Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
Threat Intelligence

Lynx

Lynx teilt sich viel Code mit INC Ransom – und nimmt gezielt kleine und mittlere Unternehmen ins Visier.

Vorfall melden
Kurz erklärt

Lynx ist eine 2024 aufgetauchte Ransomware-as-a-Service-Operation mit deutlichen Code-Überschneidungen zu INC Ransom. Die Gruppe greift vorwiegend kleine und mittlere Unternehmen an und setzt auf Double Extortion mit öffentlicher Leak-Site.

Aktuelle Einordnung: Die Pause ist vorbei. Nach rund sechs Wochen ohne neue Einträge – letztes Opfer zuvor am 18. Juni 2026 – veröffentlicht Lynx seit Ende Juli 2026 wieder Opfer, der jüngste Eintrag stammt vom 6. August 2026. Die Gruppe wird deshalb wieder als aktiv geführt. Betroffen sind weiterhin vor allem mittelständische Unternehmen; die Vorsichtsmaßnahmen bleiben unverändert.

Aktiv

Modell

RaaS (Ransomware-as-a-Service)

Auch bekannt als

Lynx Ransomware (INC-Ransom-Nachfolger)

Gegründet

Juli 2024

Entstanden aus

Nachfolger/Ableger von INC Ransom (Code-Überschneidung ~90 %)

Herkunft

Unbekannt; Codebasis von INC Ransom

Zielsektoren

Gesundheitswesen (~29 %), Fertigung, Bildung, Regierung, Finanzwesen

Zielregionen

USA (~52 %), UK, Kanada, DACH, global

Typisches Lösegeld

100.000 – 5 Mio. USD

Opferzahl

Über 400 gelistete Opfer seit 2024 in rund 48 Ländern; nach mehrwöchiger Pause wieder neue Einträge, jüngster am 6. August 2026 (Stand: 10. August 2026)

File Extensions

.lynx

Ransom Note

README.txt (+ 116-Byte-LYNX-Marker je Datei)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Bei MSP-Anbindung: Downstream-Kunden warnen – Lynx nutzt MSPs als Einfallstor.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Lee Enterprises Mediengruppe (2025)
  • Electrica Group Rumänien (Dez. 2024, größter Stromversorger, 3,8 Mio. Kunden)
  • Springfield Water and Sewer Commission (März 2025, KRITIS Wasser)

Angriffstechniken (TTPs)

  • Initial Access: Phishing, gestohlene Zugänge (IABs), exponierte Fernzugänge, Exploits.
    • MITRE: T1566, T1078, T1133, T1190
  • Vorgehen: Restart-Manager-API zum Entsperren offener Dateien, SeTakeOwnership-Token-Manipulation, Schattenkopien löschen; versucht AV/EDR zu deinstallieren, Safe-Mode-Boot zur Umgehung.

Technologie & Malware

Verschlüsselung: AES-128-CTR + Curve25519 (ECDH), Schlüssel via SHA512. 116-Byte-Marker je Datei. Modi: Fast/Medium/Slow/Entire (5–100 %).

Sprache: C++ (Windows), zusätzlich Linux x64/ARM/MIPS/PowerPC, ESXi – „All-in-One-Archiv“ für Affiliates.

Endung: .lynx. Besonderheit: gezieltes MSP-Targeting als Multiplikator.

Indicators of Compromise (IOCs)

  • File Extension: .lynx
  • IOC: 116-Byte-LYNX-Marker je Datei (ECC-Key 32 B + SHA512 64 B)
  • Herkunft: INC-Ransom-Quellcode (RAMP-Forum, ~300.000 USD)
  • Advisory: CIS-Advisory (Versorger)

Was Unternehmen jetzt prüfen sollten

  • E-Mail-Security und Phishing-Awareness
  • MFA und Absicherung von Fernzugängen
  • Endpoint-Schutz mit Verhaltenserkennung
  • Offline-Backups

Wie Argos unterstützt

Managed Endpoint Protection und 24/7-Erkennung im Cyber Defense Center – zugeschnitten auf KMU; IR-Retainer für den Ernstfall.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →