Osiris ist eine Ransomware-Familie, die Symantec und Carbon Black im Januar 2026 erstmals beschrieben haben. Der erste dokumentierte Einsatz traf im November 2025 einen großen Franchisenehmer aus der Gastronomie in Südostasien. Mit der gleichnamigen Locky-Variante von 2016 hat sie laut Symantec nichts zu tun.
Auffällig ist das Vorgehen: Die Angreifer leiteten Daten vor der Verschlüsselung mit Rclone in einen Wasabi-Cloudspeicher aus und schalteten Sicherheitssoftware über den bösartigen Treiber Poortry (Abyssworker) ab – eine Bring-your-own-vulnerable-driver-Technik. Werkzeuge und Ausleitungsweg ähneln früheren Angriffen mit INC Ransomware; ob ehemalige INC-Partner hinter Osiris stehen oder die Methoden nur kopiert wurden, ist offen.
Aktuelle Einordnung: Nach einem Eintrag im März 2026 war die Leak-Site lange still. Am 11. November 2026 erschienen dort acht neue Opfer, darunter zwei aus Deutschland. Wir führen Osiris deshalb als aktiv (Stand: 12. November 2026). Die Nennungen stammen von der Leak-Site und sind nicht unabhängig bestätigt.
Aktiv
Unklar – ob Osiris als Partnerprogramm (RaaS) betrieben wird, ist laut Symantec nicht bekannt; Tracker führen die Gruppe als RaaS
Osiris Ransomware; nicht zu verwechseln mit der Locky-Variante „Osiris“ von 2016
Erster dokumentierter Einsatz im November 2025; erster Leak-Site-Eintrag im Dezember 2025
Nicht abschließend geklärt – Symantec sieht Überschneidungen mit früheren INC-Ransomware-Angriffen (gleiche Mimikatz-Variante kaz.exe, Ausleitung zu Wasabi)
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Fertigung, Gesundheitswesen, Technologie, Unternehmensdienstleistungen, Transport und Logistik, Gastronomie
Überwiegend USA; dazu Deutschland (zwei Einträge), Großbritannien, Indien, Philippinen und Südostasien
Öffentlich nicht beziffert
11 gelistete Opfer seit Dezember 2025, davon acht am 11. November 2026 (Stand: 12. November 2026)
.Osiris (angehängt, z. B. datei.txt.Osiris)
Osiris-MESSAGE.txt
Der Verschlüsseler arbeitet hybrid mit ECC und AES-128-CTR und einem eigenen AES-Schlüssel je Datei. Über Kommandozeilen-Optionen lassen sich Pfade, Teil- oder Vollverschlüsselung und das Abschalten von Hyper-V-VMs steuern. Vor der Verschlüsselung beendet er Datenbank-, Office- und Mailprozesse und stoppt Dienste wie VSS, Exchange, Veeam und Backup-Agenten.
Verschlüsselte Dateien erhalten die Endung .Osiris, die Erpressernotiz heißt Osiris-MESSAGE.txt und verweist auf einen Verhandlungschat. Begleitend nutzten die Angreifer den Treiber Poortry/Abyssworker, KillAV, Mimikatz, Rclone, Netscan, NetExec, MeshAgent und eine getarnte RustDesk-Version.
Osiris setzt darauf, die Sicherheitssoftware abzuschalten, bevor verschlüsselt wird. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und reagiert genau auf diese Vorboten: neu geladene Treiber, verstummte EDR-Sensoren, getarnte Fernwartungswerkzeuge und große Datenabflüsse in Cloudspeicher. Unsere Threat Intelligence beobachtet Leak-Sites und meldet, wenn Ihr Unternehmen oder Ihre Dienstleister dort auftauchen.
Ist der Ernstfall eingetreten, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederherstellung – und begleitet Sie durch die Meldepflichten nach DSGVO und NIS2.