umdaau99.sys.

Der Verschlüsseler selbst wurde in einem analysierten Fall als k1.exe im Verzeichnis C:/temp abgelegt. Die Erpressernotiz heißt 00_Recovery_notes.txt; darin wird die Menge der gestohlenen Daten beziffert und mit der Veröffentlichung im Darknet gedroht. Zusätzlich meldet sich die Gruppe mehrfach über zufällig erzeugte Freemail-Adressen und schickt Screenshots gestohlener Unterlagen als Beleg.

Indicators of Compromise (IOCs)

  • Erpressernotiz: 00_Recovery_notes.txt
  • Verschlüsseler: k1.exe, abgelegt unter C:/temp – SHA-256: 88979970b579d42bb9c29051ee3abe6272ddfa49f32dbcfd4751dd4f30b51372 sowie 7235e8a5ada2a27a11fc91ea168dc73d2fc3edee53ddb867c272d7d1e2c39127
  • Verwundbare Treiber / EDR-Killer: vulndriver.sys – SHA-256 ff5dbdcf6d7ae5d97b6f3ef412df0b977ba4a844c45b30ca78c0eeb2653d69a8; UnknownKiller.sys – 97bd65e98cdc4e93d49edd4ea905d43a61244df0fd3323e6649330de3b1be091; umdaau99.sys – 47ec51b5f0ede1e70bd66f3f0152f9eb536d534565dbb7fcc3a05f542dbe4428
  • Werkzeuge: Netscan (Netzwerk-Erkundung), ProtonVPN (Verschleierung)
  • Kommunikation: wechselnde, zufällig erzeugte Freemail-Adressen; Verhandlung über ein Tor-Portal
  • IP-Adressen aus den veröffentlichten Analysen gelten wegen des Zeitablaufs als unzuverlässig; Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Ist jeder VPN-Zugang durch Multi-Faktor-Authentifizierung abgesichert – ausnahmslos, auch für Dienstleister und Notfallkonten?
  • Werden neu angelegte Domänen-Administratorkonten automatisch alarmiert und nicht nur protokolliert?
  • Ist das Netz segmentiert, oder kann sich ein kompromittiertes Konto per RDP frei bewegen?
  • Meldet Ihre Endpunkt-Sicherheit, wenn sie selbst gestoppt oder ein unbekannter Treiber geladen wird?
  • Wird ausgehender Datenverkehr auf ungewöhnlich große Ausleitungen überwacht – der Datenabfluss geht der Verschlüsselung voraus?
  • Sind Protokolle zentral gesammelt und lange genug aufbewahrt, um einen Angriff über mehrere Wochen zurückverfolgen zu können?

Wie Argos unterstützt

Der dokumentierte DACH-Fall zeigt, worauf es bei dieser Gruppe ankommt: Zwischen dem ersten Zugriff über den VPN-Zugang und der Verschlüsselung liegt ein Zeitfenster, in dem der Angriff noch zu stoppen ist. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau bei diesen Mustern an: auffällige VPN-Anmeldungen, neu angelegte Administratorkonten, gestoppte Endpunkt-Sicherheit, Netzwerk-Erkundung und große Datenausleitungen. Im Ernstfall greift unser Incident-Response-Team kurzfristig per Fernzugriff ein, bestimmt Umfang und Zeitpunkt des Zugriffs und koordiniert Forensik, Wiederanlauf und Meldepflichten.