Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Lamashtu

Datendieb-Erpressergruppe mit eigener Leak-Site, aktiv seit April 2026 – Fokus auf Fertigung und Business Services in APAC und Europa, mit dokumentierten Opfern in der DACH-Region.

Vorfall melden
Kurz erklärt

Lamashtu ist eine seit April 2026 aktive Erpressergruppe, die auf reinen Datendiebstahl setzt. Die Angreifer exfiltrieren sensible Unternehmensdaten und drohen mit deren Veröffentlichung auf einer eigenen Tor-Leak-Site, um Lösegeld zu erpressen. Eine tatsächliche Verschlüsselung von Systemen (klassische Ransomware) ist bislang nicht bestätigt – Lamashtu tritt bis heute ausschließlich als Datenerpresser auf. Bei einem relevanten Teil der gelisteten Opfer bestehen Hinweise auf zuvor kompromittierte Zugangsdaten aus Infostealer-Infektionen.

Aktiv

Modell

Datenerpressung (Data-Theft-Extortion) mit eigener Tor-basierter Leak-Site; Lösegeldverhandlung privat über einen dedizierten Kontaktkanal.

Auch bekannt als

nicht öffentlich dokumentiert (Auftritt ausschließlich unter dem Namen „Lamashtu“)

Gegründet

April 2026

Entstanden aus

nicht eindeutig zugeordnet

Herkunft

nicht eindeutig zugeordnet

Zielsektoren

Fertigung/Manufacturing, Business Services, Agrar- und Lebensmittelproduktion, Konsumdienstleistungen, Hotellerie/Tourismus sowie vereinzelt Energie, Gesundheit/Pharma, Technologie und Logistik.

Zielregionen

Schwerpunkt APAC (u. a. Malaysia, Thailand, Singapur) und Europa (u. a. Frankreich, Italien, Spanien, Rumänien) mit dokumentierten Opfern in der DACH-Region (Deutschland, Österreich); insgesamt rund 17 betroffene Länder, auch in Amerika und dem Nahen Osten.

Typisches Lösegeld

nicht öffentlich beziffert

Opferzahl

Rund 34 gelistete Opfer (Stand: Juli 2026)

File Extensions

keine (reine Datenerpressung)

Ransom Note

Dokumentiert unter dem Dateinamen „WHAT_HAPPENED.readme.txt“; Kontakt- und Verhandlungsdetails werden darin privat kommuniziert. Weitergehender Inhalt nicht öffentlich dokumentiert.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Umfang des Datenabflusses bestimmen: Welche Systeme, Konten und Datenbestände waren betroffen und welche Daten wurden nachweislich ausgeleitet?
  • Beweise sichern: Netzwerk-, Firewall-, Proxy- und Cloud-/M365-Audit-Logs unverändert sichern, bevor sie rotieren oder gelöscht werden.
  • Kompromittierte Identitäten sperren und Zugangsdaten zurücksetzen, MFA erzwingen, verdächtige Sitzungen und OAuth-Tokens widerrufen.
  • DSGVO-Meldepflicht prüfen: Bei betroffenen personenbezogenen Daten die 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde beachten und dokumentieren.
  • 24/7-Incident-Response einbinden (Argos IR, Eingriff ≤ 30 Min. remote) für Forensik, Eindämmung und geordnete Kommunikation.
  • Nicht reflexartig zahlen: Zahlung garantiert keine Löschung der Daten – Entscheidung nur nach forensischer und rechtlicher Bewertung.
⛔ Unbedingt vermeiden
  • Betroffene Systeme nicht vorschnell neu aufsetzen oder bereinigen, bevor forensische Beweise gesichert sind.
  • Nicht eigenständig und ohne Rechtsbeistand mit den Erpressern verhandeln oder unbedacht Kontakt aufnehmen.
  • Log-Daten nicht überschreiben oder rotieren lassen – sie sind für die Umfangsbestimmung essenziell.
  • Den Vorfall nicht verschweigen oder verzögert melden – die DSGVO-Fristen laufen unabhängig vom Verhandlungsstand.
  • Zugangsdaten nicht über potenziell kompromittierte Kanäle austauschen; für Krisenkommunikation Out-of-Band-Wege nutzen.
  • Sich nicht in falscher Sicherheit wiegen, weil keine Verschlüsselung erfolgt – der Datenabfluss allein begründet erheblichen Schaden.

Bekannte Angriffe

  • H-W-G / Acros Sport GmbH (Deutschland) – Fertigung/Konsumgüter
  • Apple Film Group (in der Leak-Site Deutschland zugeordnet; Sektor Konsumdienstleistungen/Kunststoffe – regionale Zuordnung in Quellen uneinheitlich)
  • ROTH-TECHNIK Austria (Österreich) – Fertigung
  • u. a. weitere Opfer international, darunter International Assistance Sdn (Malaysia), PatayaFood (Thailand), Great Foods (Ägypten) und CNAOC (Frankreich)

Angriffstechniken (TTPs)

  • Initialer Zugang teils über kompromittierte Zugangsdaten (Hinweise auf Infostealer-Bezug bei einem relevanten Teil der Opfer) – Valid Accounts (T1078)
  • Systematische Datensammlung und -ausleitung – Exfiltration (TA0010), Data from Information Repositories (T1213)
  • Erpressung durch Androhung der Veröffentlichung auf der Leak-Site – Financial Theft / Data Extortion

Technologie & Malware

Für Lamashtu ist bislang kein Verschlüsselungs-Trojaner (Encryptor) bestätigt; das Vorgehen basiert auf Datendiebstahl und Erpressung statt auf Dateiverschlüsselung. Spezifische, exklusiv Lamashtu zugeordnete Werkzeuge oder Malware-Familien sind nicht öffentlich dokumentiert. Zu den Angriffen existiert eine öffentlich verfügbare YARA-Regel (lamashtu.yar) zur Detektion.

Indicators of Compromise (IOCs)

  • Leak-Site: Tor-basierte „Lamashtu.Blog“ sowie eine zweite .onion-Adresse (aktive Infrastruktur)
  • Ransom-Note-Dateiname: WHAT_HAPPENED.readme.txt
  • Detektion: öffentlich verfügbare YARA-Regel (lamashtu.yar)
  • Weitere technische Indikatoren (Hashes, IPs, Datei-Extensions): nicht öffentlich dokumentiert

Was Unternehmen jetzt prüfen sollten

  • Wird ausgehender Datenverkehr überwacht? Sind ungewöhnlich große Uploads zu unbekannten Zielen (Cloud-Speicher, Tor, seltene Hosting-Provider) erkennbar und alarmiert (DLP / Netzwerk-Anomalieerkennung)?
  • Sind Microsoft 365 / Cloud-Umgebungen gehärtet – MFA erzwungen, Conditional Access aktiv, Audit-Logging für Massen-Downloads aus SharePoint/OneDrive/Mail aktiviert?
  • Werden aus Infostealern stammende, geleakte Zugangsdaten proaktiv überwacht und betroffene Konten zwangsweise zurückgesetzt?
  • Sind sensible Datenbestände klassifiziert und zugriffsseitig segmentiert, sodass ein einzelnes kompromittiertes Konto nicht das gesamte Datenvolumen exfiltrieren kann?

Wie Argos unterstützt

Das Argos Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und ist gezielt auf die Erkennung von Datenexfiltration ausgelegt: anomale Ausleitungen, verdächtige Cloud-Massenzugriffe und kompromittierte Identitäten werden früh erkannt, bevor der Datenabfluss abgeschlossen ist. Im Ernstfall greift unser Incident-Response-Team innerhalb von maximal 30 Minuten remote ein, ermittelt den Umfang der betroffenen Daten, unterstützt bei der DSGVO-Meldelogik und begleitet Eindämmung, Forensik und Kommunikation entlang eines strukturierten Notfallplans.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →