Everest ist eine seit 2020 aktive, russischsprachige Erpressergruppe, die sowohl als Ransomware-Akteur als auch als Initial Access Broker auftritt. In den letzten Jahren verlagerte sie den Schwerpunkt stärker auf reine Datenerpressung, mit auffälligem Fokus auf Gesundheitswesen und öffentliche Einrichtungen.
Aktuelle Einordnung: Die Ruhephase vom Frühsommer 2026 ist beendet. Nach mehreren Wochen ohne neue Einträge veröffentlicht Everest seit Juli 2026 wieder regelmäßig Opfer – rund 13 allein in den letzten 30 Tagen, der jüngste Eintrag stammt vom 4. August 2026. Die Gruppe wird deshalb wieder als aktiv geführt. Das Muster aus längerer Stille und anschließender Rückkehr mit hoher Schlagzahl ist für Everest typisch und sollte nicht als dauerhafte Entwarnung gelesen werden.
Aktiv
Ransomware + reine Datenerpressung; zugleich Zugangs-Händler
Everest Ransomware
2020
Keine bekannte Verbindung; agiert auch als Initial Access Broker (IAB)
Russland (vermutet, russischsprachig)
Gesundheitswesen, Behörden, Industrie, Rechtswesen
USA, Europa (DACH), Lateinamerika
100.000 – 5 Mio. USD
230+ gelistete Opfer historisch; rund 13 neue Einträge in den letzten 30 Tagen, jüngster am 4. August 2026 (Stand: 10. August 2026)
.everest
!=How_to_decrypt.txt
Verschlüsselung: AES + RSA (hybrides Schema).
Plattformen: Windows, teils VMware ESXi.
Besonderheit: Doppelrolle als Ransomware-Betreiber und Initial Access Broker – verkauft Zugänge auch an Dritte.
Identity- und Leak-Monitoring im Cyber Defense Center erkennt gehandelte Zugänge früh; forensische Klärung und Meldeunterstützung im Ernstfall.