Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
Threat Intelligence

Dire Wolf

Kein breites Partnernetz, sondern ein kleines Kernteam: Dire Wolf verschlüsselt mit eigener Go-Malware und veröffentlicht gestohlene Daten – seit August 2026 auch in Deutschland.

Vorfall melden
Kurz erklärt

Dire Wolf ist eine seit Mai 2025 dokumentierte, menschengesteuerte Ransomware-Gruppe. Sie arbeitet nicht als offenes Partnerprogramm, sondern als kleines, geschlossenes Kernteam, das jeden Angriff individuell auf das Opfer zuschneidet. Verschlüsselt wird mit einem eigenen, in der Programmiersprache Go geschriebenen Verschlüsseler; parallel werden Daten gestohlen und auf einer Tor-Leak-Site veröffentlicht (Double Extortion).

Bis August 2026 sind über 90 Opfer in mehr als 30 Ländern gelistet, Schwerpunkte in Professional Services, Fertigung, Gesundheitswesen und Technologie. Der regionale Fokus liegt auf Nordamerika und Südostasien – im August 2026 erschien mit der Statista GmbH aber erstmals ein bekanntes deutsches Unternehmen auf der Leak-Site.

Aktiv

Modell

Geschlossene Gruppe mit kleinem Kernteam; kein offenes Affiliate-/RaaS-Programm

Auch bekannt als

Direwolf, DireWolf

Gegründet

Erstmals im Mai 2025 dokumentiert (erste Opferlistung am 27. Mai 2025)

Entstanden aus

Keine belegte Abstammung von einer Vorgängergruppe – eigene Infrastruktur, eigener Code, eigene Zahlungswege

Herkunft

Öffentlich keiner Nation zugeordnet – es gibt bisher keine belastbare Länderzuschreibung

Zielsektoren

Professional Services, Fertigung, Gesundheitswesen, Technologie, Finanzdienstleistungen

Zielregionen

über 30 Länder; Schwerpunkte USA, Südostasien (Malaysia, Thailand, Singapur, Taiwan), Brasilien, Großbritannien; seit August 2026 auch Deutschland

Typisches Lösegeld

bis rund 500.000 US-Dollar

Opferzahl

über 90 gelistete Opfer seit Mai 2025, davon 17 im August 2026 (Stand: 17. August 2026)

File Extensions

.direwolf

Ransom Note

HowToRecoveryFiles.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – die Schlüsselreste im Arbeitsspeicher und die Spuren der Selbstlöschung gehen sonst verloren.
  • Backups prüfen und offline schreibgeschützt sichern – Dire Wolf löscht Schattenkopien gezielt.
  • Nach dem Muster suchen: große Dateien, bei denen nur das erste Megabyte zerstört ist – das ist ein deutliches Dire-Wolf-Kennzeichen und hilft bei der Schadensabgrenzung.
  • VPN- und Fernzugänge sperren, alle Zugangsdaten zurücksetzen und MFA erzwingen.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note (HowToRecoveryFiles.txt) und die qTox-ID sichern.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist – die Malware löscht sich selbst, die verbliebenen Spuren sind kostbar.
  • Nicht allein über die qTox-ID mit den Angreifern verhandeln – nur über erfahrene IR- und Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Große Dateien nicht vorschnell als „unbeschädigt“ abhaken, nur weil sie sich noch öffnen lassen – der zerstörte Dateikopf macht sie unbrauchbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Statista GmbH (Deutschland, August 2026) – der Hamburger Statistik-Anbieter wurde am 10. August 2026 auf der Leak-Site gelistet; erster prominenter DACH-Eintrag der Gruppe.
  • Warnung aus Singapur (2025) – die singapurischen Behörden veröffentlichten einen Alert zu Dire-Wolf-Angriffen auf Technologie- und Fertigungsunternehmen.
  • Breite Opferliste 2025/26 – weitere gelistete Opfer u. a. in den USA, Malaysia, Thailand, Brasilien, Indien und Großbritannien; zuletzt gehäuft Gesundheits- und Finanzdienstleister.

Angriffstechniken (TTPs)

  • Erstzugang: kein einzelner bestätigter Vektor – beobachtet wurden Phishing-Mails mit Anhang oder Link, gestohlene Zugangsdaten und angreifbare VPN-Zugänge.
    • Social-Engineering-Kampagnen über präparierte Download-Domains (u. a. eine gefälschte Tor-Browser-Seite)
    • MITRE: T1566 (Phishing), T1078 (gültige Konten)
  • Ausbreitung und Rechteausweitung: Living-off-the-Land statt eigener Werkzeuge.
    • PowerShell, WMI und PsExec für Bewegung im Netz (T1059, T1078)
    • Mimikatz zum Auslesen von Zugangsdaten (T1003.001)
  • Verteidigungs-Umgehung: systematische Spurenbeseitigung vor der Verschlüsselung.
    • Windows-Ereignisprotokolle deaktivieren (T1562.002)
    • Sicherheitsprozesse und Dienste beenden (T1489, T1562.001)
    • Schattenkopien und Backups löschen (T1490)
    • Selbstlöschung der Malware nach Ausführung; Mutex verhindert Doppelinfektion
  • Erpressung: Datendiebstahl vor der Verschlüsselung, danach Veröffentlichung auf der Tor-Leak-Site (T1486 + T1657). Verhandlung über eine je Opfer individuelle qTox-ID.

Technologie & Malware

Verschlüsseler: Eigenentwicklung in Go, ausgeliefert als UPX-gepacktes Windows-Binary. Die Gruppe verwendet keinen gekauften Baukasten – ein Hinweis auf ein technisch eigenständiges Team.

Verfahren: Curve25519 für den Schlüsselaustausch, ChaCha20 für die Dateiverschlüsselung, mit einem eigenen Sitzungsschlüssel je Datei. Dateien unter 1 MB werden vollständig verschlüsselt, größere nur im ersten Megabyte – das macht die Verschlüsselung sehr schnell und fällt in der Ordnerüberwachung spät auf. Eine Wiederherstellung ohne Schlüssel ist nach heutigem Stand nicht möglich.

Begleitwerkzeuge: Mimikatz; in Analysen wurden zudem Verbindungen zu AgentTesla und Dridex im Vorfeld beobachtet.

Endung und Note: verschlüsselte Dateien tragen .direwolf, die Lösegeldforderung liegt als HowToRecoveryFiles.txt im Verzeichnis.

Indicators of Compromise (IOCs)

  • File Extension: .direwolf
  • Ransom Note: HowToRecoveryFiles.txt
  • SHA-256: 27d90611f005db3a25a4211cf8f69fb46097c6c374905d7207b30e87d296e1b3
  • SHA-256: 8fdee53152ec985ffeeeda3d7a85852eb5c9902d2d480449421b4939b1904aad
  • SHA-256: 00065b7aeaa41e3aa52cf94be0f63afdd92e04799935d612f2451bcf4b1fb704
  • Leak-Site (Tor): direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd.onion
  • Kontakt: qTox, ID je Opfer individuell
  • Verdächtige Domain: tor-browser.io (gefälschte Download-Seite)
  • Verhaltensindikator: Deaktivierte Windows-Ereignisprotokolle plus gelöschte Schattenkopien kurz vor Verschlüsselungsbeginn

Was Unternehmen jetzt prüfen sollten

  • Phishing-resistente MFA auf allen VPN-, RDP- und Fernwartungszugängen
  • Erkennung für das Abschalten von Ereignisprotokollen und das Löschen von Schattenkopien scharf schalten – das ist der letzte Warnmoment vor der Verschlüsselung
  • Mimikatz- und LSASS-Zugriffe überwachen; PowerShell-, WMI- und PsExec-Nutzung auf Auffälligkeiten prüfen
  • Offline- und unveränderliche Backups, regelmäßig auf Wiederherstellbarkeit getestet
  • Software nur aus Originalquellen beziehen – die Gruppe nutzt gefälschte Download-Seiten
  • Krisen- und Meldeprozesse (DSGVO 72 h, NIS2 24 h) vorbereitet und geübt

Wie Argos unterstützt

Das Argos Cyber Defense Center überwacht rund um die Uhr genau die Schritte, die Dire Wolf vor der Verschlüsselung geht: das Abschalten von Ereignisprotokollen, das Löschen von Schattenkopien, verdächtige PsExec- und Mimikatz-Aktivität. Genau dort liegt das Zeitfenster, in dem ein Angriff noch gestoppt werden kann.

Ergänzend härten wir Fernzugänge und VPN-Infrastruktur, prüfen die Wiederherstellbarkeit Ihrer Backups und übernehmen im Ernstfall die vollständige Incident Response – von der Forensik über die Wiederherstellung bis zu den Behördenmeldungen.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →