Threat Intelligence

Orova

Aus dem Stand auf 35 Opfer: Orova sammelt monatelang still Daten und veröffentlicht sie dann gebündelt – vor allem bei kleinen Organisationen ohne eigene IT-Sicherheit.

Kurz erklärt

Orova ist eine im Sommer 2026 aufgetauchte Erpressergruppe, die vor allem über gestohlene Daten Druck aufbaut. Am 4. August 2026 veröffentlichte sie in einem Schwung 24 Opfer auf ihrer Tor-Leak-Site, binnen weniger Tage wuchs die Liste auf 35. Die Angriffe selbst liegen deutlich weiter zurück: Zwischen Angriff und Veröffentlichung vergehen im Schnitt rund 38 Tage, die ersten Zugriffe werden auf Mai 2026 datiert.

Bemerkenswert ist die Opferstruktur. Neben mittelständischen Unternehmen aus Industrie, IT und Finanzwesen trifft es auffallend viele sehr kleine Organisationen – Zahnarztpraxen, Handwerksbetriebe, Kirchengemeinden, Wohnungseigentümergemeinschaften. Das spricht für ein opportunistisches Vorgehen entlang leicht erreichbarer Zugänge statt für gezielte Großangriffe. Ein DACH-Opfer ist bislang nicht bekannt; die Gruppe ist wegen ihres Tempos dennoch beobachtenswert.

Aktiv

Modell

Menschlich gesteuerte Erpressung mit Schwerpunkt auf Datendiebstahl („Data Broker“): Tor-Leak-Site, separates Tor-Verhandlungsportal und ein Tox-Kontakt; neben der Doppelten Erpressung werden Daten teils kostenlos freigegeben.

Auch bekannt als

OROVA; Leak-Site „Orova“

Gegründet

Erste Angriffe ab Mai 2026; öffentlicher Auftritt der Leak-Site im August 2026

Entstanden aus

Keine Vorgängergruppe belegt. Der zügige Start mit einem großen Erstschwung an Opfern deutet auf erfahrene Betreiber hin, eine Zuordnung zu einer früheren Marke ist öffentlich aber nicht dokumentiert.

Herkunft

Nicht zugeordnet – eine belastbare Herkunftszuschreibung liegt öffentlich nicht vor

Zielsektoren

Gesundheitswesen, Fertigung, IT- und Technologiedienstleister, Finanzwesen, Telekommunikation und Einzelhandel; dazu zahlreiche Kleinstorganisationen aus dem Dienstleistungs-, Vereins- und Immobilienumfeld.

Zielregionen

International, Opfer aus sechs Ländern – Schwerpunkt USA, dazu Hongkong (fünf Unternehmen im August 2026), Kanada, Brasilien, Japan, Taiwan und Großbritannien. <strong>Bislang kein Opfer in Deutschland, Österreich oder der Schweiz.</strong>

Typisches Lösegeld

Nicht öffentlich beziffert; Verhandlung über ein Tor-Portal und einen Tox-Kontakt.

Opferzahl

35 gelistete Opfer (Stand: 10. August 2026), Opfer aus sechs Ländern; bislang kein DACH-Opfer bekannt

File Extensions

.orova

Ransom Note

Öffentlich nicht eindeutig dokumentiert

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Nicht nur nach dem Angriff von gestern suchen: Zwischen Zugriff und Veröffentlichung liegen im Mittel rund 38 Tage. Protokolle mindestens über diesen Zeitraum rückwärts prüfen und davon ausgehen, dass der Zugang noch offen ist.
  • Alle Zugangsdaten zurücksetzen, Sitzungen widerrufen, Fernzugänge sperren und MFA erzwingen.
  • Auf Infostealer-Funde zur eigenen Domäne prüfen – gestohlene Zugangsdaten aus Schadsoftware-Infektionen sind bei dieser Gruppe ein häufiges Vorzeichen.
  • Umfang des Datenabflusses ermitteln und dokumentieren; bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden.
  • Incident Response aktivieren; Strafanzeige bei Polizei oder ZAC erwägen.
⛔ Unbedingt vermeiden
  • Einen Leak-Site-Eintrag nicht als abgeschlossenen Vorfall behandeln – der Angriff liegt Wochen zurück und ist damit nicht zwangsläufig beendet.
  • Nicht auf eigene Faust über das Tor-Portal oder den Tox-Kontakt verhandeln; Kommunikation ausschließlich über erfahrene Incident-Responder steuern.
  • Kein vorschnelles Neuaufsetzen betroffener Systeme, bevor die Forensik gesichert ist.
  • Behauptungen der Gruppe zu Umfang und Inhalt der Daten nicht ungeprüft übernehmen – die Gruppe ist neu und ihre Angaben sind nicht verifiziert; ebenso wenig dürfen sie ungeprüft abgestritten werden.
  • Keine Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung.
  • Den Vorfall nicht verharmlosen, weil die eigene Organisation klein ist – genau dieses Profil trifft die Gruppe bevorzugt.

Bekannte Angriffe

  • Erstveröffentlichung am 4. August 2026: 24 Organisationen auf einen Schlag; bis zum 6. August 2026 wuchs die Liste auf 35 Einträge.
  • Hongkong: fünf Unternehmen im August 2026 – der bislang größte regionale Block außerhalb der USA.
  • USA (Auswahl laut Leak-Site): überwiegend Kleinbetriebe und gemeinnützige Organisationen – Zahnarztpraxen, Handwerks- und Haustechnikbetriebe, Architekturbüros, Tierarztpraxen, Kirchengemeinden und Eigentümergemeinschaften; dazu IT-Dienstleister.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site und sind nicht unabhängig verifiziert. Die Gruppe ist neu – Behauptungen sollten bis zur unabhängigen Bestätigung mit Vorbehalt gelesen werden.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Öffentlich nicht abschließend dokumentiert; bei rund einem Viertel der Opfer lagen zuvor über Infostealer gestohlene Zugangsdaten vor – T1078 (Valid Accounts), T1133 (External Remote Services)
    • Opferstruktur (Kleinstorganisationen ohne eigene IT-Sicherheit) spricht für opportunistische Auswahl entlang exponierter Dienste – T1190
  • Sammlung und Exfiltration:
    • Ausleitung ganzer Dateiablagen als zentrales Druckmittel – T1567 (Exfiltration Over Web Service)
  • Auswirkung:
    • Verschlüsselung mit der Endung .orova – T1486 (Data Encrypted for Impact)
  • Erpressung:
    • Mehrstufige Erpressung: direkte Forderung, Veröffentlichungsandrohung und teils kostenlose Datenfreigabe – T1657 (Financial Theft)
    • Deutlicher Zeitversatz von im Mittel rund 38 Tagen zwischen Angriff und Veröffentlichung – der Zugang kann zum Zeitpunkt der Veröffentlichung noch bestehen

Technologie & Malware

Zur eingesetzten Schadsoftware liegen bislang nur wenige belastbare öffentliche Angaben vor – die Gruppe ist erst seit August 2026 sichtbar. Dokumentiert ist die Datei-Endung .orova für verschlüsselte Dateien. Verschlüsselungsverfahren, Erpressernotiz und Plattformunterstützung sind öffentlich nicht sauber belegt und werden hier bewusst nicht gemutmaßt.

Klarer ist das Betriebsmodell: Orova betreibt eine Tor-Leak-Site zur Veröffentlichung gestohlener Dateien, ein separates Tor-Portal für die Verhandlung sowie einen Tox-Kontakt für die direkte Ansprache. Der Schwerpunkt liegt erkennbar auf dem Datendiebstahl – einschlägige Tracker führen die Gruppe als „Data Broker“.

Indicators of Compromise (IOCs)

  • Datei-Endung: .orova
  • Infrastruktur: Tor-Leak-Site, separates Tor-Verhandlungsportal
  • Tox-Kontakt der Gruppe: 1F3A17E9670C56A3CCF85581468524FE5997B1131630C67747A11C0B6A131520790DF354547D
  • Muster: gebündelte Veröffentlichung vieler Opfer an einem Tag; mittlerer Abstand zwischen Angriff und Veröffentlichung rund 38 Tage
  • Vorgelagertes Signal: bei rund 23 Prozent der Opfer waren zuvor über Infostealer gestohlene Zugangsdaten im Umlauf – entsprechende Funde zur eigenen Domäne ernst nehmen
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Werden Funde gestohlener Zugangsdaten zur eigenen Domäne (Infostealer-Logs) regelmäßig beobachtet und die betroffenen Konten zurückgesetzt?
  • Ist jeder Fernzugang durch Multi-Faktor-Authentifizierung abgesichert, auch bei kleinen Standorten und externen Dienstleistern?
  • Reichen Ihre Protokolle mindestens zwei Monate zurück – lang genug, um einen Zugriff mit diesem Zeitversatz überhaupt noch nachweisen zu können?
  • Wird ausgehender Datenverkehr auf ungewöhnlich große Ausleitungen überwacht?
  • Sind die von außen erreichbaren Systeme vollständig erfasst und auf aktuellem Patch-Stand?
  • Gibt es einen klaren Ablauf für den Fall, dass das eigene Unternehmen auf einer Leak-Site auftaucht – wer prüft, wer meldet, wer kommuniziert?

Wie Argos unterstützt

Bei einer Gruppe, die ihre Opfer erst Wochen nach dem Zugriff veröffentlicht, entscheidet die frühe Erkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und achtet auf die Vorzeichen: Anmeldungen mit gestohlenen Zugangsdaten, Erkundung im Netz und ungewöhnlich große Datenausleitungen. Unsere Threat Intelligence beobachtet zugleich Leak-Sites und Infostealer-Funde und meldet, wenn Ihre Domäne oder Ihr Unternehmen dort auftaucht – idealerweise bevor die Erpressung beginnt. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik, Wiederanlauf und die Abstimmung der Meldepflichten.