Threat Intelligence

Kairos

Datenerpresser ohne Verschlüsselung: leise über schwache Fernzugänge hinein, Daten per Rclone hinaus, Druck per Mail und Telefon – 95 gelistete Opfer, darunter zwei deutsche Mittelständler.

Kurz erklärt

Kairos verzichtet bewusst auf das, was Ransomware laut ist: Es wird nichts verschlüsselt, kein System fällt aus. Die Gruppe verschafft sich leise Zugang – in dokumentierten Fällen über ein aus dem Internet erreichbares Remote-Desktop-Gateway ohne Mehr-Faktor-Anmeldung und per Passwort-Raten –, sammelt gezielt Geschäftsdokumente und leitet sie per Rclone aus. Erst danach beginnt die Erpressung: Mails aus gekaperten Postfächern an die eigene Belegschaft, Anrufe, und schließlich der Eintrag auf der Tor-Leak-Site.

Wie ernst das trotz fehlender Verschlüsselung ist, zeigt der Fall Union County (Ohio): Die Gruppe stahl rund 2 Terabyte mit 1,6 Millionen Dateien, forderte 3 Millionen US-Dollar und erhielt am 13. Juni 2025 nach 28 Tagen Verhandlung 9,44 Bitcoin, rund 1 Million US-Dollar – eine Zahlung, die öffentlich auf der Blockchain nachvollziehbar ist. 45.487 Personen mussten informiert werden.

Seit November 2024 sind 95 Opfer in 15 Ländern gelistet, mehr als die Hälfte in den USA. In Deutschland traf es 2026 den Fertigungsspezialisten Resch Maschinenbau (März) und Arwini, die Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen (Mai). Zwischen Angriff und Veröffentlichung liegen im Schnitt 58 Tage – wer auf der Leak-Site auftaucht, ist meist seit zwei Monaten kompromittiert.

Aktiv

Modell

Geschlossene Gruppe ohne bekanntes Partnerprogramm; Zugänge teils von Access-Brokern gekauft, teils selbst per Passwortangriff erarbeitet

Auch bekannt als

Kairos, Kairos Group; nicht zu verwechseln mit gleichnamigen legitimen Unternehmen und Softwareprodukten

Gegründet

Erstes Opfer geschätzt im Juni 2024; Leak-Site am 13. November 2024 erstmals von Trackern erfasst

Entstanden aus

Nicht öffentlich dokumentiert; keine belegte Verbindung zu bekannten Ransomware-Familien

Herkunft

Nicht zugeordnet; Exfiltrations-Infrastruktur in einem dokumentierten Fall in der Ukraine gehostet, Lösegeld floss über Börsen und einen russischen Dienst

Zielsektoren

Gesundheitswesen, Fertigung, Business Services, Kanzleien, Kommunen und öffentliche Verwaltung, Bildung, Handel

Zielregionen

15 Länder; USA mit 54 Opfern klar vorn, dazu Australien, Großbritannien, Kanada, Frankreich, Spanien; Deutschland mit zwei Einträgen 2026

Typisches Lösegeld

Im dokumentierten Fall Union County (Ohio): Forderung 3 Mio. USD, gezahlt 9,44 BTC (rund 1 Mio. USD) nach 28 Tagen Verhandlung

Opferzahl

95 gelistete Opfer in 15 Ländern seit November 2024; letztes am 2. September 2026 (Stand: 14. September 2026)

File Extensions

keine (reine Datenerpressung, kein Encryptor bekannt)

Ransom Note

README_47.txt (auf der Leak-Site dokumentiert); zusätzlich Druck per E-Mail aus kompromittierten Postfächern und per Telefon

