CRPxO ist ein Ransomware-as-a-Service-Programm, das erst Anfang Juli 2026 aufgetaucht ist und seither auffallend schnell wächst – allein in der letzten Juliwoche kamen rund 20 neue Einträge hinzu. Die Gruppe wirbt offensiv um Partner: beworben werden ein Partneranteil von 70 %, Auszahlungen binnen 24 Stunden und eine einmalige Zugangsgebühr von rund 333 US-Dollar. Auffällig ist der Fokus auf kleine Einrichtungen des Gesundheitswesens – vor allem Zahnarzt- und Arztpraxen – sowie auf Kanzleien und Versicherungsbüros, also Organisationen mit besonders sensiblen Patienten- und Mandantendaten bei gleichzeitig schwacher IT-Absicherung. Der Einstieg erfolgt nach bisherigen Erkenntnissen über in Untergrundmärkten eingekaufte Zugangsdaten. Ein DACH-Bezug ist bislang nicht bekannt – der Schwerpunkt liegt in den USA.
Aktiv
Ransomware-as-a-Service (RaaS) mit beworbenem Partneranteil von 70 % und einmaliger Zugangsgebühr
crpx0
Juli 2026
Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert.
Nicht eindeutig zugeordnet
Gesundheitswesen mit deutlichem Schwerpunkt (insbesondere Zahnarzt- und Arztpraxen), Technologie, professionelle Dienstleistungen und Kanzleien sowie Finanz- und Versicherungsdienstleister.
Derzeit klarer Schwerpunkt USA; vereinzelt Opfer in Irland und China. Ein DACH-Bezug ist bislang nicht bekannt – die Gruppe steht jedoch unter Beobachtung, da sich RaaS-Programme dieser Art erfahrungsgemäß schnell nach Europa ausweiten.
Nicht öffentlich beziffert. Veröffentlichte Datenpakete reichen von rund 1,2 GB bis über 150 GB je Opfer.
Rund 26 gelistete Opfer (Stand: Juli 2026), davon rund 20 allein in der letzten Juliwoche
Öffentlich nicht dokumentiert – eine Analyse des Verschlüsselers liegt bislang nicht vor.
Öffentlich nicht dokumentiert.
Zum Verschlüsseler von CRPxO liegt bislang keine öffentliche Analyse vor – weder Datei-Endung noch Erpressernotiz oder Verschlüsselungsverfahren sind dokumentiert. Bekannt ist der organisatorische Aufbau: CRPxO betreibt zwei über Tor erreichbare Adressen – eine Leak-Site für Veröffentlichungen und ein Partnerportal zur Steuerung der Angriffe. Beworben werden ein Partneranteil von 70 %, Auszahlungen in Kryptowährung binnen 24 Stunden sowie eine einmalige Zugangsgebühr von rund 333 US-Dollar – ein niedrigschwelliges Modell, das gezielt auch weniger erfahrene Angreifer anspricht und die schnelle Opferzunahme erklärt. Der initiale Zugang wird nach bisherigen Berichten überwiegend eingekauft statt selbst erarbeitet.
Kleine Praxen, Kanzleien und Dienstleister sind genau deshalb attraktiv, weil dort niemand rund um die Uhr auf die Systeme schaut. Das Cyber Defense Center von Argos Security übernimmt diese Überwachung 24/7 und schlägt an, wenn eingekaufte Zugangsdaten erstmals benutzt werden, wenn ungewöhnlich große Datenmengen das Netz verlassen oder wenn eine Verschlüsselung anläuft. Ergänzend beobachten wir Untergrundmärkte und Leak-Sites auf Nennungen Ihrer Organisation. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen und die Wiederherstellung zu koordinieren – und begleitet Sie bei den besonders strengen Melde- und Informationspflichten, die bei Gesundheits- und Mandantendaten gelten.