Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

PayoutsKing

Von ehemaligen Black-Basta-Leuten betrieben – mit der bekannten Masche aus Spam-Welle, gefälschtem Teams-Support und Fernzugriff, inzwischen mit 15 deutschen Opfern.

Vorfall melden
Kurz erklärt

PayoutsKing ist eine 2025 aufgetauchte Ransomware-Gruppe, die nach Analyse von Zscaler ThreatLabz von ehemaligen Black-Basta-Partnern betrieben wird – jener Operation, die sich Anfang 2025 nach dem Leak interner Chatprotokolle auflöste. Das erklärt die Handschrift: Erst werden Postfächer mit Spam überflutet, dann meldet sich der vermeintliche IT-Support über Microsoft Teams und bringt die Betroffenen dazu, per Windows-Schnellhilfe (Quick Assist) Fernzugriff zu gewähren.

Der Verschlüsseler ist technisch solide gebaut und auf Tarnung ausgelegt: Er versteckt seine Zeichenketten, löst Systemfunktionen über Hashwerte auf, ruft Windows-Funktionen direkt auf, um Überwachung zu umgehen, und führt eine Liste von 131 Sicherheitsprozessen, die er zu beenden versucht. Deutschland gehört fest zum Zielspektrum: Rund 15 der bislang gut 100 gelisteten Opfer stammen aus der DACH-Region.

Aktiv

Modell

Menschlich gesteuerte Double-Extortion-Ransomware mit großem Datendiebstahl und selektiver Verschlüsselung; eigene Tor-Leak-Site.

Auch bekannt als

Payouts King, Payoutsking

Gegründet

April 2025

Entstanden aus

Ehemalige Partner der Black-Basta-Operation, die sich im Februar 2025 nach dem Leak interner Chatprotokolle auflöste (Analyse Zscaler ThreatLabz).

Herkunft

Nicht eindeutig zugeordnet; Umfeld der ehemaligen, russischsprachigen Black-Basta-Operation

Zielsektoren

Fertigung und Maschinenbau, Elektrotechnik, Bau, Handel, Versorger, Lebensmittelindustrie sowie professionelle Dienstleistungen.

Zielregionen

USA, Vereinigtes Königreich, <strong>Deutschland</strong> und Irland als Schwerpunkte; insgesamt rund elf betroffene Länder.

Typisches Lösegeld

Nicht öffentlich beziffert; Verhandlung individuell über ein Tor-Portal.

Opferzahl

106 gelistete Opfer in elf Ländern (Stand: 3. August 2026), davon rund 15 in Deutschland

File Extensions

.ZWIAAW

Ransom Note

readme_locker.txt (wird auf dem Desktop abgelegt)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Laufende Fernwartungssitzungen sofort beenden – insbesondere Quick Assist – und prüfen, wer sie wann gestartet hat.
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Belegschaft sofort warnen: Die Spam- und Teams-Welle läuft in der Regel weiter und zielt auf weitere Personen.
  • Incident Response aktivieren; Zugangsdaten der betroffenen Personen und aller erreichbaren Administratorkonten zurücksetzen, Sitzungen widerrufen, MFA erzwingen.
  • Endpunktsicherheit prüfen: Reihenweise beendete Schutzprozesse und fehlende Protokolle sind ein starkes Indiz für den bereits erfolgten Zugriff. Backups sofort vom Netz trennen und prüfen.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
⛔ Unbedingt vermeiden
  • Betroffenen Beschäftigten keine Schuld zuweisen – die Teams-Nachricht sieht nach interner IT aus. Angst vor Vorwürfen verzögert die nächste Meldung und kostet Zeit, die im Ernstfall fehlt.
  • Sich nicht auf einen „grünen“ Status der Endpunktsicherheit verlassen – die Schadsoftware beendet gezielt Schutzprozesse.
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine eigenständige Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung – eine Entschlüsselung ist nicht garantiert.
  • Nicht auf eigene Faust verhandeln; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass kein Fernzugang der Angreifer mehr besteht.

Bekannte Angriffe

  • Deutschland (Auswahl laut Leak-Site): V. FRAAS, Klüber Elektroanlagenbau, Aero-Coating, Vereinigte Stadtwerke, Rameder, Bär Cargolift.
  • International: Del Monte Foods (US-Lebensmittelkonzern, Erpressung Ende April 2026 öffentlich gemacht) sowie SCS Engineers; weitere Opfer im Vereinigten Königreich und in Irland.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Massenhafter Spam-Versand gegen Postfächer als Vorbereitung – T1566 (Phishing)
    • Kontaktaufnahme über Microsoft Teams im Namen der IT-Abteilung – T1566.003 (Spearphishing via Service)
    • Fernzugriff über die vom Opfer gestartete Windows-Schnellhilfe – T1219 (Remote Access Software)
  • Verteidigungsumgehung:
    • Verschleierung von Zeichenketten auf dem Stack und Auflösung von Systemfunktionen über Hashwerte – T1027 (Obfuscated Files or Information)
    • Direkte Systemaufrufe zur Umgehung von Überwachungshaken der Sicherheitssoftware – T1106 (Native API)
    • Beenden von 131 gelisteten Prozessen gängiger Sicherheitslösungen, darunter CrowdStrike, Microsoft Defender und SentinelOne – T1562.001 (Impair Defenses)
  • Exfiltration & Auswirkung:
    • Ausleitung großer Datenmengen vor der Verschlüsselung – T1567
    • Verschlüsselung mit RSA-4096 und AES-256 im Zählermodus, Endung .ZWIAAW – T1486 (Data Encrypted for Impact)

Technologie & Malware

Der Verschlüsseler kombiniert RSA mit 4.096 Bit für den Schlüsselschutz und AES mit 256 Bit im Zählermodus (CTR) für die Dateien; pro Datei wird ein eigener Zufallsschlüssel erzeugt. Verschlüsselte Dateien erhalten die Endung .ZWIAAW; die Erpressernotiz readme_locker.txt landet auf dem Desktop – allerdings nur, wenn der Angreifer den entsprechenden Startparameter setzt, was die Analyse erschwert.

Auffällig ist der Aufwand zur Tarnung: Zeichenketten werden erst zur Laufzeit auf dem Stack zusammengesetzt, Systemfunktionen über Hashwerte aufgelöst und Windows-Funktionen direkt aufgerufen, um die Überwachungshaken von Sicherheitsprodukten zu umgehen. Kann eine Datei nicht geöffnet werden, gleicht die Schadsoftware die blockierenden Prozesse mit einer Liste von 131 Sicherheitsprodukten ab und versucht, sie zu beenden. Der Zugang selbst kommt ohne Schadsoftware aus: Er wird über die legitime Windows-Schnellhilfe hergestellt.

Indicators of Compromise (IOCs)

  • Datei-Endung: .ZWIAAW
  • Erpressernotiz: readme_locker.txt (auf dem Desktop)
  • Verhaltensindikatoren: plötzliche Spam-Welle auf mehrere Postfächer, externe Teams-Kontakte mit Support-Bezug, gestartete Quick-Assist-Sitzungen, reihenweise beendete Sicherheitsprozesse
  • Verschlüsselung: RSA-4096 in Kombination mit AES-256-CTR
  • Zwei SHA256-Beispiel-Hashes sind in der Analyse von Zscaler ThreatLabz dokumentiert; Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Können externe Konten Ihre Beschäftigten über Microsoft Teams direkt anschreiben – oder ist die externe Kommunikation auf freigegebene Domänen beschränkt?
  • Ist die Windows-Schnellhilfe (Quick Assist) gesperrt oder auf freigegebene Fälle beschränkt, sofern sie nicht betrieblich benötigt wird?
  • Wissen Ihre Beschäftigten, dass eine plötzliche Spam-Welle ein Angriffsvorbote sein kann – und wohin sie das melden?
  • Ist der Manipulationsschutz Ihrer Endpunktsicherheit aktiv, und löst das Beenden von Sicherheitsprozessen einen Alarm aus?
  • Werden Protokolle so ausgeleitet, dass sie auf dem betroffenen System nicht gelöscht werden können?
  • Existieren unveränderliche oder offline gehaltene Backups, deren Wiederherstellung regelmäßig getestet wird?

Wie Argos unterstützt

Gegen diese Angriffskette hilft eine Kombination aus Vorbereitung und Beobachtung. Argos Security trainiert das Szenario – Spam-Welle, Teams-Nachricht vom vermeintlichen Support, Bitte um Fernzugriff – in Awareness-Maßnahmen und Notfallübungen und etabliert einen belastbaren Meldeweg. Das Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt die technischen Spuren: gestartete Schnellhilfe-Sitzungen, externe Teams-Kontakte, beendete Sicherheitsprozesse, gelöschte Protokolle und ungewöhnliche Datenausleitungen. Kommt es zum Ernstfall, dämmt unser Incident-Response-Team den Angriff kurzfristig per Fernzugriff ein, sichert Beweise und koordiniert Wiederherstellung sowie Meldepflichten.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →