Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Nova

Aus RALord hervorgegangene Ransomware-as-a-Service-Gruppe mit rund 85 % Partneranteil – 2026 einer der aktivsten Erpresser weltweit, mit Opfern in Deutschland und Österreich.

Vorfall melden
Kurz erklärt

Nova ist eine Ransomware-as-a-Service-Gruppe (RaaS), die im April 2025 aus der Umbenennung der Gruppe RALord hervorgegangen ist. Sie arbeitet nach dem Double-Extortion-Muster: Daten werden vor der Verschlüsselung abgezogen und bei ausbleibender Zahlung auf einer Tor-Leak-Site veröffentlicht. Ihren Partnern zahlt Nova nach eigenen Angaben rund 85 % des Lösegelds aus und betreibt dafür ein eigenes Partnerportal samt Chat-Kanal – ein Modell, das der Gruppe schnelles Wachstum verschafft hat. Bis Juli 2026 listete Nova rund 178 Opfer in 44 Ländern und zählt damit zu den aktivsten Erpressergruppen des Jahres. Auch die DACH-Region ist betroffen: In Deutschland und Österreich wurden mehrere Unternehmen auf der Leak-Site geführt.

Aktiv

Modell

Ransomware-as-a-Service (RaaS) mit Partnerprogramm, rund 85 % Partneranteil

Auch bekannt als

RALord; RAlord

Gegründet

April 2025 (Umbenennung aus RALord, das seit Frühjahr 2025 aktiv war)

Entstanden aus

Rebranding der Ransomware-as-a-Service-Gruppe RALord

Herkunft

Nicht eindeutig zugeordnet

Zielsektoren

Technologie und IT-Dienstleistungen (Schwerpunkt), produzierendes Gewerbe, Gesundheitswesen, Bildung sowie professionelle Dienstleistungen.

Zielregionen

Weltweit in rund 44 Ländern. Am stärksten betroffen sind die USA, Brasilien, Frankreich, Indonesien und Spanien. Die DACH-Region ist mit Opfern in Deutschland und Österreich vertreten.

Typisches Lösegeld

Nicht öffentlich beziffert.

Opferzahl

Rund 178 gelistete Opfer in 44 Ländern (Stand: Juli 2026), davon rund 76 in den letzten 90 Tagen

File Extensions

.ralord (aus der RALord-Linie beibehalten)

Ransom Note

README-NOVA.me (in der RALord-Linie auch als README-.txt beobachtet)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren (LAN/WLAN trennen), aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response aktivieren und ein spezialisiertes Team einbinden; parallel Krisenstab und Geschäftsführung informieren.
  • Backups schützen: Sicherungssysteme umgehend vom Netz trennen und auf Integrität sowie Wiederherstellbarkeit prüfen, bevor etwas zurückgespielt wird.
  • Alle potenziell kompromittierten Zugangsdaten zurücksetzen (Domain-, VPN-, RDP- und Backup-Konten) und MFA erzwingen – Nova arbeitet bevorzugt mit gestohlenen Zugangsdaten.
  • Beweise sichern: Erpressernotiz, verschlüsselte Beispieldateien, Logs und Zeitpunkte für die spätere Analyse dokumentieren.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung an die zuständige Behörde binnen 24 Stunden; Strafanzeige bei Polizei/ZAC erwägen.
⛔ Unbedingt vermeiden
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine eigenständige Zahlung des Lösegelds ohne juristische, forensische und ggf. behördliche Abstimmung – eine Entschlüsselung ist nicht garantiert.
  • Nicht auf eigene Faust über den Chat-Kanal der Gruppe verhandeln; Kontaktaufnahmen ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass die Angreifer keinen Zugang mehr haben.
  • Keine Beweise vernichten oder Systeme „aufräumen“, bevor die forensische Sicherung abgeschlossen ist.
  • Vorfall und Kommunikation nicht verharmlosen oder verzögern – Melde- und Informationspflichten (DSGVO, NIS2) laufen ab Kenntnis.

