Threat Intelligence

NightSpire

Aggressive Doppel-Erpressung mit Zwei-Tages-Frist – NightSpire steigt über ungepatchte Firewalls ein und hat den deutschen Mittelstand fest im Blick.

Kurz erklärt

NightSpire ist eine im März 2025 aufgetauchte Ransomware-Operation, die innerhalb von rund anderthalb Jahren über 300 Opfer auf ihrer Leak-Site gelistet hat. Die Gruppe arbeitet nach dem Double-Extortion-Prinzip: Daten abziehen, Systeme verschlüsseln, Veröffentlichung androhen. Auffällig sind die extrem kurzen Fristen – teils nur zwei Tage bis zur Veröffentlichung – und ein aggressiver, öffentlich geführter Umgang mit nicht zahlenden Opfern.

Der Einstieg erfolgt typischerweise über verwundbare Perimeter-Systeme, insbesondere ungepatchte Firewalls und VPN-Zugänge, sowie über offen erreichbares RDP. Das Ziel ist bewusst der Mittelstand: Rund drei Viertel der Opfer sind Unternehmen mit weniger als 1.000 Beschäftigten, mit einem Schwerpunkt auf Fertigung. In Deutschland listet die Gruppe bereits eine zweistellige Zahl von Opfern.

Aktiv

Modell

Ransomware-as-a-Service mit Double Extortion und eigener Tor-Leak-Site inklusive öffentlicher Anprangerung nicht zahlender Opfer

Auch bekannt als

NightSpire, Night Spire

Gegründet

März 2025

Entstanden aus

Mit hoher Wahrscheinlichkeit eine Umbenennung der Gruppe RBFS – überlappende Opfer und gemeinsame Betreiber legen das nahe (Analyse S-RM).

Herkunft

Nicht eindeutig zugeordnet

Zielsektoren

Fertigung (Schwerpunkt, rund ein Drittel), Handel und E-Commerce, Gesundheitswesen, Finanzdienstleistungen, Bildung, Bau und professionelle Dienstleistungen.

Zielregionen

Weltweit, mit Schwerpunkt USA; zahlreiche Opfer in Europa – darunter eine zweistellige Zahl in <strong>Deutschland</strong> – sowie in Frankreich, Indien, Taiwan und Japan.

Typisches Lösegeld

Nicht öffentlich beziffert; verhandelt wird individuell, mit ungewöhnlich kurzen Fristen von teils nur 48 Stunden bis zur angedrohten Veröffentlichung.

Opferzahl

313 gelistete Opfer (Stand: 3. August 2026), davon rund 11 in der DACH-Region

File Extensions

.nspire

Ransom Note

readme.txt (in Analysen auch als _nightspire_readme.txt dokumentiert) mit einer eindeutigen Opfer-Kennung und Kontaktwegen über ein Tor-Portal sowie den Messenger qTox

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren (LAN/WLAN trennen), aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response sofort aktivieren: Bei Fristen von teils 48 Stunden entscheidet die erste Stunde darüber, ob eine geordnete Reaktion überhaupt möglich ist.
  • Fernzugänge schließen: VPN- und RDP-Zugänge sperren, Zugangsdaten zurücksetzen, MFA erzwingen und den Patch-Stand der Perimeter-Systeme prüfen.
  • Backups schützen: Sicherungssysteme umgehend vom Netz trennen und auf Integrität sowie Wiederherstellbarkeit prüfen; auch Cloud-Speicher wie OneDrive auf verschlüsselte Dateien und Versionsstände kontrollieren.
  • Umfang des Datenabflusses ermitteln – Übertragungen zu MEGA und per WinSCP sind hierfür die naheliegenden Spuren.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
⛔ Unbedingt vermeiden
  • Sich nicht vom Zeitdruck der Täter treiben lassen: Die Zwei-Tages-Frist ist ein Verhandlungsmittel, keine technische Notwendigkeit – Entscheidungen gehören trotzdem in geordnete Bahnen.
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine eigenständige Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung – eine Entschlüsselung oder Löschung ist nicht garantiert.
  • Nicht über qTox oder das Tor-Portal auf eigene Faust verhandeln; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass die Angreifer keinen Zugang mehr haben – der Einstiegsweg über die Firewall ist sonst weiterhin offen.
  • Cloud-Speicher nicht als sicher voraussetzen: Auch OneDrive-Daten sind betroffen, teils ohne sichtbare Endungsänderung.

