Threat Intelligence

Dark Project

Dark Project startete mit einem Schlag: 19 Opfer an zwei Tagen – eines davon in Deutschland.

Kurz erklärt

Dark Project wurde Anfang August 2026 öffentlich sichtbar – und zwar nicht schleichend, sondern mit einem Schlag: 19 Opfer an zwei aufeinanderfolgenden Tagen. Ein solcher Sammelstart ist typisch für Gruppen, die ihre Leak-Site erst eröffnen, nachdem sie über Monate Zugänge gesammelt haben; die Angriffe selbst liegen also teils deutlich früher.

Die Gruppe kombiniert Verschlüsselung und Datenerpressung. Bei den betroffenen Organisationen zeigt sich kein Branchenmuster: Energieversorger, Logistiker, Autohäuser, Arztpraxen, Ingenieurbüros, Verpackungshersteller, Bildungseinrichtungen und eine öffentliche Veranstaltungsgesellschaft stehen nebeneinander. Das spricht für opportunistisches Vorgehen – angegriffen wird, wer erreichbar ist, nicht wer in ein Beuteschema passt.

Für den deutschsprachigen Raum ist ein Fall dokumentiert: ein deutscher Pumpenhersteller, gelistet in der Startwelle vom 5. August 2026. Zur Ehrlichkeit gehört allerdings: Zu Dark Project liegt keine veröffentlichte Analyse des Verschlüsselers vor – keine Datei-Endung, keine Erpressernotiz, keine belegten Angriffstechniken. Tracking-Portale versehen die Behauptungen junger Gruppen ausdrücklich mit einem Vorbehalt. Wir führen das Profil, weil der deutsche Fall und das Volumen belegt sind – nicht, weil die technische Handschrift verstanden wäre.

Aktiv

Modell

Eigenständige Erpressergruppe mit eigener Tor-Leak-Site; ein offenes Partnerprogramm (RaaS) wird bislang nicht beworben

Auch bekannt als

Dark Project; Schreibweise auf Tracking-Portalen: Dark Project. Keine Verbindung zur älteren Ransomware-Familie „Dark Power“ belegt.

Gegründet

Leak-Site öffentlich seit dem 5. August 2026; erste Angriffe liegen nach dem Sammelstart zu urteilen davor

Entstanden aus

Nicht zugeordnet – ein Rebrand oder eine Vorgängergruppe ist öffentlich nicht belegt

Herkunft

Nicht zugeordnet – eine belegte geografische Herkunft ist öffentlich nicht dokumentiert. Der Gruppenname sagt nichts über Sprache oder Standort der Täter aus.

Zielsektoren

Energie und Versorgung, Transport und Logistik, Automobilhandel, Fertigung und Maschinenbau, Ingenieur- und Planungsbüros, Gesundheitswesen, Bildung, Verpackung, professionelle Dienstleistungen, öffentliche Einrichtungen

Zielregionen

6 Länder; Schwerpunkt USA (19 von 25 Einträgen), daneben Vereinigtes Königreich (2), Kanada, Philippinen, Mexiko und Deutschland (je 1)

Typisches Lösegeld

Öffentlich nicht beziffert – die Gruppe nennt auf der Leak-Site keine Summen

Opferzahl

25 gelistete Opfer zwischen dem 5. und 25. August 2026, davon 19 allein in der Startwelle am 5. und 6. August (Stand: 7. September 2026)

File Extensions

keine belastbare öffentliche Angabe – eine Analyse des Verschlüsselers liegt nicht vor

Ransom Note

keine belastbare öffentliche Angabe

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher gehen sonst verloren.
  • Incident Response aktivieren und die Geschäftsführung einbinden – auch dann, wenn zunächst nur eine Nennung auf der Leak-Site vorliegt und noch nichts verschlüsselt ist.
  • Backups prüfen und vom Netz nehmen, bevor sie mitverschlüsselt oder gelöscht werden; Sicherungsjobs auf Manipulation kontrollieren.
  • Alle Fernzugänge sperren, Zugangsdaten zurücksetzen, Sitzungen widerrufen und Mehr-Faktor-Anmeldung erzwingen – auch für Zugänge externer Dienstleister und Maschinenlieferanten.
  • Rückwärts suchen: Die Veröffentlichung erfolgt gebündelt, der Angriff liegt in der Regel Wochen zurück. Protokolle der letzten zwei Monate auf ungewohnte Anmeldungen und große Datenübertragungen prüfen.
  • Umfang des Datenabflusses feststellen: Welche Daten, welche Personen, welche Vertragspartner sind betroffen?
  • Meldepflichten prüfen und Fristen einhalten: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei der ZAC der Polizei erwägen.
  • Den Eintrag auf der Leak-Site samt Datum, Mengenangaben und Dateiproben dokumentieren – er ist Beweismittel und Grundlage für die Schadensbewertung.
⛔ Unbedingt vermeiden
  • Die Nennung nicht ungeprüft glauben: Bei einer erst wenige Wochen sichtbaren Gruppe können auch recycelte Daten aus fremden Vorfällen dahinterstehen. Erst prüfen, dann bewerten – aber sofort prüfen.
  • Sie aber auch nicht als Bluff abtun, ohne die eigenen Protokolle durchgesehen zu haben.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren – Kontakt ausschließlich über erfahrene Incident-Responder und Verhandlungsexperten.
  • Nicht vorschnell zahlen: keine Garantie für Entschlüsselung oder Löschung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Verschlüsselte Daten nicht löschen – sie sind in manchen Fällen später noch zu retten, etwa wenn Schlüssel bekannt werden.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist.
  • Keine „Entschlüsselungs-Tools“ aus dem Netz einsetzen – zu einer Gruppe ohne veröffentlichte Analyse kann es kein seriöses Werkzeug geben.
  • Den Vorfall nicht verschweigen oder aufschieben – Meldefristen laufen ab Kenntnisnahme, nicht ab Veröffentlichung.

Bekannte Angriffe

  • Ruhrpumpen (Deutschland, 5. August 2026) – Hersteller von Industriepumpen; der bislang einzige dokumentierte Eintrag aus dem deutschsprachigen Raum.
  • Leviton (USA, 5. August 2026) – Hersteller elektrotechnischer Komponenten; die Gruppe behauptet rund 1,4 Terabyte erbeutete Daten, darunter interne Finanzunterlagen und Projektunterlagen.
  • The Liberty Group (USA, 24. August 2026) – nach Angaben der Gruppe rund 27.000 Dateien mit Finanz- und Personaldaten.
  • TSC Logistics (Philippinen) und Thermo King (Kanada), beide 5. August 2026 – Logistik und Kühltechnik; zeigt die internationale Streuung schon in der Startwelle.
  • The Miller Group und Sutherland Packaging (Vereinigtes Königreich, 5. August 2026) sowie Design-Aire Engineering, Jones, Little & Co. CPAs und Furnished Quarters (USA, 24./25. August 2026) – Ingenieurbüro, Steuerkanzlei, Verpackung, Wohnungsvermittlung.
  • Wichtig: Alle Nennungen beruhen auf Eigenangaben der Leak-Site. Bei einer erst wenige Wochen sichtbaren Gruppe ist besonders zu prüfen, ob es sich um eigene Angriffe handelt oder um recycelte Daten aus fremden Vorfällen. Unabhängige Bestätigungen liegen nur für einen Teil der Fälle vor.

Angriffstechniken (TTPs)

  • Belegt ist bisher nur das Erpressungsmuster:
    • Datenausleitung vor der Verschlüsselung, anschließende Veröffentlichungsdrohung über eine Tor-Leak-Site – MITRE T1486 (Data Encrypted for Impact), T1657 (Financial Theft)
    • Sammelveröffentlichung mehrerer Opfer am selben Tag – der Angriff liegt bei den meisten Einträgen deutlich vor der Nennung
  • Nicht belegt – bewusst offengelassen:
    • Der initiale Zugangsweg (Phishing, gestohlene Zugangsdaten, ausgenutzte Schwachstelle) ist öffentlich nicht dokumentiert; keine CVE zugeordnet
    • Werkzeuge für Rechteausweitung, seitliche Bewegung und das Abschalten von Sicherheitsprodukten sind nicht bekannt
    • Es liegt keine öffentliche Malware-Analyse vor; auch das Verschlüsselungsverfahren ist unbekannt
  • Hinweis für die Verteidigung:
    • Solange keine Signaturen existieren, muss die Erkennung verhaltensbasiert erfolgen: große ausgehende Datenübertragungen, ungewohnte Anmeldungen an Fernzugängen, massenhafte Dateizugriffe, Manipulation von Sicherungsjobs und Schattenkopien
    • Da mehrere Opfer aus Fertigung und Logistik stammen, verdienen Fernwartungszugänge von Maschinen- und Anlagenlieferanten besondere Aufmerksamkeit

Technologie & Malware

Zu Dark Project liegt keine veröffentlichte technische Analyse vor. Weder Verschlüsselungsverfahren, Programmiersprache oder Zielplattform (Windows, Linux, Virtualisierung) noch Datei-Endung oder Erpressernotiz sind dokumentiert. Wir tragen an dieser Stelle bewusst nichts nach, was nicht belegt ist – Angaben aus Blog-Beiträgen, die allgemeine Ransomware-Merkmale auf diese Gruppe übertragen, sind keine Analyse.

Belegt ist allein die Infrastruktur: eine über das Tor-Netzwerk erreichbare Leak-Site, auf der die Opfer mit Namen, Mengenangaben und teilweise Dateiproben gelistet werden.

Sobald belastbare Analysen vorliegen, ergänzen wir dieses Profil. Bis dahin gilt: Ein Dark-Project-Angriff lässt sich nicht über Signaturen erkennen, sondern nur über Verhalten.

Indicators of Compromise (IOCs)

  • Datei-Endung: keine belastbare öffentliche Angabe
  • Erpressernotiz: keine belastbare öffentliche Angabe
  • Verhaltensindikatoren:
    • Ungewöhnlich große ausgehende Datenübertragungen aus Datei-, ERP- oder Konstruktionsservern
    • Anmeldungen an VPN, RDP oder Fernwartungszugängen zu untypischen Zeiten
    • Löschen von Schattenkopien, Verändern oder Abschalten von Sicherungsjobs
    • Massenhafte Dateizugriffe kurz vor einem Verschlüsselungsvorgang
  • Zeitliches Muster: Nennungen erfolgen gebündelt – wer auf der Liste steht, wurde in der Regel Wochen vorher kompromittiert
  • Es liegen keine veröffentlichten Datei-Hashes oder Netzwerk-Indikatoren vor. Vor dem Blocken sollten Indikatoren immer gegen aktuelle Threat-Intelligence-Quellen geprüft werden.

Was Unternehmen jetzt prüfen sollten

  • Sind alle Fernzugänge – VPN, RDP, Fernwartung durch Maschinen- und Softwarelieferanten – mit phishing-resistenter Mehr-Faktor-Anmeldung geschützt?
  • Gibt es Offline- oder unveränderliche Backups, deren Wiederherstellung schon einmal geübt wurde – und liegen die Sicherungen außerhalb der Domäne?
  • Würden Sie eine ungewöhnlich große Datenübertragung nach außen bemerken – auch nachts, am Wochenende und aus Konstruktions- oder ERP-Systemen heraus?
  • Sind Produktions- und Büronetz getrennt? Mehrere der bekannten Opfer sind Fertigungs- und Logistikbetriebe, bei denen ein Übergreifen den Betrieb sofort stoppt.
  • Werden Firmen-Zugangsdaten auf Funde in Infostealer-Sammlungen überwacht?
  • Ist geregelt, wer Leak-Sites beobachtet und intern Alarm schlägt, wenn Ihr Unternehmensname dort erscheint?
  • Existiert ein geübter Notfallplan mit Meldewegen (DSGVO 72 Stunden, bei NIS2-Betroffenheit 24 Stunden) und benannten Ansprechpartnern außerhalb der Geschäftszeiten?
  • Ist geklärt, wie Sie ohne IT weiterarbeiten – Auftragsannahme, Versand, Lohnbuchhaltung –, falls die Verschlüsselung greift?

Wie Argos unterstützt

Gegen eine Gruppe ohne bekannte Signaturen entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei den Mustern an, die einer Verschlüsselung vorausgehen: erstmalige Nutzung gestohlener Zugangsdaten, Anmeldungen an Fernzugängen zu ungewohnten Zeiten, große ausgehende Datenübertragungen, Manipulation von Sicherungsjobs und Schattenkopien.

Der Sammelstart von Dark Project zeigt, worauf es ankommt: Zwischen Kompromittierung und öffentlicher Nennung liegen Wochen. In diesem Zeitfenster lässt sich ein Angriff noch stoppen – danach geht es nur noch um Schadensbegrenzung. Ergänzend beobachten wir Leak-Sites auf Nennungen Ihres Unternehmens.

Tritt der Ernstfall ein, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf – und begleitet Sie durch Meldepflichten, Kommunikation und, falls nötig, die Verhandlung. Gerade bei Fertigungs- und Logistikbetrieben steht dabei die schnelle Rückkehr in den Betrieb im Vordergrund, nicht die vollständige Aufklärung am ersten Tag.