Threat Intelligence

Cloak

Kaum eine Gruppe hat den deutschen Mittelstand so systematisch getroffen: 38 der 166 Cloak-Opfer sitzen in Deutschland – Kanzleien, Steuerbüros, Kliniken, Kommunen.

Kurz erklärt

Cloak ist die Gruppe, die den deutschen Mittelstand über Jahre am hartnäckigsten getroffen hat, ohne je große Schlagzeilen zu machen. Von 166 gelisteten Opfern sitzen 38 in Deutschland – Platz zwei direkt hinter den USA. Getroffen wurden keine Konzerne, sondern Kanzleien, Steuerbüros, Arztpraxen, Kliniken und Kommunen: Organisationen, die Berufsgeheimnisse verwalten und selten ein eigenes Sicherheitsteam haben.

Technisch ist Cloak ein Abkömmling der ARCrypter-Familie und teilt sich die Veröffentlichungs-Infrastruktur mit der Gruppe Good Day. Der Einstieg wird meist eingekauft: Zugangsdaten und offene Fernzugänge stammen von spezialisierten Händlern, sogenannten Initial Access Brokern. Danach läuft ein Standardablauf – Daten stehlen, Schattenkopien löschen, verschlüsseln. Verschlüsselte Dateien tragen Endungen wie .crYptA oder .crYptB, die Forderung liegt als readme_for_unlock.txt im Verzeichnis.

Aktuelle Einordnung (September 2026): Seit dem 18. Juni 2026 sind keine neuen Opfer erschienen – rund 76 Tage Stille. Die Leak-Site ist aber weiterhin erreichbar. Wir führen Cloak deshalb als geschwächt, nicht als historisch: Die Gruppe hat schon früher Pausen eingelegt und danach weitergemacht. Für betroffene Organisationen bleibt das Profil ohnehin relevant – die 2023 bis 2026 gestohlenen Daten stehen weiter im Netz.

Geschwächt

Modell

Ransomware-as-a-Service mit Partnern; Zugang häufig von Initial Access Brokern zugekauft

Auch bekannt als

Cloak, CloAk; enge Verwandtschaft zu Good Day und zur ARCrypter-Familie (gemeinsame Infrastruktur beziehungsweise Codebasis)

Gegründet

Zwischen Ende 2022 und Anfang 2023 aufgetaucht; erstes auf der Leak-Site gelistetes Opfer am 24. August 2023

Entstanden aus

Gilt als Variante der ARCrypter-Familie; die Leak-Site-Infrastruktur wird mit der Gruppe Good Day geteilt, was auf ein gemeinsames Betreiberumfeld hindeutet

Herkunft

Nicht abschließend zugeordnet; russischsprachiges Umfeld wird angenommen, eine belastbare Zuschreibung existiert nicht

Zielsektoren

Professionelle Dienstleistungen und Kanzleien (größte Gruppe), Fertigung, Technologie und IT-Dienstleister, Finanzdienstleister, Gesundheitswesen, Bildung und öffentliche Verwaltung

Zielregionen

30 Länder; USA an erster, Deutschland mit 38 Opfern an zweiter Stelle, dazu Italien, Frankreich und Taiwan; vereinzelt Österreich und Schweiz

Typisches Lösegeld

Öffentlich nicht einheitlich beziffert; die Gruppe zielt überwiegend auf kleine und mittlere Organisationen, entsprechend moderater fallen die berichteten Forderungen aus

Opferzahl

166 gelistete Opfer in 30 Ländern seit August 2023, davon 38 in Deutschland; letztes gelistetes Opfer am 18. Juni 2026 (Stand: 2. September 2026)

File Extensions

.crYptA, .crYptB, .crYptC, .crYptD, .crYptE – die Endung wird alphabetisch fortgezählt

Ransom Note

readme_for_unlock.txt

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • RDP und alle weiteren Fernzugänge sofort sperren, Zugangsdaten zurücksetzen, Sitzungen widerrufen und Mehr-Faktor-Anmeldung erzwingen.
  • Nach der Endung suchen: .crYptA und folgende sowie nach der Datei readme_for_unlock.txt – damit lässt sich der betroffene Umfang schnell abgrenzen.
  • Backups prüfen und offline schreibgeschützt sichern – die Schattenkopien sind mit hoher Wahrscheinlichkeit bereits gelöscht.
  • Umfang des Datenabflusses feststellen; bei Kanzleien, Steuerbüros und Praxen zusätzlich die berufsrechtlichen Folgen bewerten (§ 203 StGB, Verschwiegenheitspflichten).
  • Meldepflichten fristgerecht erfüllen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
  • Incident Response aktivieren und die Leitung einbinden – nicht die IT allein entscheiden lassen.
⛔ Unbedingt vermeiden
  • Verschlüsselte Dateien nicht löschen – eine spätere Entschlüsselung ist ohne die Daten ausgeschlossen.
  • Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist – sonst bleibt unklar, welcher Zugang missbraucht wurde, und der nächste Angriff kommt über denselben Weg.
  • Sich nicht darauf verlassen, dass „nur eine Endung“ betroffen ist: Cloak zählt die Endung bei weiteren Durchläufen alphabetisch hoch.
  • Nicht auf eigene Faust mit den Erpressern verhandeln – nur über erfahrene Incident-Responder.
  • Nicht vorschnell zahlen: keine Garantie für Entschlüsselung oder Löschung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Den Vorfall nicht aussitzen, weil der eigene Name auf der Leak-Site nur teilweise lesbar ist – die Maskierung fällt weg, sobald die Frist abläuft.

Bekannte Angriffe

  • Wertachkliniken (Deutschland) – kommunaler Klinikverbund in Bayern; einer der schwerwiegendsten deutschen Einträge, weil Patientendaten betroffen waren.
  • Gemeinde Kaisersbach (Deutschland) – kommunale Verwaltung; zeigt, dass Cloak auch öffentliche Stellen erpresst.
  • Kanzleien und Steuerbüros (Deutschland, 2024–2026) – auffällig viele Einträge aus dem Rechts- und Steuerberatungsumfeld, unter anderem ra-vogeler.de, wr-recht.de und wstg-steuerberater.de. Dort liegen Mandantendaten mit Berufsgeheimnisschutz.
  • Arzt- und Orthopädiepraxen (Deutschland) – mehrere Einträge aus dem Raum Hof.
  • Besonderheit der Leak-Site: Cloak macht Opfernamen häufig nur teilweise unkenntlich (etwa „Ws*******.de“). Das erhöht den Druck, ohne den Namen vollständig preiszugeben – und erschwert Betroffenen zugleich, sich überhaupt wiederzuerkennen.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site und sind nicht in jedem Einzelfall unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Initialer Zugang – meist gekauft, nicht erarbeitet:
    • Zugänge von Initial Access Brokern sowie gestohlene Zugangsdaten – T1078
    • Offene oder schwach geschützte RDP- und Fernwartungszugänge – T1133, T1021.001
    • Phishing, Schadwerbung (Malvertising) und präparierte Downloads einschließlich raubkopierter Software – T1566, T1189
  • Verteidigungs-Umgehung:
    • Löschen der Schattenkopien über vssadmin.exe – T1490
    • Verzögerte Ausführung der Schadkomponente über versteckte Wartebefehle (timeout), um Sandkasten-Analysen zu umgehen – T1497
  • Datendiebstahl:
    • Ausleitung über die Ressourcen des befallenen Systems selbst, vor der Verschlüsselung – T1567
  • Auswirkung:
    • Verschlüsselung mit alphabetisch fortgezählten Endungen .crYptA bis .crYptE – T1486
  • Erpressung:
    • Veröffentlichung auf einer Tor-Leak-Site mit teilweise maskierten Opfernamen; Verkauf nicht bezahlter Datensätze – T1657

Technologie & Malware

Herkunft: Cloak gilt als Variante der ARCrypter-Familie und teilt sich die Veröffentlichungs-Infrastruktur mit der Gruppe Good Day. Wer eines dieser drei Muster in seiner Umgebung findet, sollte auch die anderen beiden prüfen.

Verfahren: Zum Schlüsselaustausch dient die elliptische Kurve Curve25519, die Dateien selbst werden mit der Stromchiffre HC-128 verschlüsselt. Eine Wiederherstellung ohne den privaten Schlüssel der Angreifer ist nach heutigem Stand nicht möglich.

Erkennbare Handschrift: Verschlüsselte Dateien tragen die Endung .crYptA; taucht in derselben Umgebung später .crYptB oder .crYptC auf, deutet das auf einen weiteren Durchlauf hin. Vor der Verschlüsselung werden über vssadmin.exe die Schattenkopien gelöscht und die Ausführung über versteckte Wartebefehle verzögert – letzteres, um automatisierte Analyseumgebungen auszutricksen.

Indicators of Compromise (IOCs)

  • Datei-Endungen: .crYptA, .crYptB, .crYptC, .crYptD, .crYptE (Groß-/Kleinschreibung beachten – das „Y“ ist groß)
  • Erpressernotiz: readme_for_unlock.txt
  • Leak-Site (Tor): cloak7jpvcb73rtx2ff7kaw2kholu7bdiivxpzbhlny4ybz75dpxckqd.onion
  • Verschlüsselung: Curve25519 (Schlüsselaustausch) und HC-128 (Dateien)
  • Verhaltensindikatoren: Aufruf von vssadmin.exe zum Löschen der Schattenkopien; verzögerte Ausführung über versteckte timeout-Befehle; erstmalige Nutzung längst kompromittierter Zugangsdaten über RDP
  • Verwandte Muster: Indikatoren zu ARCrypter und Good Day mitberücksichtigen
  • Indikatoren vor dem Blocken gegen aktuelle Threat-Intelligence-Quellen prüfen.

Was Unternehmen jetzt prüfen sollten

  • Ist RDP aus dem Internet erreichbar – direkt oder über eine schwach geschützte Firewall-Regel? Das ist der klassische Cloak-Einstieg.
  • Sind alle Fernzugänge mit Mehr-Faktor-Anmeldung geschützt, auch die Ihrer IT-Betreuer und Software-Dienstleister?
  • Werden Zugangsdaten Ihrer Mitarbeitenden auf Untergrundmärkten und in Infostealer-Sammlungen überwacht? Cloak kauft Zugänge ein.
  • Alarmiert Ihre Überwachung, wenn Schattenkopien gelöscht werden (vssadmin)? Das ist der letzte Warnmoment vor der Verschlüsselung.
  • Liegen Backups offline oder unveränderlich vor – und wurde die Wiederherstellung schon einmal geübt?
  • Bei Kanzleien, Steuerbüros und Praxen: Ist geklärt, wie Sie Mandanten beziehungsweise Patienten informieren würden, und wie sich das zur Verschwiegenheitspflicht verhält?

Wie Argos unterstützt

Cloak trifft genau die Organisationen, die keine eigene Sicherheitsabteilung haben – Kanzleien, Praxen, Steuerbüros, kleine Kommunen. Das Cyber Defense Center von Argos Security übernimmt diese Überwachung rund um die Uhr (24/7) und alarmiert bei den Vorboten dieses Angriffs: erstmalige Nutzung gestohlener Zugangsdaten über RDP, ungewohnte Anmeldungen außerhalb der Arbeitszeiten, gelöschte Schattenkopien, große ausgehende Datenübertragungen.

Weil die Gruppe ihre Zugänge einkauft statt selbst zu erarbeiten, ist die Überwachung des Untergrundmarkts hier besonders wirksam: Wer erfährt, dass Zugangsdaten des eigenen Hauses gehandelt werden, kann sie sperren, bevor sie benutzt werden. Ergänzend härten wir Fernzugänge, prüfen die Wiederherstellbarkeit Ihrer Sicherungen und übernehmen im Ernstfall die vollständige Incident Response – einschließlich der Melde- und Informationspflichten, die bei Mandanten- und Patientendaten besonders streng sind.