Chaos ist eine 2025 aufgetauchte Ransomware-as-a-Service-Operation, die Cisco Talos mit mittlerer Zuversicht als Umbenennung oder Nachfolgeprojekt ehemaliger BlackSuit-/Royal-Mitglieder einordnet – gestützt auf übereinstimmende Verschlüsselungsbefehle sowie Aufbau und Ton der Erpressernotiz. Angeworben werden Partner im russischsprachigen Untergrundforum RAMP.
Bemerkenswert ist der Einstiegsweg: Chaos überflutet Postfächer der Mitarbeitenden mit Spam und ruft anschließend als vermeintlicher IT-Support an. Wer den Anruf für echt hält, startet auf Anweisung die Windows-Schnellhilfe (Quick Assist) und übergibt den Angreifern damit selbst den Fernzugriff. Anschließend werden Daten abgezogen und Systeme verschlüsselt – plattformübergreifend für Windows, Linux, ESXi und NAS. Nicht zu verwechseln mit dem gleichnamigen „Chaos Ransomware Builder“ aus dem Jahr 2021, einem einfachen Baukasten ohne Bezug zu dieser Gruppe.
Aktiv
Ransomware-as-a-Service mit Partneranwerbung im Forum RAMP, kostenpflichtiger Aufnahmegebühr (bei erfolgreicher Zahlung erstattet) und automatisiertem Verwaltungsportal für Ziele und Kommunikation.
Chaos RaaS (nicht zu verwechseln mit dem „Chaos Ransomware Builder“ von 2021)
Februar/März 2025
Nach Einschätzung von Cisco Talos (mittlere Zuversicht) eine Umbenennung oder Nachfolgeoperation ehemaliger Mitglieder von BlackSuit/Royal – belegt über übereinstimmende Verschlüsselungsbefehle sowie Aufbau und Ton der Erpressernotiz.
Russischsprachiges Umfeld (Anwerbung im Forum RAMP, Aussparung der GUS-Staaten)
Branchenübergreifend und opportunistisch; ausgenommen nach Eigenangabe Krankenhäuser und Behörden.
Schwerpunkt USA; weitere Opfer im Vereinigten Königreich, Neuseeland und Indien sowie in Europa – darunter mehrere in <strong>Deutschland</strong> und Österreich. Ziele in den BRICS- und GUS-Staaten werden nach Eigenangabe ausgespart.
In einem von Cisco Talos dokumentierten Fall 300.000 US-Dollar; die Forderung wird mit dem Angebot eines Entschlüsselers samt „Penetrationstest-Bericht“ verbunden, bei Nichtzahlung mit Veröffentlichung und Überlastungsangriffen gedroht.
77 gelistete Opfer (Stand: 3. August 2026), davon fünf in der DACH-Region
.chaos
readme.chaos.txt
Der Verschlüsseler kombiniert Elliptische-Kurven-Kryptografie (ECDH mit Curve25519) für den Schlüsselaustausch mit AES-256 für die Dateiverschlüsselung. Über Startparameter lässt er sich fein steuern: Der Parameter /lkey übergibt einen 32 Byte langen Hauptschlüssel, /encrypt_step legt fest, welcher Anteil jeder Datei verschlüsselt wird (Standard 30 Prozent – das beschleunigt den Angriff erheblich), und /work_mode bestimmt, ob lokal, im Netz oder beides verschlüsselt wird. Ausgenommen bleiben Systemverzeichnisse und Startdateien, damit die Rechner bedienbar bleiben.
Eigene Schadsoftware setzt Chaos ansonsten kaum ein. Zum Einsatz kommen legitime Fernwartungswerkzeuge (AnyDesk, ScreenConnect, OptiTune, Syncro, Splashtop), das Synchronisationsprogramm GoodSync für den Datenabfluss, das Impacket-Werkzeug atexec zur Befehlsausführung sowie OpenSSH für Rückwärtstunnel. Der Verschlüsseler ist für Windows, Linux, ESXi und NAS-Systeme verfügbar.
Chaos beginnt beim Menschen, nicht an der Firewall. Deshalb setzt Argos Security an beiden Enden an: Im Rahmen unserer Awareness- und Notfallübungen trainieren wir genau dieses Szenario – Spam-Welle, Anruf vom vermeintlichen IT-Support, Aufforderung zur Schnellhilfe – und etablieren einen klaren Meldeweg. Parallel überwacht das Cyber Defense Center Ihre Umgebung rund um die Uhr (24/7) und erkennt die technischen Spuren: neu gestartete Fernwartungssitzungen, ungewöhnliche Netzwerkverbindungen nach außen, Zugriffe auf ESXi-Hosts und Massenausleitungen von Daten. Im Ernstfall dämmt unser Incident-Response-Team den Angriff kurzfristig per Fernzugriff ein und koordiniert Forensik, Wiederherstellung und Meldepflichten.