Bekannte Angriffe

  • Deutschland (Auswahl laut Leak-Site): thallos AG, HLF Heizung-Sanitär GmbH, KFZ Sauter GmbH & Co. KG, Ausgewählt Vertriebs GmbH.
  • International: über 300 Opfer seit März 2025, überwiegend mittelständische Unternehmen aus Fertigung, Handel und Gesundheitswesen in den USA, Frankreich, Indien, Taiwan und Japan.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Ausnutzung verwundbarer Perimeter-Dienste – Firewalls und VPN-Gateways; dokumentiert ist die Ausnutzung von CVE-2024-55591 (FortiOS-Authentifizierungsumgehung mit Super-Admin-Rechten) – T1190 (Exploit Public-Facing Application)
    • Offen erreichbares RDP und gültige Zugangsdaten – T1133 / T1078
  • Erkundung:
    • Netzwerk-Scanner und Bordmittel („Living off the Land“) – T1046 (Network Service Discovery)
  • Verteidigungsumgehung:
    • Nutzung legitimer Werkzeuge statt eigener Schadsoftware – T1218 (System Binary Proxy Execution)
  • Laterale Bewegung & Persistenz:
    • RDP und Fernwartungssoftware (RMM) für dauerhaften Zugriff – T1021.001 / T1219
  • Exfiltration:
    • Komprimierung mit 7-Zip, Übertragung mit WinSCP und MEGAcmd – T1560 / T1567.002 (Exfiltration to Cloud Storage)
  • Auswirkung:
    • Verschlüsselung mit der Endung .nspire; auch in OneDrive gespeicherte Dateien werden verschlüsselt, dort teils ohne sichtbare Endungsänderung – T1486 (Data Encrypted for Impact)

Technologie & Malware

NightSpire arbeitet überwiegend mit legitimen Werkzeugen. Zur Datenausleitung kommen WinSCP, MEGAcmd und 7-Zip zum Einsatz, für Zugriff und Persistenz gängige Fernwartungssoftware sowie RDP. Für die Erkundung genügen Netzwerk-Scanner und Bordmittel – ein Vorgehen, das signaturbasierte Erkennung weitgehend ins Leere laufen lässt.

Der Verschlüsseler hängt die Endung .nspire an und legt eine Erpressernotiz in den betroffenen Verzeichnissen ab. Eine Besonderheit betrifft Cloud-Speicher: Auch in OneDrive synchronisierte Dateien werden verschlüsselt, teils ohne sichtbare Änderung des Dateinamens – Betroffene bemerken den Schaden dort deshalb häufig erst verspätet. Analysten beschreiben das technische Niveau der Gruppe insgesamt als eher niedrig; gefährlich ist sie vor allem durch Geschwindigkeit, Masse und Druck.

Indicators of Compromise (IOCs)

  • Datei-Endung: .nspire
  • Erpressernotiz: readme.txt bzw. _nightspire_readme.txt, mit Opfer-Kennung, Tor-Portal und qTox-Kontakt
  • Ausgenutzte Schwachstelle: CVE-2024-55591 (FortiOS/FortiProxy)
  • Auffällige Werkzeuge im Netz: WinSCP, MEGAcmd, 7-Zip, nicht freigegebene RMM-Software
  • Verhandlungskanäle: Tor-Leak-Site mit „We say“-Bereich zur öffentlichen Anprangerung, qTox-Messenger
  • Host- und Netzwerkindikatoren dieser Gruppe wechseln häufig – vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Sind alle von außen erreichbaren Firewalls, VPN-Gateways und Fernzugangs-Appliances auf aktuellem Patch-Stand – insbesondere Fortinet-Systeme mit Blick auf CVE-2024-55591?
  • Ist RDP aus dem Internet vollständig geschlossen, und sind alle verbleibenden Fernzugänge durch Multi-Faktor-Authentifizierung abgesichert?
  • Wird ausgehender Datenverkehr überwacht? Fallen große Uploads zu Cloud-Speicherdiensten wie MEGA sowie Übertragungen per WinSCP oder FTP auf?
  • Wird das Auftauchen nicht freigegebener Fernwartungswerkzeuge (RMM-Software) im Netz erkannt und alarmiert?
  • Existieren unveränderliche oder offline gehaltene Backups, deren Wiederherstellung regelmäßig getestet wird – auch für virtualisierte Umgebungen?
  • Ist ein Notfallplan eingeübt, der innerhalb von 48 Stunden entscheidungsfähig macht? Bei NightSpire ist genau das die verfügbare Zeit.

Wie Argos unterstützt

Der wirksamste Hebel gegen NightSpire liegt vor dem Angriff: Das Cyber Defense Center von Argos Security behält Ihre von außen erreichbaren Systeme im Blick und meldet ungepatchte oder unsicher konfigurierte Fernzugänge, bevor sie ausgenutzt werden. Rund um die Uhr (24/7) überwachen wir Ihre Umgebung auf die Muster, die dieser Gruppe vorausgehen: verdächtige Anmeldungen an VPN und RDP, Netzwerk-Erkundung, ungewöhnliche Datenausleitungen und neu auftauchende Fernwartungsagenten. Kommt es zum Ernstfall, greift unser Incident-Response-Team kurzfristig per Fernzugriff ein, dämmt die Ausbreitung ein und koordiniert Forensik, Wiederherstellung und Meldepflichten – gerade bei den kurzen Fristen dieser Gruppe zählt jede Stunde.