Krybit ist eine im Frühjahr 2026 aufgetauchte Ransomware-as-a-Service-Gruppe (RaaS), die ihren Partnern ein Baukasten-Modell mit 80/20-Umsatzteilung anbietet. Charakteristisch sind Verschlüsseler für Windows, Linux, VMware ESXi und NAS-Systeme sowie ein klassisches Double-Extortion-Vorgehen: Daten werden vor der Verschlüsselung abgezogen und bei ausbleibender Zahlung auf einer Tor-Leak-Site veröffentlicht. Innerhalb weniger Monate listete die Gruppe rund 78 Opfer in Dutzenden Ländern – darunter mehrere Organisationen in Deutschland, Österreich und der Schweiz. Bekannt wurde Krybit zusätzlich durch eine öffentlich ausgetragene Fehde mit der rivalisierenden Gruppe 0APT, bei der beide Seiten die Infrastruktur- und Betreiberdaten des jeweils anderen leakten.
Aktiv
Ransomware-as-a-Service (RaaS)
KryBit; KRYBIT
März 2026
Nicht eindeutig zugeordnet. In den Verschlüsselern werden Techniken beobachtet, die an die Babuk-Ransomware-Familie erinnern (deren Quellcode seit 2021 öffentlich ist); eine belastbare Zuordnung zu einer Vorgängergruppe ist öffentlich nicht dokumentiert.
Nicht eindeutig zugeordnet
Branchenübergreifend. Am häufigsten betroffen sind Business Services, Technologie- und IT-Unternehmen, Consumer Services, produzierendes Gewerbe/Fertigung sowie das Gesundheitswesen.
Weltweit in rund 38 Ländern, mit Schwerpunkten unter anderem in Mexiko, Deutschland, Taiwan, Spanien und Brasilien. Die DACH-Region ist deutlich betroffen: Krybit listet Opfer in Deutschland, Österreich und der Schweiz, wobei Deutschland zu den am stärksten betroffenen Ländern zählt.
Nicht öffentlich beziffert.
Rund 78 gelistete Opfer (Stand: Juli 2026)
.KRYBIT (öffentlich berichtet; die Leak-Site-Erpressernotiz bestätigt eine neu angehängte Endung, benennt sie jedoch selbst nicht)
README-RECOVER.txt
Krybit stellt seinen Partnern einen Multi-Plattform-Baukasten bereit, der eigene Verschlüsseler für Windows, Linux, VMware ESXi und NAS-Systeme umfasst. Damit lassen sich sowohl klassische Endpunkte und Server als auch virtualisierte Rechenzentren und zentrale Speicher in einem Angriff verschlüsseln. Der Ablauf folgt dem Double-Extortion-Muster: Vor der Verschlüsselung werden Daten exfiltriert; die verschlüsselten Dateien erhalten eine neue Endung, und im System wird die Erpressernotiz README-RECOVER.txt hinterlegt. In den Verschlüsselern wurden Merkmale beobachtet, die an die Babuk-Familie angelehnt sind. Zur Erpressung betreibt die Gruppe eine über Tor erreichbare Leak-Site mit mehreren Onion-Adressen.
Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt typische Krybit-Vorstufen – etwa verdächtige RDP-Anmeldungen, die Deaktivierung von Schutzmechanismen oder das Löschen von Schattenkopien – frühzeitig, bevor eine flächendeckende Verschlüsselung startet. Im Ernstfall steht unser Incident-Response-Team innerhalb von maximal 30 Minuten per Remote-Zugriff bereit, um Angriffe einzudämmen, betroffene ESXi- und NAS-Systeme zu isolieren und die Wiederherstellung aus gesicherten Backups zu koordinieren. Ergänzend härten wir Hypervisor-, Backup- und Identitätsinfrastruktur gezielt gegen die von Krybit genutzten Multi-Plattform-Verschlüsseler.