Threat Intelligence

MetaEncryptor

Seit 2023 bekannt, monatelang still – und im August 2026 mit sieben neuen Opfern in einer Woche zurück, darunter ein deutscher Pharmadienstleister.

Kurz erklärt

MetaEncryptor ist seit August 2023 aktiv und arbeitet nach dem klassischen Muster der doppelten Erpressung: Daten werden abgezogen, Systeme verschlüsselt, und bei ausbleibender Zahlung erscheint die Beute auf einer Tor-Leak-Site. Verschlüsselte Dateien tragen die Endung .metaenc; verschlüsselt wird mehrfädig mit AES-256, der Schlüssel wird mit RSA-2048 gesichert.

Bemerkenswert an dieser Gruppe ist ihr Rhythmus. Sie veröffentlicht nicht gleichmäßig, sondern in Wellen: Auf Monate ohne einen einzigen Eintrag folgt ein dichter Schauer. Genau das ist im August 2026 passiert – nach langer Stille kamen in einer einzigen Woche sieben neue Opfer hinzu, darunter mit dem Pharmadienstleister MPA Pharma erstmals ein deutsches Unternehmen.

Für Betroffene hat dieser Rhythmus eine unangenehme Konsequenz: Wenn die Veröffentlichung gebündelt und verspätet erfolgt, kann der eigentliche Einbruch Wochen oder Monate zurückliegen. Die Frage lautet dann nicht nur „Wie stoppen wir das?“, sondern „Seit wann sind die eigentlich drin – und reichen unsere Protokolle so weit zurück?“

Aktiv

Modell

Eigenständige Ransomware-Operation mit doppelter Erpressung und eigener Tor-Leak-Site (mehrere Spiegeladressen); ein offenes Partnerprogramm ist nicht belegt

Auch bekannt als

MetaEncryptor; Metaencryptor; auf Tracking-Portalen „metaencryptor“

Gegründet

Mitte 2023 – erstes gelistetes Opfer am 16. August 2023

Entstanden aus

Keine Vorgängergruppe belegt. MetaEncryptor tritt seit 2023 unter gleichbleibendem Namen auf und hat sich – anders als viele Gruppen dieser Generation – bislang nicht umbenannt.

Herkunft

Nicht eindeutig zugeordnet. Eine belastbare öffentliche Zuschreibung existiert nicht.

Zielsektoren

Rechtsberatung, Technologie, Logistik, Fertigung, Pharma und Gesundheitswirtschaft, Finanzdienstleistung

Zielregionen

Schwerpunkt Vereinigtes Königreich, übriges Europa und Südostasien. Deutschland ist mit dem Eintrag zu MPA Pharma im August 2026 vertreten.

Typisches Lösegeld

nicht öffentlich beziffert

Opferzahl

38 gelistete Opfer seit August 2023; sieben davon allein in der Woche bis zum 23. August 2026, nachdem die Gruppe zuvor monatelang still war (Stand: 24. August 2026)

File Extensions

.metaenc

Ransom Note

öffentlich nicht belastbar dokumentiert

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Eine Probe verschlüsselter Dateien (.metaenc) und die Erpressernachricht sichern.
  • Weit zurückschauen: Diese Gruppe veröffentlicht gebündelt und verspätet. Den Untersuchungszeitraum großzügig ansetzen und Protokolle vor dem Ablauf sichern – der Einstieg kann Wochen zurückliegen.
  • Backups sofort prüfen und offline schreibgeschützt sichern.
  • Fernzugänge (RDP, VPN) sperren, Zugangsdaten zurücksetzen und MFA erzwingen.
  • Umfang des Datenabflusses ermitteln – er entscheidet über Meldung und Betroffeneninformation.
  • Meldepflichten prüfen und fristgerecht erfüllen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; BSI und Polizei einbeziehen.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nichtveröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Aus einer ruhigen Leak-Site keine Entwarnung ableiten – bei dieser Gruppe folgt auf Monate der Stille regelmäßig ein Veröffentlichungsschauer.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist.
  • Verschlüsselte .metaenc-Dateien nicht löschen – sie sind teils später entschlüsselbar.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR- und Verhandlungsexperten.
  • Den Untersuchungszeitraum nicht zu kurz wählen: Wer nur die letzten Tage betrachtet, findet den eigentlichen Einstieg nicht.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.

Bekannte Angriffe

  • Deutschland – MPA Pharma GmbH (23. August 2026): der Pharmadienstleister wurde auf der Leak-Site gelistet und ist der erste dokumentierte DACH-Eintrag der Gruppe.
  • August 2026 insgesamt: sieben Einträge innerhalb einer Woche – die deutlichste Aktivitätsspitze seit dem Auftauchen der Gruppe.
  • 2023 bis 2026: insgesamt 38 gelistete Opfer, überwiegend mittlere und große Unternehmen aus Rechtsberatung, Technologie, Logistik, Fertigung und Finanzdienstleistung im Vereinigten Königreich, im übrigen Europa und in Südostasien.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site und sind nicht in jedem Einzelfall unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Erstzugang: nicht abschließend öffentlich dokumentiert; berichtet werden die üblichen Wege über exponierte Fernzugriffsdienste und gestohlene Zugangsdaten.
    • MITRE: T1078 (gültige Konten), T1133 (externe Fernzugriffsdienste), T1566 (Phishing)
  • Verteidigungsumgehung und Persistenz: Der Gruppe werden ausgeprägte Fähigkeiten in Tarnung und dauerhaftem Verbleib im Netz zugeschrieben – sie fällt durch längere Verweildauer vor dem eigentlichen Schadensereignis auf.
    • MITRE: T1562 (Schutzmechanismen beeinträchtigen)
  • Datenabzug: Exfiltration vor der Verschlüsselung als Druckmittel (T1567).
  • Auswirkung: mehrfädige Verschlüsselung mit AES-256, Schlüsselschutz über RSA-2048; Endung .metaenc (T1486).
  • Erpressung: Veröffentlichung auf einer Tor-Leak-Site mit mehreren Spiegeladressen (T1657).
  • Besonderheit – Wellenmuster: lange Stille, dann gebündelte Veröffentlichung. Ein ruhiger Tracker bedeutet bei dieser Gruppe ausdrücklich nicht, dass keine Angriffe laufen.

Technologie & Malware

Verschlüsseler: MetaEncryptor verschlüsselt Dateiinhalte mehrfädig mit AES-256 und sichert den Schlüssel mit RSA-2048. Betroffene Dateien erhalten die Endung .metaenc. Die Mehrfädigkeit ist kein Detail am Rande: Sie sorgt dafür, dass große Dateiserver in kurzer Zeit durchlaufen werden – das Zeitfenster zwischen erstem und letztem verschlüsselten Verzeichnis ist entsprechend klein.

Infrastruktur: Die Gruppe betreibt eine Tor-Leak-Site unter mehreren Spiegeladressen (Titel „Metaencryptor::Home“). Die Erreichbarkeit schwankt – in den stillen Phasen sind die Adressen zeitweise nicht abrufbar, ohne dass das ein Ende des Betriebs bedeutet.

Praktische Folge: Weil Endung und Verfahren dokumentiert sind, lässt sich eine gezielte Erkennung auf .metaenc einrichten. Der eigentliche Hebel liegt aber früher – bei der Verweildauer im Netz, die dieser Gruppe zugeschrieben wird, und beim Datenabzug vor der Verschlüsselung.

Indicators of Compromise (IOCs)

  • Datei-Endung: .metaenc
  • Verschlüsselung: AES-256 (mehrfädig) mit RSA-2048-Schlüsselschutz
  • Leak-Site (Tor, Spiegel 1): metacrptmytukkj7ajwjovdpjqzd7esg5v3sg344uzhigagpezcqlpyd.onion
  • Leak-Site (Tor, Spiegel 2): metacrpttdfpbm4qoxzcrqqgr6e6zafpazgxm72knmujw2mwvi34rwad.onion
  • Seitentitel der Leak-Site: „Metaencryptor::Home“
  • Verhaltensindikator: längere unauffällige Verweildauer, dann sehr schnelle Massenverschlüsselung auf Dateiservern – vorher großvolumige ausgehende Datentransfers
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Erkennungsregel auf die Datei-Endung .metaenc hinterlegt – als letzte Warnstufe, nicht als Hauptschutz
  • Phishing-resistente MFA auf allen RDP-, VPN- und Fernwartungszugängen; nicht benötigte Fernzugriffe aus dem Internet nehmen
  • Erkennung für Massenzugriffe auf Dateifreigaben und Schattenkopien-Löschung scharf schalten – die mehrfädige Verschlüsselung läuft schnell, der Alarm muss automatisiert reagieren
  • Ausgehende Großtransfers zu Cloud-Speichern und unbekannten Zielen überwachen
  • Protokoll-Aufbewahrung von mindestens sechs Monaten – wegen der verspäteten Veröffentlichung entscheidend für den Nachweis
  • Offline- und unveränderliche Backups, regelmäßig auf Wiederherstellbarkeit getestet
  • Netzsegmentierung zwischen Büro-IT, Fertigung und Dateiservern
  • Krisen- und Meldeprozesse (DSGVO 72 h, NIS2 24 h) vorbereitet und geübt

Wie Argos unterstützt

MetaEncryptor fällt durch zwei Dinge auf: eine längere, unauffällige Verweildauer im Netz und eine sehr schnelle Verschlüsselung am Ende. Beides spricht für durchgehende Überwachung statt punktueller Prüfungen. Das Cyber Defense Center von Argos Security beobachtet Ihre Umgebung rund um die Uhr (24/7) und erkennt genau die leisen Phasen davor: ungewöhnliche Anmeldungen über Fernzugänge, das schrittweise Abschalten von Schutzmechanismen und große ausgehende Datentransfers.

Weil diese Gruppe ihre Opfer gebündelt und verspätet veröffentlicht, achten wir zusätzlich auf ausreichende Protokoll-Aufbewahrung – ohne sie lässt sich ein Wochen alter Einstieg später nicht mehr belegen. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik, Wiederanlauf und die Behördenmeldungen.