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Umfang des Datenabflusses bestimmen: Welche Konten, Freigaben und Dokumentbestände waren betroffen, welche Daten wurden nachweislich ausgeleitet? Kairos sammelt gezielt – die Auswahl verrät, was auf dem Spiel steht.
  • Beweise sichern: Gateway-, VPN-, Firewall- und Proxy-Logs sowie Windows-Ereignisprotokolle unverändert sichern; die Gruppe löscht Logs – zentrale Kopien prüfen.
  • Fernzugänge sofort mit Mehr-Faktor-Anmeldung absichern, kompromittierte Konten sperren, Zugangsdaten zurücksetzen, Kerberos-Tickets (krbtgt) zweimal zurücksetzen, Sitzungen widerrufen.
  • Nach Rclone-Spuren, ungewöhnlichen SFTP-Verbindungen und Aufrufen von temp.sh suchen, um Zeitpunkt und Umfang der Ausleitung einzugrenzen.
  • Belegschaft informieren: Kairos schreibt Mitarbeitende aus gekaperten Postfächern an und ruft an – klare Anweisung, solche Kontakte nicht zu beantworten, sondern zu melden.
  • Meldepflichten fristgerecht erfüllen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden.
  • Incident Response aktivieren und die Leitung einbinden – Verhandlungsentscheidungen gehören nicht in die IT.
⛔ Unbedingt vermeiden
  • Sich nicht in Sicherheit wiegen, weil nichts verschlüsselt wurde – der Datenabfluss allein begründet Melde-, Haftungs- und Reputationsfolgen.
  • Nicht auf eigene Faust verhandeln – der Fall Union County zeigt, wie eine unvorbereitete Verhandlung über vier Wochen bei einer Million US-Dollar endet.
  • Nicht vorschnell zahlen: keine Garantie für Löschung; Zahlungen sind öffentlich auf der Blockchain nachvollziehbar und können sanktions- und strafrechtlich relevant sein.
  • Nicht auf Mails oder Anrufe der Erpresser an Mitarbeitende reagieren und keine internen Informationen preisgeben.
  • Systeme nicht bereinigen oder neu aufsetzen, bevor die Forensik gesichert ist – sonst bleibt der Einstiegsweg unklar.
  • Fernzugänge nicht „vorübergehend“ ohne Mehr-Faktor-Anmeldung wieder öffnen – genau dort steigt die Gruppe ein.

Bekannte Angriffe

  • Union County, Ohio (USA, Mai bis Juni 2025) – rund 2 TB / 1,6 Mio. Dateien mit Sozialversicherungsnummern, Finanzdaten, Fingerabdrücken und Akten der Staatsanwaltschaft; Forderung 3 Mio. USD, gezahlt 9,44 BTC (rund 1 Mio. USD) am 13. Juni 2025; 45.487 Personen informiert. Der Geldfluss zu Bybit, OKX und dem russischen Dienst BELQI wurde öffentlich nachgezeichnet.
  • Resch Maschinenbau (Deutschland, 21. März 2026) – Fertigungsspezialist; Eintrag auf der Leak-Site.
  • Arwini – Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen (Deutschland, 11. Mai 2026) – Prüfungsstelle mit sensiblen Wirtschaftsdaten.
  • Kommunen in Europa (2026): Ville de Libercourt (Frankreich, 2. September), Ayuntamiento de Velilla de San Antonio und Ayuntamiento de Valdemoro (Spanien), Commune de Camiers (Frankreich).
  • Australische Hotelgruppe (Anfang 2025) – forensisch dokumentierter Fall: Remote-Desktop-Gateway ohne MFA, Passwort-Spraying, Rubeus, Rclone-Exfiltration per SFTP auf Infrastruktur in der Ukraine, Druck über interne Mails und Anrufe.
  • Nennungen ohne Fallbericht beruhen auf Einträgen der Leak-Site und sind nicht in jedem Einzelfall unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Aus dem Internet erreichbares Remote-Desktop-Gateway ohne Mehr-Faktor-Anmeldung – T1133
    • Passwort-Spraying und Passwort-Raten gegen generische Konten – T1110.001, T1110.003
    • Zugekaufte Zugänge von Initial Access Brokern – T1078
  • Zugangsdaten und seitliche Bewegung:
    • Kerberos-Manipulation mit Rubeus – T1558
    • RDP, SMB und PowerShell Invoke-Command – T1021.001, T1021.002, T1059.001
  • Verteidigungs-Umgehung:
    • Löschen der Windows-Ereignisprotokolle per PowerShell – T1070.001
  • Sammlung und Datendiebstahl:
    • Gezielte Auswahl von PDF-, Word- und Geschäftsdokumenten, Zwischenlagerung vor dem Transfer – T1074, T1005
    • Ausleitung per Rclone über SFTP auf Infrastruktur im Ausland sowie über Filesharing-Links (temp.sh) – T1048, T1567.002
  • Erpressung:
    • Keine Verschlüsselung; Druck über Mails aus kompromittierten Outlook-Postfächern an Mitarbeitende, Telefonanrufe und Veröffentlichung auf der Tor-Leak-Site – T1657
    • Verhandlung über Wochen mit sinkender Forderung (3 Mio. → 2 Mio. → 1 Mio. USD im Fall Union County)

Technologie & Malware

Kairos setzt keinen eigenen Verschlüsselungs-Trojaner ein – bis heute ist kein Encryptor bekannt, der der Gruppe sicher zugeordnet werden kann. Analysten stufen Kairos deshalb ausdrücklich nicht als Ransomware-Gruppe im engeren Sinn ein, sondern als Datenerpresser.

Das Werkzeugarsenal besteht aus frei verfügbaren Programmen: Rubeus für Kerberos-Angriffe, PowerShell für seitliche Bewegung und Log-Löschung, Rclone für die Ausleitung per SFTP. Im Fall Union County kamen zusätzlich Links des Filesharing-Dienstes temp.sh zum Einsatz. Genau diese Unauffälligkeit ist das Problem: Nichts davon löst klassische Ransomware-Alarme aus.

Zur Erkennung existiert eine öffentliche YARA-Regel (kairos.yar); ein archivierter Verhandlungs-Chat vom Mai 2025 mit 41 Nachrichten dokumentiert den Verhandlungsstil.

Indicators of Compromise (IOCs)

  • Erpressernotiz: README_47.txt
  • Leak-Site (Tor): kairosgeuzkzz3ajntqcyxl3ib36szz3mg62mb3zbui33pbk3uzo4qqd.onion sowie zwei weitere .onion-Adressen (erqnacjmdy3… / nerqnacjmdy3…)
  • Werkzeuge: Rubeus, Rclone (SFTP-Ziel im Ausland), PowerShell Invoke-Command, Filesharing über temp.sh
  • Verhaltensindikatoren: Passwort-Spraying gegen RD-Gateway; Event ID 1102 (Sicherheitsprotokoll gelöscht); ungewöhnliche SFTP-Verbindungen zu bislang unbekannten Hosts; Massenzugriffe auf Dokumentfreigaben
  • Zahlungsweg (Union County): 9,44 BTC, weitergeleitet über mehrere Wallets zu Bybit, OKX und BELQI; Wallet-Aktivität noch im Mai 2026
  • Detektion: öffentliche YARA-Regel kairos.yar
  • Datei-Hashes: keine, da kein Encryptor bekannt. Indikatoren vor dem Blocken gegen aktuelle Threat-Intelligence-Quellen prüfen.

Was Unternehmen jetzt prüfen sollten

  • Ist ein Remote-Desktop-Gateway, RDP oder VPN aus dem Internet erreichbar – und wenn ja, ausnahmslos mit Mehr-Faktor-Anmeldung? Der dokumentierte Kairos-Einstieg lief über ein Gateway ohne MFA.
  • Gibt es Sperr- und Alarmregeln gegen Passwort-Spraying und Passwort-Raten auf allen externen Anmeldeoberflächen?
  • Würde Ihre Überwachung Rclone, ungewöhnliche SFTP-Verbindungen oder Uploads zu Filesharing-Diensten wie temp.sh erkennen – oder erst der Eintrag auf der Leak-Site?
  • Werden gelöschte Windows-Ereignisprotokolle (Event ID 1102) alarmiert und die Logs zentral gespiegelt?
  • Sind sensible Dokumentbestände so segmentiert, dass ein einzelnes kompromittiertes Konto nicht Terabytes abziehen kann?
  • Wissen Mitarbeitende, was zu tun ist, wenn Erpresser sie per Mail aus einem internen Postfach oder per Telefon direkt ansprechen?

Wie Argos unterstützt

Kairos lebt davon, unbemerkt zu bleiben – nichts fällt aus, bis die Erpressung beginnt. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt genau die leisen Signale dieses Angriffs: Passwort-Spraying gegen Fernzugänge, Kerberos-Auffälligkeiten durch Werkzeuge wie Rubeus, Rclone-Aktivität und ungewöhnliche SFTP- oder Filesharing-Uploads, gelöschte Ereignisprotokolle. So wird der Datenabfluss gestoppt, bevor er abgeschlossen ist.

Im Ernstfall übernimmt unser Incident-Response-Team die Fallbearbeitung: Umfang der gestohlenen Daten forensisch feststellen, Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen, die Kommunikation mit Belegschaft, Kunden und Behörden steuern und – falls überhaupt sinnvoll – die Verhandlung professionell führen. Der Fall Union County zeigt, wie teuer eine unvorbereitete Verhandlung wird.