Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
Threat Intelligence

Crypto24

Crypto24 schaltet mit einem eigenen Tool rund 30 EDR-/AV-Produkte stumm – ein Lehrstück, warum EDR allein nicht reicht.

Vorfall melden
Kurz erklärt

Crypto24 ist eine ab Ende 2024 aktive Double-Extortion-Gruppe, die durch ein maßgeschneidertes EDR-Bypass-Tool auffiel: Es deaktiviert rund 30 Sicherheitsprodukte, teils indem es sie mit ihren eigenen Werkzeugen deinstalliert.

Aktuelle Einordnung (September 2026): Crypto24 ist zurück – vorsichtig. Nach dem letzten Eintrag vom 17. April 2026 und viereinhalb Monaten ohne jede Aktivität ist am 31. August 2026 ein einzelnes neues Opfer auf der Leak-Site erschienen; die Infrastruktur ist wieder erreichbar. Ein Eintrag macht noch keine Kampagne, deshalb führen wir die Gruppe von historisch auf geschwächt zurück und nicht direkt auf aktiv. Unabhängig davon bleibt das Vorgehen lehrreich und wird von anderen Gruppen kopiert: Wer Endpunktschutz als alleinige Verteidigungslinie betrachtet, ist gegen diese Klasse von Angriffen blind.

Geschwächt

Modell

RaaS (Double Extortion)

Auch bekannt als

Crypto24 (nicht der 2024er Infostealer-Scam)

Gegründet

Mitte/Ende 2024 (öffentlich stärker ab 2025)

Entstanden aus

Vermuteter Ableger erfahrener Ex-Ransomware-Betreiber

Herkunft

Unbekannt (RAMP-Forum, russischsprachig)

Zielsektoren

Finanzwesen, Fertigung, Technologie, Entertainment, Gesundheitswesen, Business-Services

Zielregionen

Asien, Europa, USA; DACH: Deutschland (CMS Legal Services), Österreich – je 1 Opfer

Typisches Lösegeld

unbekannt (Kontakt per E-Mail)

Opferzahl

47 gelistete Opfer in 24 Ländern; genau ein Eintrag in den letzten 90 Tagen (31. August 2026), davor Stillstand seit dem 17. April 2026 (Stand: 2. September 2026)

File Extensions

.crypto24

Ransom Note

Decryption.txt

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme isolieren, aber nicht ausschalten – flüchtige Spuren sichern.
  • Manipulationsschutz der EDR/AV prüfen und Abschaltungen alarmieren – Crypto24 blendet Sicherheitsprodukte gezielt aus; dormante/Default-Admin-Konten deaktivieren.
  • Backups sofort prüfen und offline sichern.
  • Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Sich nicht allein auf EDR verlassen – Crypto24 deaktiviert es gezielt; Abschaltungen müssen alarmieren.
  • Dormante/Default-Admin-Konten nicht offen lassen.
  • Nicht vorschnell Lösegeld zahlen – keine Garantie; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Generali Group (Italien, Sep. 2025)
  • TransCore ITS (US/UAE, Juli 2025, 200+ GB)
  • Tan Chong Motor (Malaysia, ~300 GB)

Angriffstechniken (TTPs)

  • Initial Access: gültige/gestohlene Konten, reaktivierte dormante Admin-Konten, neue lokale User; hands-on-keyboard außerhalb der Geschäftszeiten.
    • Keine spezifischen CVEs (LOLBins + valid accounts); BYOVD für den EDR-Kill
    • MITRE: T1547, T1098, T1021, T1490, T1562.001
  • Werkzeuge: RealBlindingEDR (deaktiviert ~30 Sicherheitsprodukte), gpscript.exe (missbraucht XBCUninstaller), PsExec, AnyDesk, Keylogger WinMainSvc.dll, Exfil zu Google Drive.

Technologie & Malware

Sprache/Verschlüsselung: unbekannt (nicht offengelegt, nur „starke Verschlüsselung“).

Plattform: Windows.

Besonderheit: custom RealBlindingEDR blendet ~30 EDR/AV aus – teils per Deinstallation über deren eigene Tools.

Indicators of Compromise (IOCs)

  • File Extension: .crypto24
  • Ransom Note: Decryption.txt; Kontakt haowieo2839@proton.me
  • Malware: WinMainSvc.dll (Keylogger), MSRuntime.dll (Loader), RealBlindingEDR
  • Muster: gpscript.exe + XBCUninstaller; Exfil zu Google Drive

Was Unternehmen jetzt prüfen sollten

  • EDR-Manipulationsschutz und Alarme bei Abschaltung von Sicherheitsdiensten
  • Dormante/Default-Admin-Konten deaktivieren
  • Least Privilege und Segmentierung
  • Offline-Backups

Wie Argos unterstützt

24/7-Erkennung im Cyber Defense Center meldet EDR-Manipulation sofort – genau dort, wo Crypto24 ansetzt; Managed XDR und IR.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →