Threat Intelligence

Chaos

Nachfolger von BlackSuit und Royal: Chaos ruft im Namen der IT-Abteilung an, lässt sich Fernzugriff geben – und verschlüsselt Windows, Linux, ESXi und NAS gleichermaßen.

Kurz erklärt

Chaos ist eine 2025 aufgetauchte Ransomware-as-a-Service-Operation, die Cisco Talos mit mittlerer Zuversicht als Umbenennung oder Nachfolgeprojekt ehemaliger BlackSuit-/Royal-Mitglieder einordnet – gestützt auf übereinstimmende Verschlüsselungsbefehle sowie Aufbau und Ton der Erpressernotiz. Angeworben werden Partner im russischsprachigen Untergrundforum RAMP.

Bemerkenswert ist der Einstiegsweg: Chaos überflutet Postfächer der Mitarbeitenden mit Spam und ruft anschließend als vermeintlicher IT-Support an. Wer den Anruf für echt hält, startet auf Anweisung die Windows-Schnellhilfe (Quick Assist) und übergibt den Angreifern damit selbst den Fernzugriff. Anschließend werden Daten abgezogen und Systeme verschlüsselt – plattformübergreifend für Windows, Linux, ESXi und NAS. Nicht zu verwechseln mit dem gleichnamigen „Chaos Ransomware Builder“ aus dem Jahr 2021, einem einfachen Baukasten ohne Bezug zu dieser Gruppe.

Aktiv

Modell

Ransomware-as-a-Service mit Partneranwerbung im Forum RAMP, kostenpflichtiger Aufnahmegebühr (bei erfolgreicher Zahlung erstattet) und automatisiertem Verwaltungsportal für Ziele und Kommunikation.

Auch bekannt als

Chaos RaaS (nicht zu verwechseln mit dem „Chaos Ransomware Builder“ von 2021)

Gegründet

Februar/März 2025

Entstanden aus

Nach Einschätzung von Cisco Talos (mittlere Zuversicht) eine Umbenennung oder Nachfolgeoperation ehemaliger Mitglieder von BlackSuit/Royal – belegt über übereinstimmende Verschlüsselungsbefehle sowie Aufbau und Ton der Erpressernotiz.

Herkunft

Russischsprachiges Umfeld (Anwerbung im Forum RAMP, Aussparung der GUS-Staaten)

Zielsektoren

Branchenübergreifend und opportunistisch; ausgenommen nach Eigenangabe Krankenhäuser und Behörden.

Zielregionen

Schwerpunkt USA; weitere Opfer im Vereinigten Königreich, Neuseeland und Indien sowie in Europa – darunter mehrere in <strong>Deutschland</strong> und Österreich. Ziele in den BRICS- und GUS-Staaten werden nach Eigenangabe ausgespart.

Typisches Lösegeld

In einem von Cisco Talos dokumentierten Fall 300.000 US-Dollar; die Forderung wird mit dem Angebot eines Entschlüsselers samt „Penetrationstest-Bericht“ verbunden, bei Nichtzahlung mit Veröffentlichung und Überlastungsangriffen gedroht.

Opferzahl

77 gelistete Opfer (Stand: 3. August 2026), davon fünf in der DACH-Region

File Extensions

.chaos

Ransom Note

readme.chaos.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Laufende Fernwartungssitzungen sofort beenden und prüfen: Wer hat wann welche Sitzung gestartet? Quick-Assist- und RMM-Verbindungen sind die erste Spur.
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response aktivieren und die Belegschaft unmittelbar warnen: Die Anrufwelle geht in der Regel weiter, solange sie funktioniert.
  • Zugangsdaten der betroffenen Personen und aller erreichbaren Administratorkonten zurücksetzen, Sitzungen widerrufen, MFA erzwingen.
  • ESXi-Hosts, NAS-Systeme und Sicherungssysteme sofort prüfen und vom Netz trennen – hier richtet Chaos den größten Schaden an.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
⛔ Unbedingt vermeiden
  • Betroffenen Beschäftigten keine Schuld zuweisen – der Anruf ist professionell inszeniert. Wer Angst vor Vorwürfen hat, meldet den nächsten Vorfall später, und das kostet mehr.
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Fernwartungswerkzeuge nicht ungeprüft weiterlaufen lassen: Chaos installiert legitime Software, die auf den ersten Blick harmlos wirkt.
  • Keine eigenständige Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung – weder Entschlüsselung noch der angekündigte Verzicht auf Veröffentlichung sind garantiert.
  • Nicht auf eigene Faust verhandeln; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass kein Fernzugang der Angreifer mehr besteht.

Bekannte Angriffe

  • Deutschland (Auswahl laut Leak-Site): DeCeTe, ingerman.com, wtitransport.com, itc-group.com.
  • Österreich: Autohaus Malin.
  • International: überwiegend Unternehmen in den USA, dazu Opfer im Vereinigten Königreich, Neuseeland und Indien.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Spam-Flut gegen Postfächer als Vorbereitung – T1566 (Phishing)
    • Telefonischer Betrug im Namen des IT-Supports – T1598.004 (Spearphishing Voice)
    • Fernzugriff über die vom Opfer gestartete Windows-Schnellhilfe (Quick Assist) – T1219 (Remote Access Software)
    • Nutzung gültiger Konten – T1078 (Valid Accounts)
  • Persistenz:
    • Installation von Fernwartungssoftware (AnyDesk, ScreenConnect, OptiTune, Syncro, Splashtop) – T1219
    • Einträge im Autostart der Registry – T1547.001
  • Laterale Bewegung:
    • RDP, SMB und WMI sowie das Impacket-Werkzeug atexec – T1021 (Remote Services)
    • Rückwärtstunnel per OpenSSH – T1572 (Protocol Tunneling)
  • Erkundung:
    • Suche nach Netzwerkfreigaben – T1135 (Network Share Discovery)
  • Verteidigungsumgehung:
    • Löschen von Protokollen und Deaktivieren von Schutzfunktionen – T1562.001 (Impair Defenses)
    • Löschen der Schattenkopien – T1490 (Inhibit System Recovery)
  • Exfiltration & Auswirkung:
    • Datenabfluss über das legitime Synchronisationswerkzeug GoodSync – T1567
    • Teilweise Verschlüsselung von Dateien (Standard: 30 Prozent) für höheres Tempo – T1486 (Data Encrypted for Impact)

Technologie & Malware

Der Verschlüsseler kombiniert Elliptische-Kurven-Kryptografie (ECDH mit Curve25519) für den Schlüsselaustausch mit AES-256 für die Dateiverschlüsselung. Über Startparameter lässt er sich fein steuern: Der Parameter /lkey übergibt einen 32 Byte langen Hauptschlüssel, /encrypt_step legt fest, welcher Anteil jeder Datei verschlüsselt wird (Standard 30 Prozent – das beschleunigt den Angriff erheblich), und /work_mode bestimmt, ob lokal, im Netz oder beides verschlüsselt wird. Ausgenommen bleiben Systemverzeichnisse und Startdateien, damit die Rechner bedienbar bleiben.

Eigene Schadsoftware setzt Chaos ansonsten kaum ein. Zum Einsatz kommen legitime Fernwartungswerkzeuge (AnyDesk, ScreenConnect, OptiTune, Syncro, Splashtop), das Synchronisationsprogramm GoodSync für den Datenabfluss, das Impacket-Werkzeug atexec zur Befehlsausführung sowie OpenSSH für Rückwärtstunnel. Der Verschlüsseler ist für Windows, Linux, ESXi und NAS-Systeme verfügbar.

Indicators of Compromise (IOCs)

  • Datei-Endung: .chaos
  • Erpressernotiz: readme.chaos.txt
  • Kommando- und Kontrollserver: 45.61.134[.]36 (Port 443, SSH-Tunnel)
  • Kontaktadresse der Partneranwerbung: win88@thesecure[.]biz
  • Erkennung: Snort-Regeln 65125/65126 und 301273; ClamAV-Signatur Win.Ransomware.Chaos-10045485-0
  • Auffällige Werkzeuge im Netz: Quick Assist, AnyDesk, ScreenConnect, OptiTune, Syncro, Splashtop, GoodSync, Impacket/atexec, OpenSSH
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Wissen Ihre Beschäftigten, dass die eigene IT niemals unangekündigt anruft und zur Freigabe eines Fernzugriffs auffordert – und gibt es einen bekannten Rückrufweg zur Überprüfung?
  • Ist die Windows-Schnellhilfe (Quick Assist) gesperrt oder auf freigegebene Fälle beschränkt, sofern sie nicht betrieblich benötigt wird?
  • Werden nicht freigegebene Fernwartungswerkzeuge (AnyDesk, ScreenConnect, Splashtop, Syncro und vergleichbare) im Netz erkannt und blockiert?
  • Fällt eine plötzliche Spam-Flut auf mehrere Postfächer als möglicher Angriffsvorlauf auf – und wird sie an die Sicherheitsstelle gemeldet?
  • Sind ESXi-Hosts und NAS-Systeme gehärtet, vom Anwendernetz getrennt und mit eigenen Zugangsdaten versehen?
  • Liegen Backups außerhalb der virtualisierten Umgebung, unveränderlich oder offline – und wird ihre Wiederherstellung regelmäßig getestet?

Wie Argos unterstützt

Chaos beginnt beim Menschen, nicht an der Firewall. Deshalb setzt Argos Security an beiden Enden an: Im Rahmen unserer Awareness- und Notfallübungen trainieren wir genau dieses Szenario – Spam-Welle, Anruf vom vermeintlichen IT-Support, Aufforderung zur Schnellhilfe – und etablieren einen klaren Meldeweg. Parallel überwacht das Cyber Defense Center Ihre Umgebung rund um die Uhr (24/7) und erkennt die technischen Spuren: neu gestartete Fernwartungssitzungen, ungewöhnliche Netzwerkverbindungen nach außen, Zugriffe auf ESXi-Hosts und Massenausleitungen von Daten. Im Ernstfall dämmt unser Incident-Response-Team den Angriff kurzfristig per Fernzugriff ein und koordiniert Forensik, Wiederherstellung und Meldepflichten.