Bekannte Angriffe

  • Deutschland: IBENA Textilwerke (Juni 2026), BAUM Games (Mai 2026).
  • Österreich: KREISEL (Januar 2026).
  • International (Auswahl): Clinical Diagnostics (Niederlande, Labordiagnostik), ANG BROTHERS (Singapur, rund 2,5 TB Daten), Cisneros Group (Medien), Dubai Air Wing (VAE), Eriell (Öl- und Gaszulieferer).
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site von Nova und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Phishing mit schädlichem Anhang – T1566 (Phishing)
    • Gültige, per Infostealer erbeutete Zugangsdaten – T1078 (Valid Accounts)
    • Exponierte RDP- und VPN-Dienste – T1133 (External Remote Services)
  • Ausführung:
    • PowerShell und CMD, teils obfuskiert – T1059 (Command and Scripting Interpreter)
  • Verteidigungsumgehung:
    • Deaktivieren von Schutzsoftware – T1562 (Impair Defenses)
    • Sandbox- und Umgebungsprüfungen vor der Ausführung – T1497 (Virtualization/Sandbox Evasion)
  • Laterale Bewegung:
    • Ausbreitung über RDP und SMB – T1021 (Remote Services)
  • Sammlung & Exfiltration:
    • Staging der Daten vor dem Abfluss – T1074 (Data Staged)
    • Datenabfluss vor der Verschlüsselung – T1567 (Exfiltration Over Web Service)
  • Auswirkung:
    • Zerstörung von Sicherungen und Wiederherstellungspunkten – T1490 (Inhibit System Recovery)
    • Datenverschlüsselung – T1486 (Data Encrypted for Impact)

Technologie & Malware

Der Verschlüsseler der RALord-/Nova-Linie ist in Rust geschrieben und hängt verschlüsselten Dateien die Endung .ralord an. Vor der Ausführung führt die Schadsoftware Umgebungsprüfungen durch, um Analyse- und Sandbox-Systeme zu erkennen; die Ausführung erfolgt über obfuskierte PowerShell- und CMD-Befehle. Der Ablauf folgt dem Double-Extortion-Muster: Daten werden gesammelt, abgezogen und erst danach verschlüsselt, wobei Schutzsoftware deaktiviert und Sicherungen zerstört werden. Zur Erpressung betreibt Nova ein Tor-Portal mit mehreren Onion-Adressen, einem Partner-Registrierungsbereich und einem eigenen Chat-Kanal für Verhandlungen.

Indicators of Compromise (IOCs)

  • Datei-Endung verschlüsselter Dateien: .ralord
  • Erpressernotiz: README-NOVA.me (RALord-Linie: README-.txt)
  • Beispiel-Hash des RALord-/Nova-Verschlüsselers (SHA-256): 456B9ADAABAE9F3DCE2207AA71410987F0A571CD8C11F2E7B41468501A863606
  • Tor-Leak- und Verhandlungsseiten mit mehreren Onion-Domains, deren Namen mit „nova…“ beginnen
  • Weitergehende technische Indikatoren bitte über etablierte Threat-Intelligence-Quellen beziehen und vor dem Blocken verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Sind alle extern erreichbaren Fernzugänge – insbesondere RDP und VPN – durch Multi-Faktor-Authentifizierung abgesichert und Zugänge ohne MFA vollständig unterbunden?
  • Werden Anmeldungen mit gestohlenen Zugangsdaten erkannt (Impossible-Travel, ungewöhnliche Quell-IP, Anmeldung außerhalb der Geschäftszeiten) und automatisiert alarmiert?
  • Existieren unveränderliche (immutable) oder offline gehaltene Backups, die getrennt vom produktiven Active Directory verwaltet und regelmäßig auf Wiederherstellbarkeit getestet werden?
  • Werden Versuche, Schutzsoftware zu deaktivieren oder Schattenkopien und Sicherungsjobs zu löschen, als eigenständiger Alarm behandelt und nicht nur protokolliert?
  • Sind die Zugangsdaten Ihrer Mitarbeitenden auf Infostealer-Leaks hin überwacht, damit kompromittierte Konten vor dem Angriff gesperrt werden können?

Wie Argos unterstützt

Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt typische Nova-Vorstufen frühzeitig – etwa Anmeldungen mit gestohlenen Zugangsdaten an RDP- oder VPN-Zugängen, das Abschalten von Schutzmechanismen oder das gezielte Löschen von Sicherungen. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen, betroffene Systeme zu isolieren und die Wiederherstellung aus gesicherten Backups zu koordinieren. Ergänzend härten wir Identitäts-, Fernzugriffs- und Backup-Infrastruktur gezielt gegen die von Nova genutzten Einstiegswege und begleiten Sie bei Melde- und Nachweispflichten.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →