Eclipse ist eine Ransomware-Gruppe, die am 12. August 2026 in Cybercrime-Foren unter dem Kürzel „EclipseSupport“ ein Partnerprogramm (Ransomware-as-a-Service) bewarb. Laut Werbung richtet sich die Schadsoftware gegen Windows-Domänen, Linux, VMware ESXi, Hyper-V, NAS-Systeme und Nutanix und soll Veeam-Backups ausschalten. Seit dem 16. August 2026 betreibt eine Gruppe dieses Namens eine Leak-Site mit bislang 20 Einträgen – darunter die japanische Zeitung The Japan Times, Taiwan Otsuka Pharmaceutical und der Logistiker Global AirFreight International.
Die technischen Angaben stammen aus der Eigenwerbung der Täter; eine unabhängige Malware-Analyse ist nicht veröffentlicht. Dass Forenangebot und Leak-Site zum selben Betreiber gehören, legen Name und Zeitpunkt nahe, öffentlich bewiesen ist es nicht.
Hinweis zur Einordnung: Nicht zu verwechseln mit „Nightmare-Eclipse“ bzw. „Chaotic Eclipse“ – einer Einzelperson, die seit April 2026 Windows-Zero-Day-Exploits veröffentlicht, aber keine Ransomware betreibt. Ein Fall im deutschsprachigen Raum ist nicht dokumentiert; die Opfernennungen sind unbestätigt.
Aktiv
Ransomware-as-a-Service: Laut Werbung zahlen Partner eine Einstiegsgebühr und behalten zunächst 90, später 80 Prozent des Lösegelds; Admin-Panel mit Verhandlungschat und eigener Leak-Site
Eclipse; im Forenangebot unter dem Kürzel „EclipseSupport“. Nicht identisch mit „Nightmare-Eclipse“ / „Chaotic Eclipse“ (Exploit-Veröffentlichungen, keine Ransomware)
August 2026; Forenwerbung am 12. August 2026, erster Eintrag auf der Leak-Site am 16. August 2026
Nicht zugeordnet – Verbindungen zu älteren Gruppen sind öffentlich nicht belegt
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Logistik und Transport, Medien, Pharma und Auftragsforschung, Industrie und Maschinenbau, Hotellerie und Reise, Rechtsberatung, Bildung, Finanzsoftware
Schwerpunkt Singapur, Indien und USA, dazu Japan, Taiwan, Brasilien, Frankreich und Italien. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Öffentlich nicht beziffert; laut Täterwerbung sollen Partner nur Ziele mit einer erwarteten Zahlung ab 70.000 US-Dollar angreifen
20 gelistete Einträge seit dem 16. August 2026; da einzelne Opfer mehrfach in Teilen veröffentlicht wurden, rund 14 verschiedene Organisationen (Stand: 19. Oktober 2026)
keine belastbare öffentliche Angabe
keine belastbare öffentliche Angabe; Leak-Site-Texte drohen mit Veröffentlichung, sofern sich das Unternehmen nicht über die angegebenen Kanäle meldet
Nach der Forenwerbung ist die Windows-Variante in Rust geschrieben, die Varianten für Linux, NAS, ESXi und Nutanix in C++. Verschlüsselt werden soll mit ChaCha20, der Schlüssel wird über das quantenresistente Verfahren Kyber geschützt; Partner können zwischen schnellen und unauffälligen Modi wählen. Das Panel bietet nach eigenen Angaben Verhandlungschat, eigene Tor-Adressen und Krypto-Wallets je Opfer. Partnern ist untersagt, Proben bei VirusTotal hochzuladen.
Wichtig für die Einordnung: Alle diese Angaben stammen aus der Eigenwerbung. Bis heute ist keine unabhängige Malware-Analyse und kein Datei-Hash veröffentlicht. Nicht zu verwechseln ist Eclipse mit der eigenständigen Ransomware-Familie „Kyber“.
Eclipse zielt laut eigener Werbung auf das Herz der IT: Virtualisierung, Speicher und Backups. Das Cyber Defense Center von Argos Security überwacht Endgeräte, Server und Virtualisierungsumgebungen rund um die Uhr (24/7) und erkennt typische Vorboten – abgeschalteter Endpoint-Schutz, gestoppte Backup-Dienste, ungewöhnliche Administrator-Anmeldungen und Massenänderungen an Dateien. Die Threat Intelligence beobachtet Leak-Sites, Untergrundforen und Infostealer-Daten und meldet, wenn Ihre Organisation dort auftaucht.
Im Ernstfall übernimmt unser Incident-Response-Team: Ausbreitung stoppen, betroffene Systeme isolieren, Beweise sichern, die Wiederherstellung steuern und die Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen.