Threat Intelligence

Settra

Im Juni 2026 aufgetauchte Erpressergruppe, die mit gestohlenen VPN-Zugangsdaten einsteigt, EDR gezielt blind schaltet – und Deutschland bereits zu ihren Top-Zielländern zählt.

Kurz erklärt

Settra ist eine im Juni 2026 aufgetauchte, menschlich gesteuerte Erpressergruppe. Sie arbeitet nach dem Double-Extortion-Prinzip – Daten abziehen, Systeme verschlüsseln, Veröffentlichung androhen –, legt den Schwerpunkt der Erpressung aber stark auf die Veröffentlichung: Auf ihrer Tor-Leak-Site erscheinen keine kargen Einträge, sondern ausführliche, wie Enthüllungsberichte aufgemachte Texte über die Opfer. Ihre Selbstbeschreibung ist ungewöhnlich offen: Es gehe ausschließlich um Geld, man wähle weder Land noch Branche aus, sondern Organisationen mit ausnutzbaren Schwachstellen. Technisch fällt Settra dadurch auf, dass sie fast vollständig auf legitime Administrationswerkzeuge setzt und Schutzsoftware über einen verwundbaren Treiber ausschaltet. Bis Ende Juli 2026 listete die Gruppe rund 31 Opfer in zwölf Ländern – Deutschland liegt dabei bereits auf Platz zwei.

Aktiv

Modell

Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site

Auch bekannt als

SETTRA

Gegründet

Juni 2026

Entstanden aus

Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert.

Herkunft

Nicht eindeutig zugeordnet

Zielsektoren

Business Services und professionelle Dienstleistungen (Schwerpunkt), Technologie, Handel und E-Commerce, Fertigung, Agrar- und Lebensmittelwirtschaft sowie Consumer Services.

Zielregionen

Zwölf Länder (Stand: Juli 2026). Am stärksten betroffen sind die USA, gefolgt von <strong>Deutschland</strong> und dem Vereinigten Königreich; weitere Opfer in Kanada, Australien, Taiwan, Singapur, Südkorea und Portugal.

Typisches Lösegeld

Nicht öffentlich beziffert.

Opferzahl

Rund 31 gelistete Opfer in zwölf Ländern (Stand: Juli 2026), davon drei in Deutschland

File Extensions

Öffentlich nicht dokumentiert – eine Analyse des Verschlüsselers liegt bislang nicht vor.

Ransom Note

Öffentlich nicht dokumentiert; Verhandlungen laufen über den verschlüsselten Messenger Tox.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren (LAN/WLAN trennen), aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response aktivieren und ein spezialisiertes Team einbinden; parallel Krisenstab und Geschäftsführung informieren.
  • VPN- und Fernzugänge sofort sperren und alle Zugangsdaten zurücksetzen, MFA erzwingen – Settra steigt typischerweise über gestohlene VPN-Konten ein.
  • Nach Manipulationen an der Endpunktsicherheit suchen: kurzzeitig ausgefallene EDR-Agenten, neu geladene Treiber und gelöschte Ereignisprotokolle sind starke Indikatoren.
  • Backups schützen: Sicherungssysteme umgehend vom Netz trennen und auf Integrität sowie Wiederherstellbarkeit prüfen, bevor etwas zurückgespielt wird.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung an die zuständige Behörde binnen 24 Stunden; Strafanzeige bei Polizei/ZAC erwägen.
⛔ Unbedingt vermeiden
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Sich nicht darauf verlassen, dass ein „grüner“ EDR-Status Entwarnung bedeutet – Settra schaltet die Endpunktsicherheit gezielt blind.
  • Keine eigenständige Zahlung des Lösegelds ohne juristische, forensische und ggf. behördliche Abstimmung – eine Entschlüsselung ist nicht garantiert.
  • Nicht über den Tox-Kanal der Gruppe auf eigene Faust verhandeln; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass die Angreifer keinen Zugang mehr haben.
  • Vorfall und Kommunikation nicht verharmlosen oder verzögern – Melde- und Informationspflichten (DSGVO, NIS2) laufen ab Kenntnis.

Bekannte Angriffe

  • Deutschland: Menlo Systems, Hersteller optischer Präzisionsmesstechnik (Juli 2026); bergdemo.com (Juli 2026); orion4value.com (Juni 2026).
  • International (Auswahl): PChome Online (Taiwan), Owensboro Grain Company, Orion Registrar, Total Monitoring Services.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site von Settra und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Kompromittierte VPN-Zugangsdaten, häufig aus Infostealer-Infektionen – T1078 (Valid Accounts)
    • Externe Fernzugriffsdienste – T1133 (External Remote Services)
  • Erkundung:
    • Netzwerk-Scans mit NetExec (nxc) und Netscan – T1046 (Network Service Discovery)
  • Zugangsdaten:
    • Auslesen von Anmeldeinformationen mit Procdump und Mimikatz – T1003 (OS Credential Dumping)
  • Verteidigungsumgehung:
    • Abschalten von EDR über ein eigenes Werkzeug (edr_blind) – T1562 (Impair Defenses)
    • Missbrauch eines verwundbaren signierten Treibers (STProcessMonitor_v114.sys, BYOVD) – T1211 / T1068
    • Manuelles Löschen der Windows-Ereignisprotokolle – T1070.001 (Clear Windows Event Logs)
  • Laterale Bewegung:
    • PAExec und NetExec mit erbeuteten Zugangsdaten – T1021 (Remote Services)
  • Persistenz:
    • Installation des Fernwartungswerkzeugs Mesh Agent – T1219 (Remote Access Software)
  • Exfiltration & Auswirkung:
    • Datenabfluss vor der Verschlüsselung – T1567 (Exfiltration Over Web Service)
    • Datenverschlüsselung – T1486 (Data Encrypted for Impact)

Technologie & Malware

Settra verzichtet weitgehend auf eigene Schadsoftware und arbeitet mit legitimen Administrationswerkzeugen – ein Vorgehen, das als „Living off the Land“ bekannt ist und klassische Virenerkennung weitgehend ins Leere laufen lässt. Zum Einsatz kommen NetExec und Netscan zur Netzerkundung, Procdump und Mimikatz zum Abgreifen von Anmeldeinformationen sowie PAExec für die laterale Bewegung. Zur Umgehung der Endpunktsicherheit nutzt die Gruppe ein Werkzeug namens edr_blind in Kombination mit dem verwundbaren, aber signierten Treiber STProcessMonitor_v114.sys (Bring Your Own Vulnerable Driver); anschließend werden Windows-Ereignisprotokolle manuell gelöscht. Für dauerhaften Zugriff wird der Mesh Agent installiert. Details zum Verschlüsseler selbst – Algorithmus, Datei-Endung, Erpressernotiz – sind öffentlich bislang nicht dokumentiert.

Indicators of Compromise (IOCs)

  • Tor-Leak-Site: Onion-Adresse beginnend mit settra5ldqwgtw5q7z5awbsvlksakyfojuc5slgrz5lvapune4fantqd
  • Verwundbarer Treiber: STProcessMonitor_v114.sys (BYOVD-Missbrauch)
  • Werkzeug zum Abschalten der Endpunktsicherheit: edr_blind
  • Auffällige Werkzeuge im Netz: NetExec (nxc), Netscan, PAExec, Procdump, Mimikatz, Mesh Agent
  • Verhandlungskanal: Tox-Messenger
  • Weitergehende technische Indikatoren bitte über etablierte Threat-Intelligence-Quellen beziehen und vor dem Blocken verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Ist jeder VPN- und Fernzugang durch Multi-Faktor-Authentifizierung abgesichert, und werden VPN-Anmeldungen aus untypischen Regionen oder zu untypischen Zeiten alarmiert?
  • Ist das Laden nicht benötigter oder bekannt verwundbarer Treiber unterbunden (z. B. über die Microsoft-Sperrliste für verwundbare Treiber / HVCI)?
  • Werden Administrationswerkzeuge wie PsExec/PAExec, NetExec, Netscan, Procdump und Mimikatz im Netz erkannt und als Alarm behandelt, auch wenn sie „legitim“ sind?
  • Wird das Löschen von Windows-Ereignisprotokollen zentral erkannt – und werden Logs so ausgeleitet, dass sie lokal nicht gelöscht werden können?
  • Sind Fernwartungs-Agenten (RMM) inventarisiert, und fällt ein neu installierter Agent wie Mesh Agent sofort auf?
  • Existieren unveränderliche (immutable) oder offline gehaltene Backups, die regelmäßig auf Wiederherstellbarkeit getestet werden?

Wie Argos unterstützt

Gegen eine Gruppe, die mit legitimen Werkzeugen arbeitet und EDR gezielt ausschaltet, hilft kein Produkt allein – sondern kontinuierliche Beobachtung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt genau die Muster, die Settra hinterlässt: ungewöhnliche VPN-Anmeldungen, Netzwerk-Scans mit Admin-Tools, das Nachladen verwundbarer Treiber, das Löschen von Ereignisprotokollen und neu auftauchende Fernwartungs-Agenten. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen, betroffene Systeme zu isolieren und die Wiederherstellung zu koordinieren. Ergänzend härten wir Identitäts- und Fernzugriffsinfrastruktur und richten Treiber-Sperrlisten sowie manipulationssichere Protokollierung ein.