Cloak ist die Gruppe, die den deutschen Mittelstand über Jahre am hartnäckigsten getroffen hat, ohne je große Schlagzeilen zu machen. Von 166 gelisteten Opfern sitzen 38 in Deutschland – Platz zwei direkt hinter den USA. Getroffen wurden keine Konzerne, sondern Kanzleien, Steuerbüros, Arztpraxen, Kliniken und Kommunen: Organisationen, die Berufsgeheimnisse verwalten und selten ein eigenes Sicherheitsteam haben.
Technisch ist Cloak ein Abkömmling der ARCrypter-Familie und teilt sich die Veröffentlichungs-Infrastruktur mit der Gruppe Good Day. Der Einstieg wird meist eingekauft: Zugangsdaten und offene Fernzugänge stammen von spezialisierten Händlern, sogenannten Initial Access Brokern. Danach läuft ein Standardablauf – Daten stehlen, Schattenkopien löschen, verschlüsseln. Verschlüsselte Dateien tragen Endungen wie .crYptA oder .crYptB, die Forderung liegt als readme_for_unlock.txt im Verzeichnis.
Aktuelle Einordnung (September 2026): Seit dem 18. Juni 2026 sind keine neuen Opfer erschienen – rund 76 Tage Stille. Die Leak-Site ist aber weiterhin erreichbar. Wir führen Cloak deshalb als geschwächt, nicht als historisch: Die Gruppe hat schon früher Pausen eingelegt und danach weitergemacht. Für betroffene Organisationen bleibt das Profil ohnehin relevant – die 2023 bis 2026 gestohlenen Daten stehen weiter im Netz.
Geschwächt
Ransomware-as-a-Service mit Partnern; Zugang häufig von Initial Access Brokern zugekauft
Cloak, CloAk; enge Verwandtschaft zu Good Day und zur ARCrypter-Familie (gemeinsame Infrastruktur beziehungsweise Codebasis)
Zwischen Ende 2022 und Anfang 2023 aufgetaucht; erstes auf der Leak-Site gelistetes Opfer am 24. August 2023
Gilt als Variante der ARCrypter-Familie; die Leak-Site-Infrastruktur wird mit der Gruppe Good Day geteilt, was auf ein gemeinsames Betreiberumfeld hindeutet
Nicht abschließend zugeordnet; russischsprachiges Umfeld wird angenommen, eine belastbare Zuschreibung existiert nicht
Professionelle Dienstleistungen und Kanzleien (größte Gruppe), Fertigung, Technologie und IT-Dienstleister, Finanzdienstleister, Gesundheitswesen, Bildung und öffentliche Verwaltung
30 Länder; USA an erster, Deutschland mit 38 Opfern an zweiter Stelle, dazu Italien, Frankreich und Taiwan; vereinzelt Österreich und Schweiz
Öffentlich nicht einheitlich beziffert; die Gruppe zielt überwiegend auf kleine und mittlere Organisationen, entsprechend moderater fallen die berichteten Forderungen aus
166 gelistete Opfer in 30 Ländern seit August 2023, davon 38 in Deutschland; letztes gelistetes Opfer am 18. Juni 2026 (Stand: 2. September 2026)
.crYptA, .crYptB, .crYptC, .crYptD, .crYptE – die Endung wird alphabetisch fortgezählt
readme_for_unlock.txt
Herkunft: Cloak gilt als Variante der ARCrypter-Familie und teilt sich die Veröffentlichungs-Infrastruktur mit der Gruppe Good Day. Wer eines dieser drei Muster in seiner Umgebung findet, sollte auch die anderen beiden prüfen.
Verfahren: Zum Schlüsselaustausch dient die elliptische Kurve Curve25519, die Dateien selbst werden mit der Stromchiffre HC-128 verschlüsselt. Eine Wiederherstellung ohne den privaten Schlüssel der Angreifer ist nach heutigem Stand nicht möglich.
Erkennbare Handschrift: Verschlüsselte Dateien tragen die Endung .crYptA; taucht in derselben Umgebung später .crYptB oder .crYptC auf, deutet das auf einen weiteren Durchlauf hin. Vor der Verschlüsselung werden über vssadmin.exe die Schattenkopien gelöscht und die Ausführung über versteckte Wartebefehle verzögert – letzteres, um automatisierte Analyseumgebungen auszutricksen.
Cloak trifft genau die Organisationen, die keine eigene Sicherheitsabteilung haben – Kanzleien, Praxen, Steuerbüros, kleine Kommunen. Das Cyber Defense Center von Argos Security übernimmt diese Überwachung rund um die Uhr (24/7) und alarmiert bei den Vorboten dieses Angriffs: erstmalige Nutzung gestohlener Zugangsdaten über RDP, ungewohnte Anmeldungen außerhalb der Arbeitszeiten, gelöschte Schattenkopien, große ausgehende Datenübertragungen.
Weil die Gruppe ihre Zugänge einkauft statt selbst zu erarbeiten, ist die Überwachung des Untergrundmarkts hier besonders wirksam: Wer erfährt, dass Zugangsdaten des eigenen Hauses gehandelt werden, kann sie sperren, bevor sie benutzt werden. Ergänzend härten wir Fernzugänge, prüfen die Wiederherstellbarkeit Ihrer Sicherungen und übernehmen im Ernstfall die vollständige Incident Response – einschließlich der Melde- und Informationspflichten, die bei Mandanten- und Patientendaten besonders streng sind.