Threat Intelligence

Sarcoma

In wenigen Monaten unter die drei aktivsten Gruppen weltweit aufgestiegen, 141 Opfer – darunter 17 im deutschsprachigen Raum. Seit März 2026 verstummt.

Kurz erklärt

Sarcoma tauchte im Oktober 2024 auf und gehörte binnen weniger Wochen zu den drei aktivsten Ransomware-Gruppen weltweit. Bis März 2026 kamen 141 Opfer in 35 Ländern zusammen – darunter zwölf deutsche Unternehmen, zwei österreichische und drei schweizerische. Getroffen wurden fast ausschließlich Mittelständler: Maschinenbauer, Zulieferer, Lebensmittelbetriebe, Ingenieurbüros, Softwarehersteller.

Das auffälligste Merkmal der Gruppe ist ihr Zeitversatz. Zwischen dem geschätzten Angriff und der Veröffentlichung auf der Leak-Site lagen im Schnitt rund 173 Tage – fast ein halbes Jahr. Wer im Frühjahr 2026 auf der Liste erschien, war teilweise schon im Sommer 2025 kompromittiert worden. Für Verteidiger heißt das: Eine Nennung ist kein Frühwarnsignal, sondern die Rechnung für einen längst geschehenen Einbruch.

Aktuelle Einordnung (September 2026): Seit dem 30. März 2026 ist kein neues Opfer mehr erschienen – rund fünf Monate Stille. Wir führen Sarcoma deshalb als historisch. Die Leak-Site ist zwar technisch noch erreichbar, neue Aktivität gibt es aber nicht. Erfahrungsgemäß verschwinden die Menschen hinter einer solchen Marke nicht, sondern arbeiten unter neuem Namen weiter – die hier beschriebenen Vorgehensweisen bleiben daher lehrreich.

Historisch

Modell

Ransomware-as-a-Service mit Partnern, eigene Tor-Leak-Site

Auch bekannt als

Sarcoma, Sarcoma Group

Gegründet

Debut im Oktober 2024 (erstes gelistetes Opfer am 9. Oktober 2024)

Entstanden aus

Keine belegte Vorgängergruppe. In Analysen werden technische Ähnlichkeiten zu älteren Familien wie Maze und Egregor diskutiert; das ist eine Hypothese, keine gesicherte Zuschreibung.

Herkunft

Nicht zugeordnet – eine belastbare nationale oder staatliche Zuschreibung existiert nicht

Zielsektoren

Professionelle Dienstleistungen (37 Opfer), Fertigung und Industrie (34), Land- und Lebensmittelwirtschaft (16), Technologie (11), Handel und E-Commerce (11); daneben Gesundheitswesen und Kanzleien

Zielregionen

35 Länder; rund die Hälfte der Opfer in den USA, starker europäischer Anteil. DACH: 12 Opfer in Deutschland, 2 in Österreich, 3 in der Schweiz.

Typisches Lösegeld

Öffentlich nicht einheitlich beziffert; Ziel waren überwiegend Unternehmen mit 1 bis 50 Mio. US-Dollar Umsatz, entsprechend fielen die Forderungen aus

Opferzahl

141 gelistete Opfer in 35 Ländern zwischen Oktober 2024 und März 2026 (Stand: 2. September 2026)

File Extensions

Berichtet wird .sarcoma; in einzelnen Proben wurde stattdessen eine zufällige Zeichenfolge angehängt – die Endung ist also kein verlässliches Alleinstellungsmerkmal

Ransom Note

Die Forderung wird als eingebettetes PDF abgelegt; berichtet werden Dateinamen wie FAIL_STATE_NOTIFICATION.pdf und SYSTEM.README.TXT

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Weit zurück suchen: Bei dieser Gruppe lagen zwischen Angriff und Veröffentlichung im Schnitt rund sechs Monate. Protokolle, Konten und Fernzugänge des gesamten zurückliegenden halben Jahres prüfen – nicht nur der letzten Tage.
  • Datenbankserver zuerst kontrollieren: unerwartet beendete SQL-Server- oder PostgreSQL-Dienste sind das typische Vorzeichen der Verschlüsselung.
  • Sicherungen offline schreibgeschützt trennen und prüfen – Schattenkopien und Windows-Sicherungen werden gezielt gelöscht.
  • Virtualisierung mitprüfen: Auf Linux- und ESXi-Systemen nach Aufrufen von vim-cmd und nach verschwundenen VM-Snapshots suchen.
  • Alle Zugangsdaten zurücksetzen, auch Dienst- und Servicekonten sowie die Zugänge externer IT-Dienstleister.
  • Umfang des Datenabflusses feststellen und Meldepflichten prüfen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
  • Incident Response aktivieren – auch dann, wenn die Nennung auf der Leak-Site sich auf einen länger zurückliegenden Vorfall bezieht.
⛔ Unbedingt vermeiden
  • Eine späte Nennung nicht als „alte Geschichte“ abtun – der Zugang der Angreifer kann noch bestehen, und die Meldefristen laufen ab Kenntnisnahme, nicht ab Angriffszeitpunkt.
  • Nicht nur nach der Endung .sarcoma suchen: In einzelnen Proben wurde stattdessen eine zufällige Zeichenfolge angehängt.
  • Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist – sonst bleibt der ursprüngliche Einstiegsweg unbekannt.
  • Backups nicht zurückspielen, solange nicht geklärt ist, ob die Angreifer noch Zugang haben.
  • Nicht vorschnell zahlen: keine Garantie für Entschlüsselung oder Löschung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Die eigene Verteidigung nicht auf diese eine Marke ausrichten – Sarcoma ist verstummt, die dahinterstehenden Personen und Vorgehensweisen sind es nicht.

Bekannte Angriffe

  • Unimicron (Taiwan, Februar 2025) – der bekannteste Fall: Die Gruppe behauptete, beim großen Leiterplattenhersteller rund 377 GB Datenbank- und Dokumentendaten erbeutet zu haben, und setzte eine Veröffentlichungsfrist. Das Unternehmen bestätigte einen Vorfall.
  • Deutschland (2025/26, Auswahl): unter anderem Einträge zu CAS Software, Elmos, Paul Hildebrandt, MACMA Werbeartikel, Pfullendorfer Tor-Systeme, Polstermöbel Oelsa, SRS-Stahl, FAKO-M Getränke und Wisper Reimer Ingenieure – ein Querschnitt durch den klassischen Mittelstand.
  • Österreich: gibGREINER und EP:Schuller.
  • Schweiz: B&J Rocket Sales, F1-Generation und RADIX.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site und sind nicht in jedem Einzelfall unabhängig bestätigt. Wegen des langen Zeitversatzes bezieht sich ein Eintrag häufig auf einen Angriff, der Monate zuvor stattfand.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Gültige, meist gestohlene Zugangsdaten – T1078
    • Exponierte Fernzugriffsdienste – T1133
    • Ausnutzung von Schwachstellen in von außen erreichbaren Anwendungen – T1190
    • Kompromittierung von Dienstleistern und Lieferketten – T1195
    • Phishing-Kampagnen – T1566
  • Aufklärung und Ausbreitung:
    • Passives Netzwerk-Scannen und ICMP-Abfragen statt lauter Portscans – dadurch fällt die Erkundung in der Überwachung kaum auf
    • Seitliche Bewegung über SMB-Freigaben und einfaches Dateikopieren – T1021.002, T1570
  • Vorbereitung der Verschlüsselung:
    • Abschalten von Datenbankdiensten – SQL Server und PostgreSQL – per PowerShell und WMIC, damit auch geöffnete Datenbankdateien verschlüsselt werden können – T1489
    • Löschen von Schattenkopien und Sicherungen über vssadmin und wbadmin – T1490
    • In Linux-Umgebungen: Auflisten von Snapshots virtueller Maschinen über das VMware-Werkzeug vim-cmd
  • Datendiebstahl und Auswirkung:
    • Ausleitung großer Datenbestände vor der Verschlüsselung – T1567
    • Mehrfädige Verschlüsselung mit hybridem Verfahren – T1486
  • Zeitprofil:
    • Vom Erstzugang bis zur Lösegeldforderung typischerweise 3 bis 7 Tage; bis zur Veröffentlichung auf der Leak-Site jedoch im Schnitt rund 173 Tage

Technologie & Malware

Verschlüsselung: Sarcoma setzt ein hybrides Verfahren ein. Berichtet werden zwei Varianten – ChaCha20 kombiniert mit RSA-4096 sowie AES-256 mit RSA-2048. Umgesetzt ist das mit der Programmbibliothek CryptoPP in einer mehrfädigen Architektur, was den Durchlauf über große Dateibestände stark beschleunigt.

Plattformen: Es existieren Fassungen für Windows und Linux. Die Linux-Variante fragt über das VMware-Werkzeug vim-cmd die Snapshots virtueller Maschinen ab – ein deutlicher Hinweis darauf, dass virtualisierte Serverlandschaften gezielt mitgenommen wurden.

Vorbereitung: Vor der Verschlüsselung werden per PowerShell und WMIC die Dienste von SQL Server und PostgreSQL beendet. Grund: Geöffnete Datenbankdateien lassen sich sonst nicht verschlüsseln. Anschließend löschen vssadmin und wbadmin Schattenkopien und Windows-Sicherungen.

Erpressernotiz: Ungewöhnlich ist die Ablage als eingebettetes PDF statt als Textdatei – berichtet werden Namen wie FAIL_STATE_NOTIFICATION.pdf.

Indicators of Compromise (IOCs)

  • Datei-Endung: .sarcoma (berichtet); in einzelnen Proben stattdessen eine zufällige Zeichenfolge – nicht allein darauf stützen
  • Erpressernotiz: eingebettetes PDF, berichtet als FAIL_STATE_NOTIFICATION.pdf beziehungsweise SYSTEM.README.TXT
  • Leak-Site (Tor): sarcomawmawlhov7o5mdhz4eszxxlkyaoiyiy2b5iwxnds2dmb4jakad.onion
  • Verhaltensindikator 1: Beenden der Dienste von SQL Server oder PostgreSQL per PowerShell/WMIC ohne Wartungsfenster
  • Verhaltensindikator 2: Aufrufe von vssadmin und wbadmin zum Löschen von Schattenkopien und Sicherungen
  • Verhaltensindikator 3: Aufzählen von VM-Snapshots über vim-cmd auf Linux-/ESXi-Systemen
  • Verhaltensindikator 4: auffällig ruhige Erkundung – passives Mitlesen und ICMP-Abfragen statt lauter Portscans
  • Indikatoren vor dem Blocken gegen aktuelle Threat-Intelligence-Quellen prüfen.

Was Unternehmen jetzt prüfen sollten

  • Wurden Sie zwischen Ende 2024 und Frühjahr 2026 auf der Leak-Site genannt? Dann liegt der eigentliche Einbruch im Schnitt rund ein halbes Jahr davor – prüfen Sie, ob damals genutzte Zugänge noch bestehen.
  • Sind alle Zugangsdaten, die zum Zeitpunkt eines möglichen Vorfalls gültig waren, inzwischen zurückgesetzt – einschließlich Dienst- und Servicekonten?
  • Alarmiert Ihre Überwachung, wenn Datenbankdienste (SQL Server, PostgreSQL) außerhalb eines Wartungsfensters beendet werden? Das ist die charakteristische Vorbereitung dieser Gruppe.
  • Werden Aufrufe von vssadmin und wbadmin zum Löschen von Sicherungen erkannt und gemeldet?
  • Sind Ihre Sicherungen unveränderlich oder offline – und wurde eine Wiederherstellung schon einmal geübt?
  • Haben Ihre IT-Dienstleister Zugriff auf Ihre Systeme? Sarcoma nutzte auch kompromittierte Dienstleister als Einstieg – prüfen Sie deren Zugänge und Absicherung.

Wie Argos unterstützt

Sarcoma ist ein Lehrstück für das eigentliche Problem: Der Angriff war längst passiert, bevor irgendjemand davon erfuhr – im Schnitt fast ein halbes Jahr vorher. Genau diese Lücke schließt das Cyber Defense Center von Argos Security mit einer 24/7-Überwachung, die auf Verhalten reagiert statt auf Veröffentlichungen: beendete Datenbankdienste ohne Wartungsfenster, gelöschte Schattenkopien, ungewohnte Anmeldungen, große Datenübertragungen nach außen.

Für Organisationen, die in dieser Zeit betroffen waren oder es sein könnten, prüfen wir im Rahmen einer Kompromittierungs-Analyse gezielt, ob damals angelegte Zugänge oder Hintertüren noch bestehen – denn die Menschen hinter einer verstummten Marke arbeiten meist unter neuem Namen weiter. Tritt ein Vorfall ein, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf und begleitet Meldepflichten und Kommunikation.