RansomHouse ist eine der langlebigsten Erpressergruppen überhaupt: seit 2021 aktiv, über 200 gelistete Opfer in 48 Ländern – und das ohne die sonst üblichen Rebrands nach einer Zerschlagung. Begonnen hat die Gruppe als reiner Marktplatz für gestohlene Daten, mit der Behauptung, selbst gar nicht zu verschlüsseln. Diese Selbstdarstellung ist längst überholt: Heute betreibt RansomHouse ein vollwertiges Partnerprogramm mit eigener Verschlüsselungs-Schadsoftware.
Der Angriff zielt auf die Virtualisierung. Statt hunderte Einzelrechner zu verschlüsseln, übernimmt die Gruppe die VMware-ESXi-Hosts und legt dort ein eigenes Steuerprogramm namens MrAgent ab: Es schaltet die Host-Firewall ab, meldet sich bei den Angreifern zurück und startet die Verschlüsselung aller virtuellen Maschinen auf einmal. Für Betroffene bedeutet das den Ausfall der gesamten Serverlandschaft binnen Minuten – einschließlich der Systeme, mit denen man den Vorfall bearbeiten würde.
Ende 2025 hat die Gruppe ihren Verschlüsseler grundlegend überarbeitet. Statt einer einfachen, gleichmäßigen Verschlüsselung arbeitet die neue Fassung zweistufig mit zwei Schlüsseln und wechselnden Blockgrößen. Praktische Folge: Teilrettungen von Dateien und Versuche, Schlüssel aus dem Arbeitsspeicher zu rekonstruieren, laufen ins Leere. Wer keine funktionierenden, getrennt aufbewahrten Backups hat, hat nach einem RansomHouse-Angriff faktisch keine technische Option mehr.
Aktiv
Ransomware-as-a-Service mit Partnerprogramm; Leak-Site, Verhandlungsportal und ein eigener „Datenmarkt“ für nicht bezahlte Vorfälle
RansomHouse, Ransom House; die eingesetzten Verschlüsseler laufen unter den Namen Mario und Mario ESXi, die frühe Linie als White Rabbit. Sicherheitsforscher führen den Betreiber als „Jolly Scorpius“.
Erste Opfer ab Mitte 2021, öffentliche Leak-Site seit Dezember 2021
Keine belegte Vorgängergruppe. Die Gruppe startete als reiner Marktplatz für gestohlene Daten und behauptete, selbst nicht zu verschlüsseln; später kam eigene Verschlüsselungs-Schadsoftware hinzu. Zeitweise wurden Daten aus fremden Vorfällen mitvermarktet.
Nicht abschließend zugeordnet – russischsprachiges Umfeld wird angenommen, eine belastbare staatliche oder nationale Zuschreibung existiert nicht
Gesundheitswesen, Finanz- und Versicherungsdienstleister, Transport und Logistik, Regierung und Verwaltung, Fertigung, Handel, Technologie
48 Länder weltweit; Schwerpunkte Nordamerika und Europa. DACH-Bezug belegt: mehrere deutsche Opfer sowie je Einträge in Österreich und der Schweiz.
Öffentlich nicht einheitlich beziffert – die Forderungen richten sich nach Unternehmensgröße und Umfang der erbeuteten Daten; berichtet werden sechs- bis siebenstellige US-Dollar-Beträge
206 gelistete Opfer in 48 Ländern seit 2021; letztes gelistetes Opfer am 1. September 2026 (Stand: 2. September 2026)
.scrypt (dokumentiert für die frühe White-Rabbit-Linie); für den Mario-Verschlüsseler ist keine einheitliche öffentliche Endungsangabe belegt
How To Restore Your Files.txt (Mario); in der White-Rabbit-Linie zusätzlich je Datei eine Notiz nach dem Muster [Dateiname].scrypt.txt
MrAgent – die Steuerkomponente: Ein eigens für VMware ESXi geschriebenes Programm, das auf dem Hypervisor selbst läuft. Es hält eine Verbindung zum Steuerserver der Angreifer, deaktiviert die Host-Firewall, sammelt Host-Kennungen und IP-Adressen und nimmt Befehle entgegen, um die Verschlüsselung auf mehreren Hosts gleichzeitig auszulösen. Teile des Codes sind mit Füllcode verschleiert.
Mario – der Verschlüsseler: Existiert in einer ursprünglichen und einer Ende 2025 überarbeiteten Fassung. Die alte Version arbeitete linear mit einer festen Blockgröße von 0xA00000. Die neue Version verschlüsselt zweistufig mit zwei Schlüsseln – einem primären mit 32 Byte und einem sekundären mit 8 Byte –, wählt Blockgrößen dynamisch bis zu 8 GB und verschlüsselt gezielt einzelne Abschnitte großer Dateien statt durchgängig.
Warum das für Betroffene zählt: Durch die zweistufige Verarbeitung mit wechselnden Blockgrößen sind Teilrettungen einzelner Dateiabschnitte und die Rekonstruktion von Schlüsseln aus dem Arbeitsspeicher praktisch ausgeschlossen. Was früher gelegentlich forensisch zu retten war, ist heute verloren. Die Verteidigung muss deshalb vor der Verschlüsselung greifen – danach entscheidet allein die Qualität der Backups.
White Rabbit: Die frühe Linie (2021/22) verschlüsselte mit Endung .scrypt und legte je Datei eine eigene Notiz ab. Sie wird derselben Struktur zugerechnet.
Bei RansomHouse entscheidet sich der Schaden auf der Virtualisierungsebene – und genau dort schauen die meisten Sicherheitswerkzeuge nicht hin. Das Cyber Defense Center von Argos Security bindet Hypervisoren und Verwaltungssysteme ausdrücklich in die 24/7-Überwachung ein und alarmiert bei den Vorboten dieses Angriffs: abgeschaltete Host-Firewalls, unbekannte dauerhafte Prozesse auf ESXi, ungewöhnliche SSH-Anmeldungen, große Datenübertragungen nach außen.
Da eine Entschlüsselung ohne Schlüssel bei der neuen Fassung des Verschlüsselers praktisch ausgeschlossen ist, prüfen wir im Rahmen unserer Vorbereitungsleistungen gezielt, ob Ihre Sicherungen den Angriff überleben würden – also unveränderlich, getrennt und wiederherstellbar sind. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik und den geordneten Wiederanlauf der Virtualisierung und begleitet Meldepflichten und Krisenkommunikation.