Threat Intelligence

CRPxO

Im Juli 2026 gestartetes Ransomware-as-a-Service-Programm, das binnen weniger Wochen Dutzende Arzt- und Zahnarztpraxen erpresst hat – der schnellste Neuzugang dieses Sommers.

Kurz erklärt

CRPxO ist ein Ransomware-as-a-Service-Programm, das erst Anfang Juli 2026 aufgetaucht ist und seither auffallend schnell wächst – allein in der letzten Juliwoche kamen rund 20 neue Einträge hinzu. Die Gruppe wirbt offensiv um Partner: beworben werden ein Partneranteil von 70 %, Auszahlungen binnen 24 Stunden und eine einmalige Zugangsgebühr von rund 333 US-Dollar. Auffällig ist der Fokus auf kleine Einrichtungen des Gesundheitswesens – vor allem Zahnarzt- und Arztpraxen – sowie auf Kanzleien und Versicherungsbüros, also Organisationen mit besonders sensiblen Patienten- und Mandantendaten bei gleichzeitig schwacher IT-Absicherung. Der Einstieg erfolgt nach bisherigen Erkenntnissen über in Untergrundmärkten eingekaufte Zugangsdaten. Ein DACH-Bezug ist bislang nicht bekannt – der Schwerpunkt liegt in den USA.

Aktiv

Modell

Ransomware-as-a-Service (RaaS) mit beworbenem Partneranteil von 70 % und einmaliger Zugangsgebühr

Auch bekannt als

crpx0

Gegründet

Juli 2026

Entstanden aus

Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert.

Herkunft

Nicht eindeutig zugeordnet

Zielsektoren

Gesundheitswesen mit deutlichem Schwerpunkt (insbesondere Zahnarzt- und Arztpraxen), Technologie, professionelle Dienstleistungen und Kanzleien sowie Finanz- und Versicherungsdienstleister.

Zielregionen

Derzeit klarer Schwerpunkt USA; vereinzelt Opfer in Irland und China. Ein DACH-Bezug ist bislang nicht bekannt – die Gruppe steht jedoch unter Beobachtung, da sich RaaS-Programme dieser Art erfahrungsgemäß schnell nach Europa ausweiten.

Typisches Lösegeld

Nicht öffentlich beziffert. Veröffentlichte Datenpakete reichen von rund 1,2 GB bis über 150 GB je Opfer.

Opferzahl

Rund 26 gelistete Opfer (Stand: Juli 2026), davon rund 20 allein in der letzten Juliwoche

File Extensions

Öffentlich nicht dokumentiert – eine Analyse des Verschlüsselers liegt bislang nicht vor.

Ransom Note

Öffentlich nicht dokumentiert.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren (LAN/WLAN trennen), aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response aktivieren und ein spezialisiertes Team einbinden; parallel Praxis-/Kanzleileitung und Datenschutzbeauftragte informieren.
  • Alle Zugangsdaten zurücksetzen und MFA erzwingen – einschließlich der Fernwartungszugänge Ihres Software-Dienstleisters; CRPxO arbeitet mit eingekauften Zugangsdaten.
  • Backups schützen: Sicherungssysteme vom Netz trennen und auf Integrität sowie Wiederherstellbarkeit prüfen, bevor etwas zurückgespielt wird.
  • Umfang des Datenabflusses früh bestimmen: Bei Gesundheitsdaten (DSGVO Art. 9) gelten besonders strenge Anforderungen an Meldung und Betroffeneninformation.
  • Meldepflichten fristgerecht erfüllen: Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Benachrichtigung der Betroffenen bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei/ZAC erwägen.
⛔ Unbedingt vermeiden
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine eigenständige Zahlung des Lösegelds ohne juristische, forensische und ggf. behördliche Abstimmung – bei einer erst wenige Wochen alten Gruppe ist völlig offen, ob überhaupt entschlüsselt wird.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Die Betroffeneninformation nicht aufschieben, um „erst intern zu klären“ – bei Gesundheits- und Mandantendaten sind die Fristen kurz und die Erwartungen der Aufsicht hoch.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass die Angreifer keinen Zugang mehr haben.
  • Den Vorfall nicht als reines IT-Thema behandeln – Schweigepflicht, Berufsrecht und Haftung betreffen unmittelbar die Leitung.

