MetaEncryptor ist seit August 2023 aktiv und arbeitet nach dem klassischen Muster der doppelten Erpressung: Daten werden abgezogen, Systeme verschlüsselt, und bei ausbleibender Zahlung erscheint die Beute auf einer Tor-Leak-Site. Verschlüsselte Dateien tragen die Endung .metaenc; verschlüsselt wird mehrfädig mit AES-256, der Schlüssel wird mit RSA-2048 gesichert.
Bemerkenswert an dieser Gruppe ist ihr Rhythmus. Sie veröffentlicht nicht gleichmäßig, sondern in Wellen: Auf Monate ohne einen einzigen Eintrag folgt ein dichter Schauer. Genau das ist im August 2026 passiert – nach langer Stille kamen in einer einzigen Woche sieben neue Opfer hinzu, darunter mit dem Pharmadienstleister MPA Pharma erstmals ein deutsches Unternehmen.
Für Betroffene hat dieser Rhythmus eine unangenehme Konsequenz: Wenn die Veröffentlichung gebündelt und verspätet erfolgt, kann der eigentliche Einbruch Wochen oder Monate zurückliegen. Die Frage lautet dann nicht nur „Wie stoppen wir das?“, sondern „Seit wann sind die eigentlich drin – und reichen unsere Protokolle so weit zurück?“
Aktiv
Eigenständige Ransomware-Operation mit doppelter Erpressung und eigener Tor-Leak-Site (mehrere Spiegeladressen); ein offenes Partnerprogramm ist nicht belegt
MetaEncryptor; Metaencryptor; auf Tracking-Portalen „metaencryptor“
Mitte 2023 – erstes gelistetes Opfer am 16. August 2023
Keine Vorgängergruppe belegt. MetaEncryptor tritt seit 2023 unter gleichbleibendem Namen auf und hat sich – anders als viele Gruppen dieser Generation – bislang nicht umbenannt.
Nicht eindeutig zugeordnet. Eine belastbare öffentliche Zuschreibung existiert nicht.
Rechtsberatung, Technologie, Logistik, Fertigung, Pharma und Gesundheitswirtschaft, Finanzdienstleistung
Schwerpunkt Vereinigtes Königreich, übriges Europa und Südostasien. Deutschland ist mit dem Eintrag zu MPA Pharma im August 2026 vertreten.
nicht öffentlich beziffert
38 gelistete Opfer seit August 2023; sieben davon allein in der Woche bis zum 23. August 2026, nachdem die Gruppe zuvor monatelang still war (Stand: 24. August 2026)
.metaenc
öffentlich nicht belastbar dokumentiert
Verschlüsseler: MetaEncryptor verschlüsselt Dateiinhalte mehrfädig mit AES-256 und sichert den Schlüssel mit RSA-2048. Betroffene Dateien erhalten die Endung .metaenc. Die Mehrfädigkeit ist kein Detail am Rande: Sie sorgt dafür, dass große Dateiserver in kurzer Zeit durchlaufen werden – das Zeitfenster zwischen erstem und letztem verschlüsselten Verzeichnis ist entsprechend klein.
Infrastruktur: Die Gruppe betreibt eine Tor-Leak-Site unter mehreren Spiegeladressen (Titel „Metaencryptor::Home“). Die Erreichbarkeit schwankt – in den stillen Phasen sind die Adressen zeitweise nicht abrufbar, ohne dass das ein Ende des Betriebs bedeutet.
Praktische Folge: Weil Endung und Verfahren dokumentiert sind, lässt sich eine gezielte Erkennung auf .metaenc einrichten. Der eigentliche Hebel liegt aber früher – bei der Verweildauer im Netz, die dieser Gruppe zugeschrieben wird, und beim Datenabzug vor der Verschlüsselung.
MetaEncryptor fällt durch zwei Dinge auf: eine längere, unauffällige Verweildauer im Netz und eine sehr schnelle Verschlüsselung am Ende. Beides spricht für durchgehende Überwachung statt punktueller Prüfungen. Das Cyber Defense Center von Argos Security beobachtet Ihre Umgebung rund um die Uhr (24/7) und erkennt genau die leisen Phasen davor: ungewöhnliche Anmeldungen über Fernzugänge, das schrittweise Abschalten von Schutzmechanismen und große ausgehende Datentransfers.
Weil diese Gruppe ihre Opfer gebündelt und verspätet veröffentlicht, achten wir zusätzlich auf ausreichende Protokoll-Aufbewahrung – ohne sie lässt sich ein Wochen alter Einstieg später nicht mehr belegen. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik, Wiederanlauf und die Behördenmeldungen.