Doommageddon ist eine Ransomware-Gruppe, die seit dem Frühjahr 2026 Opfer auf einer eigenen Tor-Leak-Site veröffentlicht – bislang 17 Einträge, zuletzt am 23. Oktober 2026. Die Gruppe verschlüsselt Dateien und hängt die Endung .doomag an; im Verzeichnis liegt die Erpressernotiz README_DECRYPT.txt. Verhandelt wird ausschließlich über den verschlüsselten Messenger Session.
Der Schwerpunkt liegt in der Türkei, dazu kommen Opfer in Brasilien, Paraguay, Indien und den USA – vom Chemie- und Maschinenbaubetrieb über Logistiker und Apotheken bis zu einer US-Polizeibehörde. Die Leak-Site zeigt je Opfer einen Status („upcoming“, „negotiating“, „DATA LEAKED“) und einen Countdown.
Hinweis zur Einordnung: Ein Fall im deutschsprachigen Raum ist nicht dokumentiert. Unter den Einträgen steht jedoch Mercedes-Benz Türk (behauptet, unbestätigt) – relevant für deutsche Unternehmen mit Standorten in der Türkei. Eine tiefgehende Malware-Analyse liegt nicht vor; die technischen Angaben stammen aus der Beschreibung einer Probe und der Erpressernotiz.
Aktiv
Geschlossene Ransomware-Gruppe mit eigener Tor-Leak-Site und Verhandlung über den Messenger Session; ein beworbenes Partnerprogramm (RaaS) ist nicht bekannt
Doommageddon; nach der Datei-Endung teils als „Doomag“ bezeichnet
Frühjahr 2026; erster Leak-Site-Eintrag am 8. März 2026, erste öffentliche Malware-Beschreibung am 1. Juli 2026
Nicht zugeordnet – Verbindungen zu älteren Gruppen sind öffentlich nicht belegt
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Industrie und Maschinenbau, Chemie, Logistik, Immobilien, Gesundheitswesen und Apotheken, Bildung, Finanzdienstleistungen, öffentliche Sicherheit
Schwerpunkt Türkei, dazu Brasilien, Paraguay, Indien und USA. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Öffentlich nicht beziffert; die Erpressernotiz nennt weder Betrag noch Frist
17 gelistete Einträge seit dem 8. März 2026, davon mehrere ältere Fälle gesammelt am 6. Juli 2026 veröffentlicht (Stand: 26. Oktober 2026)
.doomag (an den vollständigen Dateinamen angehängt, z. B. bericht.pdf.doomag)
README_DECRYPT.txt – behauptet RSA-2048-Verschlüsselung, nennt eine Opfer-ID, eine Session-ID und eine Onion-Adresse, warnt vor eigenen Entschlüsselungsversuchen; kein Betrag, keine Frist
Die bislang einzige öffentliche Beschreibung einer Probe (PCrisk, 1. Juli 2026) zeigt einen Windows-Verschlüsseler, der die Dateinamen behält und nur die Endung .doomag anhängt. Die Erpressernotiz README_DECRYPT.txt spricht von RSA-2048, nennt eine Opfer-ID, eine Session-ID und eine Onion-Adresse und warnt davor, Dateien zu verändern oder Wiederherstellungswerkzeuge zu nutzen. Ein kostenloser Entschlüsseler ist nicht bekannt.
Antivirenhersteller erkennen die Probe bislang nur generisch (z. B. Microsoft Trojan:Win32/Wacatac.B!ml, Kaspersky Trojan.Win32.Agent.xcemuf). Eine tiefgehende Analyse von Verschlüsselungsverfahren, Ausbreitung und Werkzeugen ist nicht veröffentlicht – die Erkennung muss sich daher vor allem auf Verhalten stützen.
Bei einer kleinen Gruppe mit generisch erkannter Schadsoftware entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Endgeräte, Server und Netzwerkgeräte rund um die Uhr (24/7) und schlägt bei den typischen Vorboten an: ungewöhnliche Anmeldungen an Firewalls und Fernzugängen, gelöschte Schattenkopien, massenhafte Dateiänderungen. Das gilt ausdrücklich auch für Auslandsstandorte, die bei vielen Mittelständlern außerhalb der zentralen Überwachung liegen.
Im Ernstfall übernimmt unser Incident-Response-Team: Ausbreitung stoppen, betroffene Systeme isolieren, Beweise sichern, die Wiederherstellung steuern und die Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen.