Settra ist eine im Juni 2026 aufgetauchte, menschlich gesteuerte Erpressergruppe. Sie arbeitet nach dem Double-Extortion-Prinzip – Daten abziehen, Systeme verschlüsseln, Veröffentlichung androhen –, legt den Schwerpunkt der Erpressung aber stark auf die Veröffentlichung: Auf ihrer Tor-Leak-Site erscheinen keine kargen Einträge, sondern ausführliche, wie Enthüllungsberichte aufgemachte Texte über die Opfer. Ihre Selbstbeschreibung ist ungewöhnlich offen: Es gehe ausschließlich um Geld, man wähle weder Land noch Branche aus, sondern Organisationen mit ausnutzbaren Schwachstellen. Technisch fällt Settra dadurch auf, dass sie fast vollständig auf legitime Administrationswerkzeuge setzt und Schutzsoftware über einen verwundbaren Treiber ausschaltet. Bis Ende Juli 2026 listete die Gruppe rund 31 Opfer in zwölf Ländern – Deutschland liegt dabei bereits auf Platz zwei.
Aktiv
Menschlich gesteuerte Double-Extortion-Ransomware mit Tor-Leak-Site
SETTRA
Juni 2026
Nicht zugeordnet – eine belegte Vorgängergruppe ist öffentlich nicht dokumentiert.
Nicht eindeutig zugeordnet
Business Services und professionelle Dienstleistungen (Schwerpunkt), Technologie, Handel und E-Commerce, Fertigung, Agrar- und Lebensmittelwirtschaft sowie Consumer Services.
Zwölf Länder (Stand: Juli 2026). Am stärksten betroffen sind die USA, gefolgt von <strong>Deutschland</strong> und dem Vereinigten Königreich; weitere Opfer in Kanada, Australien, Taiwan, Singapur, Südkorea und Portugal.
Nicht öffentlich beziffert.
Rund 31 gelistete Opfer in zwölf Ländern (Stand: Juli 2026), davon drei in Deutschland
Öffentlich nicht dokumentiert – eine Analyse des Verschlüsselers liegt bislang nicht vor.
Öffentlich nicht dokumentiert; Verhandlungen laufen über den verschlüsselten Messenger Tox.
Settra verzichtet weitgehend auf eigene Schadsoftware und arbeitet mit legitimen Administrationswerkzeugen – ein Vorgehen, das als „Living off the Land“ bekannt ist und klassische Virenerkennung weitgehend ins Leere laufen lässt. Zum Einsatz kommen NetExec und Netscan zur Netzerkundung, Procdump und Mimikatz zum Abgreifen von Anmeldeinformationen sowie PAExec für die laterale Bewegung. Zur Umgehung der Endpunktsicherheit nutzt die Gruppe ein Werkzeug namens edr_blind in Kombination mit dem verwundbaren, aber signierten Treiber STProcessMonitor_v114.sys (Bring Your Own Vulnerable Driver); anschließend werden Windows-Ereignisprotokolle manuell gelöscht. Für dauerhaften Zugriff wird der Mesh Agent installiert. Details zum Verschlüsseler selbst – Algorithmus, Datei-Endung, Erpressernotiz – sind öffentlich bislang nicht dokumentiert.
Gegen eine Gruppe, die mit legitimen Werkzeugen arbeitet und EDR gezielt ausschaltet, hilft kein Produkt allein – sondern kontinuierliche Beobachtung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt genau die Muster, die Settra hinterlässt: ungewöhnliche VPN-Anmeldungen, Netzwerk-Scans mit Admin-Tools, das Nachladen verwundbarer Treiber, das Löschen von Ereignisprotokollen und neu auftauchende Fernwartungs-Agenten. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen, betroffene Systeme zu isolieren und die Wiederherstellung zu koordinieren. Ergänzend härten wir Identitäts- und Fernzugriffsinfrastruktur und richten Treiber-Sperrlisten sowie manipulationssichere Protokollierung ein.