Bekannte Angriffe

  • USA: mehrere Zahnarzt- und Arztpraxen, u. a. SF Smile Doctor, Creative Smiles Pediatric Dentistry, Top Notch Dentistry of Dallas, Bishop Arts Dental und Benjamin H. Wang DDS (alle Juli 2026).
  • China: AMHWA Biopharm Co., Ltd., Biopharmaunternehmen, mit rund 37 GB angeblich erbeuteter Daten (Juli 2026).
  • DACH: bislang keine bekannten Opfer.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site von CRPxO und sind nicht unabhängig verifiziert. Da die Gruppe sehr jung ist, sollten ihre Behauptungen besonders kritisch geprüft werden.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • In Untergrundmärkten eingekaufte, gültige Zugangsdaten – T1078 (Valid Accounts)
    • Nutzung externer Fernzugriffs- und Verwaltungsportale – T1133 (External Remote Services)
  • Ausführung:
    • Mehrstufiges Nachladen der Schadkomponenten – T1105 (Ingress Tool Transfer)
  • Sammlung & Exfiltration:
    • Abzug großer Datenbestände vor der Verschlüsselung (1,2 GB bis über 150 GB je Opfer) – T1567 (Exfiltration Over Web Service)
  • Auswirkung / Erpressung:
    • Datenverschlüsselung – T1486 (Data Encrypted for Impact)
    • Veröffentlichungsdrohung auf einer Tor-Leak-Site, gezielt mit besonders sensiblen Patienten- und Mandantendaten
  • Hinweis:
    • Die technische Analyse dieser Gruppe steht noch am Anfang; TTPs können sich mit weiteren Veröffentlichungen ändern.

Technologie & Malware

Zum Verschlüsseler von CRPxO liegt bislang keine öffentliche Analyse vor – weder Datei-Endung noch Erpressernotiz oder Verschlüsselungsverfahren sind dokumentiert. Bekannt ist der organisatorische Aufbau: CRPxO betreibt zwei über Tor erreichbare Adressen – eine Leak-Site für Veröffentlichungen und ein Partnerportal zur Steuerung der Angriffe. Beworben werden ein Partneranteil von 70 %, Auszahlungen in Kryptowährung binnen 24 Stunden sowie eine einmalige Zugangsgebühr von rund 333 US-Dollar – ein niedrigschwelliges Modell, das gezielt auch weniger erfahrene Angreifer anspricht und die schnelle Opferzunahme erklärt. Der initiale Zugang wird nach bisherigen Berichten überwiegend eingekauft statt selbst erarbeitet.

Indicators of Compromise (IOCs)

  • Zwei Tor-Adressen der Gruppe: Leak-Site und Partnerportal (beide auf NGINX-Basis)
  • Kein öffentlich dokumentierter Datei-Endungs- oder Erpressernotiz-Indikator – die Erkennung stützt sich derzeit auf Verhaltensmuster
  • Frühindikatoren: erstmalige Nutzung längst kompromittierter Zugangsdaten, ungewöhnlich große ausgehende Datenübertragungen aus Praxis- oder Kanzleisystemen
  • Die Gruppe wird in Teilen der Berichterstattung auch als „crpx0“ geführt; Zuordnungen sollten vor dem Blocken verifiziert werden.

Was Unternehmen jetzt prüfen sollten

  • Sind alle Zugänge zu Praxis-, Kanzlei- oder Verwaltungssoftware mit Multi-Faktor-Authentifizierung abgesichert – auch die Fernwartungszugänge Ihres Software-Dienstleisters?
  • Werden die Zugangsdaten Ihrer Mitarbeitenden auf Infostealer- und Untergrundmärkte hin überwacht? CRPxO kauft Zugänge ein, statt selbst einzubrechen.
  • Existieren unveränderliche (immutable) oder offline gehaltene Backups Ihrer Patienten-, Mandanten- und Abrechnungsdaten, die regelmäßig auf Wiederherstellbarkeit getestet werden?
  • Ist dokumentiert, welche besonderen Kategorien personenbezogener Daten (Gesundheitsdaten nach DSGVO Art. 9) Sie verarbeiten – und liegt ein vorbereiteter Meldeweg an die Aufsichtsbehörde bereit?
  • Gibt es einen benannten Ansprechpartner und einen geübten Ablauf für den Ernstfall, auch außerhalb der üblichen Öffnungs- und Sprechzeiten?

Wie Argos unterstützt

Kleine Praxen, Kanzleien und Dienstleister sind genau deshalb attraktiv, weil dort niemand rund um die Uhr auf die Systeme schaut. Das Cyber Defense Center von Argos Security übernimmt diese Überwachung 24/7 und schlägt an, wenn eingekaufte Zugangsdaten erstmals benutzt werden, wenn ungewöhnlich große Datenmengen das Netz verlassen oder wenn eine Verschlüsselung anläuft. Ergänzend beobachten wir Untergrundmärkte und Leak-Sites auf Nennungen Ihrer Organisation. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen und die Wiederherstellung zu koordinieren – und begleitet Sie bei den besonders strengen Melde- und Informationspflichten, die bei Gesundheits- und Mandantendaten gelten.