CRPxO ist ein Ransomware-as-a-Service-Programm, das Anfang Juli 2026 auftauchte und binnen weniger Wochen auffallend schnell wuchs. Die Gruppe wirbt offensiv um Partner: beworben werden ein Partneranteil von 70 %, Auszahlungen binnen 24 Stunden und eine einmalige Zugangsgebühr von rund 333 US-Dollar. Auffällig ist der Fokus auf kleine Einrichtungen des Gesundheitswesens – vor allem Zahnarzt- und Arztpraxen – sowie auf Kanzleien und Versicherungsbüros, also Organisationen mit besonders sensiblen Patienten- und Mandantendaten bei gleichzeitig schwacher IT-Absicherung. Der Einstieg erfolgt nach bisherigen Erkenntnissen über in Untergrundmärkten eingekaufte Zugangsdaten. Ein DACH-Bezug ist bislang nicht bekannt – der Schwerpunkt liegt in den USA.
Aktuelle Einordnung (September 2026): Der steile Start ist abgerissen. Seit dem 2. August 2026 ist kein neues Opfer mehr erschienen – 37 Einträge in den letzten 90 Tagen, keiner in den letzten 30. Wir führen CRPxO deshalb als geschwächt. Bei jungen Partnerprogrammen ist das ein typischer Verlauf: Entweder das Programm findet nach dem Anfangsschub keine Partner mehr, oder es taucht unter neuem Namen wieder auf. Das Profil bleibt relevant, weil die Zielauswahl – kleine Praxen und Kanzleien – branchenübergreifend Nachahmer findet.
Geschwächt
Ransomware-as-a-Service (RaaS) mit beworbenem Partneranteil von 70 % und einmaliger Zugangsgebühr
crpx0
Juli 2026
Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert.
Nicht eindeutig zugeordnet
Gesundheitswesen mit deutlichem Schwerpunkt (insbesondere Zahnarzt- und Arztpraxen), Technologie, professionelle Dienstleistungen und Kanzleien sowie Finanz- und Versicherungsdienstleister.
Derzeit klarer Schwerpunkt USA; vereinzelt Opfer in Irland und China. Ein DACH-Bezug ist bislang nicht bekannt – die Gruppe steht jedoch unter Beobachtung, da sich RaaS-Programme dieser Art erfahrungsgemäß schnell nach Europa ausweiten.
Nicht öffentlich beziffert. Veröffentlichte Datenpakete reichen von rund 1,2 GB bis über 150 GB je Opfer.
37 gelistete Opfer in den letzten 90 Tagen, keines in den letzten 30 Tagen; letzter Eintrag am 2. August 2026 (Stand: 2. September 2026)
Öffentlich nicht dokumentiert – eine Analyse des Verschlüsselers liegt bislang nicht vor.
Öffentlich nicht dokumentiert.
Zum Verschlüsseler von CRPxO liegt bislang keine öffentliche Analyse vor – weder Datei-Endung noch Erpressernotiz oder Verschlüsselungsverfahren sind dokumentiert. Bekannt ist der organisatorische Aufbau: CRPxO betreibt zwei über Tor erreichbare Adressen – eine Leak-Site für Veröffentlichungen und ein Partnerportal zur Steuerung der Angriffe. Beworben werden ein Partneranteil von 70 %, Auszahlungen in Kryptowährung binnen 24 Stunden sowie eine einmalige Zugangsgebühr von rund 333 US-Dollar – ein niedrigschwelliges Modell, das gezielt auch weniger erfahrene Angreifer anspricht und die schnelle Opferzunahme erklärt. Der initiale Zugang wird nach bisherigen Berichten überwiegend eingekauft statt selbst erarbeitet.
Kleine Praxen, Kanzleien und Dienstleister sind genau deshalb attraktiv, weil dort niemand rund um die Uhr auf die Systeme schaut. Das Cyber Defense Center von Argos Security übernimmt diese Überwachung 24/7 und schlägt an, wenn eingekaufte Zugangsdaten erstmals benutzt werden, wenn ungewöhnlich große Datenmengen das Netz verlassen oder wenn eine Verschlüsselung anläuft. Ergänzend beobachten wir Untergrundmärkte und Leak-Sites auf Nennungen Ihrer Organisation. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen und die Wiederherstellung zu koordinieren – und begleitet Sie bei den besonders strengen Melde- und Informationspflichten, die bei Gesundheits- und Mandantendaten gelten.