Threat Intelligence

Majinahanashi

Neuer Verschlüsseler mit japanisch klingendem Namen – in vier Wochen 18 Opfer in zwölf Ländern, darunter ein deutsches und ein Schweizer Unternehmen.

Kurz erklärt

Majinahanashi ist eine Ransomware-Gruppe, deren erstes Opfer auf den 27. Juni 2026 zurückgeht und die seit dem 12. August 2026 öffentlich verfolgt wird. Sie arbeitet nach dem Muster der doppelten Erpressung: Erst werden Daten abgezogen, dann werden die Systeme verschlüsselt – zahlt das Opfer nicht, erscheinen die Daten auf einer Tor-Seite. Verschlüsselte Dateien tragen die Endung .MAJIN.

Bemerkenswert ist die Streuung: 18 Opfer in zwölf Ländern innerhalb weniger Wochen, mit Schwerpunkten in Italien und den USA. Für den deutschsprachigen Raum ist die Gruppe relevant, weil am 12. August 2026 gleich zwei DACH-Einträge erschienen – ein deutsches Handwerks- beziehungsweise Handelsunternehmen und ein Schweizer Bauunternehmen.

Der Name ist Inszenierung: „Majin“ heißt auf Japanisch Dämon, die Leak-Site trägt japanische Schriftzeichen und das Motto „DECISION REQUIRES CLARITY“. Auf die tatsächliche Herkunft der Täter lässt das keinen Schluss zu. Majinahanashi reiht sich damit in eine ganze Serie neuer Gruppen mit japanisch klingenden Namen ein – Yurei, Tengu, Djinn oder Sinobi.

Hinweis zur Einordnung: Majinahanashi ist eine junge Gruppe. Angaben auf der Leak-Site sind bis zu einer unabhängigen Bestätigung mit Vorbehalt zu behandeln – neue Gruppen übertreiben Umfang und Bedeutung ihrer Beute regelmäßig.

Aktiv

Modell

Eigenständige Ransomware-Operation mit eigener Tor-Leak-Site; ein offenes Partnerprogramm ist bislang nicht belegt

Auch bekannt als

Majinahanashi; MAJINAHANASHI; auf Tracking-Portalen „majinahanashi“. Der Blog-Titel der Leak-Site lautet „魔人“ (majin, japanisch für Dämon).

Gegründet

Sommer 2026 – frühestes Opfer am 27. Juni 2026, öffentlich getrackt seit dem 12. August 2026

Entstanden aus

Keine Vorgängergruppe belegt. Majinahanashi gehört zu einer Reihe neuer Verschlüsseler mit japanisch anmutenden Namen (u. a. Yurei, Tengu, Djinn, Sinobi), die 2025 und 2026 aufgetaucht sind. Ob dahinter dieselben Betreiber stehen oder nur eine Mode-Erscheinung der Szene, ist offen – ein technischer Zusammenhang ist bislang nicht nachgewiesen.

Herkunft

Nicht belegt. Der japanisch klingende Name und die japanische Beschriftung der Leak-Site sind Selbstinszenierung und lassen keinen Rückschluss auf japanische Täter zu.

Zielsektoren

E-Commerce und Handel, Fertigung, Agrar- und Lebensmittelwirtschaft, Dienstleistung, Technologie, vereinzelt Gesundheitswesen

Zielregionen

Zwölf Länder in vier Wochen – Schwerpunkte Italien und USA, dazu Frankreich, Portugal, Kolumbien, Litauen, Chile, Bulgarien und Indien. Deutschland und die Schweiz sind mit je einem Eintrag vertreten.

Typisches Lösegeld

nicht öffentlich beziffert

Opferzahl

18 gelistete Opfer in zwölf Ländern seit Ende Juni 2026, davon 10 in den letzten 30 Tagen (Stand: 24. August 2026)

File Extensions

.MAJIN

Ransom Note

öffentlich nicht belastbar dokumentiert; die Leak-Site tritt mit dem Motto „DECISION REQUIRES CLARITY“ auf

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Eine Probe verschlüsselter Dateien (.MAJIN) und die Erpressernachricht sichern – sie sind für Zuordnung und spätere Entschlüsselungsversuche wertvoll.
  • Backups sofort prüfen und offline schreibgeschützt sichern.
  • Fernzugänge (RDP, VPN) sperren, Zugangsdaten zurücksetzen und MFA erzwingen – gestohlene Zugangsdaten sind bei dieser Gruppe der wahrscheinlichste Einstieg.
  • Umfang des Datenabflusses ermitteln; das Zeitfenster bis zur Veröffentlichung beträgt erfahrungsgemäß rund drei Wochen und sollte für Aufklärung genutzt werden.
  • Meldepflichten prüfen und fristgerecht erfüllen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; BSI und Polizei einbeziehen.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nichtveröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist.
  • Verschlüsselte .MAJIN-Dateien nicht löschen – sie sind teils später entschlüsselbar.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR- und Verhandlungsexperten.
  • Sich nicht allein auf die Erkennung der Endung .MAJIN verlassen: Wenn sie anschlägt, läuft die Verschlüsselung bereits.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Deutschland (12. August 2026): SCHMITZ & NITTENWILM wurde auf der Leak-Site gelistet.
  • Schweiz (12. August 2026): die Camandona SA erschien am selben Tag.
  • Italien: unter anderem eine radiologische Praxis – einer der Gründe, warum die Gruppe früh in der Fachpresse auftauchte.
  • Weitere Länder: Einträge in den USA, Frankreich (u. a. ein Elektronikhändler), Portugal, Kolumbien, Litauen und Chile.
  • Alle Angaben stammen von der Leak-Site der Gruppe und sind nicht unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Erstzugang: nicht abschließend dokumentiert. Bei rund der Hälfte bis zwei Dritteln der Opfer bestehen parallel Infostealer-Funde zur Unternehmens-Domain – gestohlene Zugangsdaten sind damit der wahrscheinlichste Einstieg.
    • MITRE: T1078 (gültige Konten), T1133 (externe Fernzugriffsdienste), T1566 (Phishing)
  • Bewegung im Netz: laterale Ausbreitung und Rechteausweitung vor dem Schadensereignis, typischerweise über administrative Bordmittel.
  • Datenabzug: Exfiltration vor der Verschlüsselung; die Beute wird auf der Leak-Site beziffert (T1567).
  • Auswirkung: Verschlüsselung mit AES-256, verschlüsselte Dateien erhalten die Endung .MAJIN (T1486).
  • Erpressung: angedrohte Veröffentlichung auf der Tor-Leak-Site (T1657); zwischen Angriff und Veröffentlichung liegen im Schnitt rund 23 Tage.
  • Praktischer Hinweis: Anders als bei vielen Neuzugängen existiert hier eine belastbare Datei-Endung. Eine Erkennungsregel auf .MAJIN ist sinnvoll – sie ersetzt aber keine verhaltensbasierte Erkennung, weil sie erst greift, wenn bereits verschlüsselt wird.

Technologie & Malware

Verschlüsseler: Die bislang analysierten Muster sind in C/C++ geschrieben, rund 90 KB groß und tragen Kompilierungsdaten Anfang Juli 2026. Verschlüsselt wird mit AES-256; betroffene Dateien erhalten die Endung .MAJIN. Der Verschlüsseler ist damit eine Eigenentwicklung und kein Ableger des vielfach recycelten LockBit- oder Babuk-Bausatzes.

Infrastruktur: eine Tor-Leak-Site mit japanischer Beschriftung (Blog-Titel „魔人“) und dem Motto „DECISION REQUIRES CLARITY“. Die Opfereinträge enthalten Datenproben und Umfangsangaben.

Praktische Folge: Weil eine feste Datei-Endung existiert, lässt sich eine gezielte Erkennungsregel bauen. Sie greift allerdings erst, wenn bereits verschlüsselt wird – der eigentliche Hebel liegt früher: bei kompromittierten Zugangsdaten und beim Datenabzug, der dem Verschlüsseln vorausgeht.

Indicators of Compromise (IOCs)

  • Datei-Endung: .MAJIN
  • Verschlüsselung: AES-256; Muster in C/C++, ca. 90 KB, Kompilierung Anfang Juli 2026
  • Leak-Site (Tor): lthicpjqc7gkn5eq3epxndc2uig3yngvcbdya4u3m3byjod5km4yuwqd.onion (Blog-Titel „魔人“)
  • Erkennungsmerkmal auf der Leak-Site: Motto „DECISION REQUIRES CLARITY“
  • Frühindikator: Infostealer-Treffer zur eigenen Unternehmens-Domain – bei etwa der Hälfte bis zwei Dritteln der Opfer nachweisbar
  • Verhaltensindikator: großvolumige ausgehende Datentransfers, gefolgt von Schattenkopien-Löschung und Massenverschlüsselung auf Dateiservern
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Erkennungsregel auf die Datei-Endung .MAJIN hinterlegt – als letzte Warnstufe, nicht als Hauptschutz
  • Phishing-resistente MFA auf allen RDP-, VPN- und Fernwartungszugängen; nicht benötigte Fernzugriffe aus dem Internet nehmen
  • Überwachung der Zugangsdaten Ihrer Beschäftigten auf Infostealer-Leaks – der wahrscheinlichste Einstiegsweg dieser Gruppe
  • Erkennung für Schattenkopien-Löschung und Massenzugriffe auf Dateifreigaben scharf schalten
  • Ausgehende Großtransfers zu Cloud-Speichern und unbekannten Zielen überwachen
  • Offline- und unveränderliche Backups, regelmäßig auf Wiederherstellbarkeit getestet
  • Netzsegmentierung zwischen Büro-IT, Fertigung und Dateiservern
  • Krisen- und Meldeprozesse (DSGVO 72 h, NIS2 24 h) vorbereitet und geübt

Wie Argos unterstützt

Bei Majinahanashi hilft die belegte Datei-Endung .MAJIN zwar bei der Erkennung, kommt aber spät – in dem Moment, in dem sie auftaucht, wird bereits verschlüsselt. Das Cyber Defense Center von Argos Security setzt deshalb früher an und überwacht rund um die Uhr (24/7) genau die Phasen davor: Anmeldungen mit gestohlenen Zugangsdaten über Fernzugänge, große ausgehende Datentransfers und die Löschung von Schattenkopien.

Ergänzend überwachen wir Infostealer-Leaks zu Ihren Domains – bei dieser Gruppe der wahrscheinlichste Einstiegsweg –, härten Fernzugänge und prüfen die Wiederherstellbarkeit Ihrer Backups. Im Ernstfall übernimmt unser Incident-Response-Team die vollständige Bearbeitung: Eindämmung, Forensik, Bewertung der Leak-Site-Behauptungen und die Behördenmeldungen.