Lamashtu ist eine seit April 2026 aufgetretene Erpressergruppe, die auf reinen Datendiebstahl setzt. Die Angreifer exfiltrieren sensible Unternehmensdaten und drohen mit deren Veröffentlichung auf einer eigenen Tor-Leak-Site, um Lösegeld zu erpressen. Eine tatsächliche Verschlüsselung von Systemen (klassische Ransomware) ist bislang nicht bestätigt – Lamashtu tritt bis heute ausschließlich als Datenerpresser auf. Bei einem relevanten Teil der gelisteten Opfer bestehen Hinweise auf zuvor kompromittierte Zugangsdaten aus Infostealer-Infektionen.
Aktuelle Einordnung: Nach einem sehr aktiven Frühjahr ist die Leak-Site seit dem 17. Juni 2026 ohne neue Einträge – rund sieben Wochen Stillstand. Die Gruppe gilt damit derzeit als geschwächt. Da bereits abgeflossene Daten unabhängig vom Gruppenstatus weiterverkauft oder später veröffentlicht werden können, bleibt der Handlungsbedarf für betroffene Unternehmen bestehen.
Geschwächt
Datenerpressung (Data-Theft-Extortion) mit eigener Tor-basierter Leak-Site; Lösegeldverhandlung privat über einen dedizierten Kontaktkanal.
nicht öffentlich dokumentiert (Auftritt ausschließlich unter dem Namen „Lamashtu“)
April 2026
nicht eindeutig zugeordnet
nicht eindeutig zugeordnet
Fertigung/Manufacturing, Business Services, Agrar- und Lebensmittelproduktion, Konsumdienstleistungen, Hotellerie/Tourismus sowie vereinzelt Energie, Gesundheit/Pharma, Technologie und Logistik.
Schwerpunkt APAC (u. a. Malaysia, Thailand, Singapur) und Europa (u. a. Frankreich, Italien, Spanien, Rumänien) mit dokumentierten Opfern in der DACH-Region (Deutschland, Österreich); insgesamt rund 17 betroffene Länder, auch in Amerika und dem Nahen Osten.
nicht öffentlich beziffert
34 gelistete Opfer; letztes gelistetes Opfer am 17. Juni 2026 (Stand: 3. August 2026)
keine (reine Datenerpressung)
Dokumentiert unter dem Dateinamen „WHAT_HAPPENED.readme.txt“; Kontakt- und Verhandlungsdetails werden darin privat kommuniziert. Weitergehender Inhalt nicht öffentlich dokumentiert.
Für Lamashtu ist bislang kein Verschlüsselungs-Trojaner (Encryptor) bestätigt; das Vorgehen basiert auf Datendiebstahl und Erpressung statt auf Dateiverschlüsselung. Spezifische, exklusiv Lamashtu zugeordnete Werkzeuge oder Malware-Familien sind nicht öffentlich dokumentiert. Zu den Angriffen existiert eine öffentlich verfügbare YARA-Regel (lamashtu.yar) zur Detektion.
Das Argos Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und ist gezielt auf die Erkennung von Datenexfiltration ausgelegt: anomale Ausleitungen, verdächtige Cloud-Massenzugriffe und kompromittierte Identitäten werden früh erkannt, bevor der Datenabfluss abgeschlossen ist. Im Ernstfall greift unser Incident-Response-Team innerhalb von maximal 30 Minuten remote ein, ermittelt den Umfang der betroffenen Daten, unterstützt bei der DSGVO-Meldelogik und begleitet Eindämmung, Forensik und Kommunikation entlang eines strukturierten Notfallplans.