Threat Intelligence

SpaceBears

Double-Extortion-Gruppe aus dem Phobos-Umfeld, die sich mit betont seriöser „Corporate“-Leak-Site inszeniert – und regelmäßig deutschen Mittelstand trifft.

Kurz erklärt

SpaceBears (auch „Space Bears“) ist eine seit April 2024 aktive Erpressergruppe, die auf der Infrastruktur der Phobos-Ransomware-as-a-Service-Familie aufsetzt. Auffällig ist ihr Auftritt: Die Leak-Site ist bewusst wie die Website eines Unternehmens gestaltet – mit Stockfotos, Büro-Optik und geschäftsmäßiger Sprache –, um Opfer unter psychologischen Druck zu setzen. Inhaltlich handelt es sich um klassische Double Extortion: Daten werden abgezogen, Systeme verschlüsselt und die Veröffentlichung angedroht. Bis Juli 2026 listete SpaceBears rund 145 Opfer in über 40 Ländern. Für die DACH-Region ist die Gruppe besonders relevant: Deutschland gehört zu den am häufigsten betroffenen Ländern, hinzu kommen Fälle in der Schweiz.

Aktiv

Modell

Double-Extortion-Ransomware auf Basis der Phobos-RaaS-Infrastruktur

Auch bekannt als

Space Bears

Gegründet

April 2024

Entstanden aus

Partner-/Affiliate-Umfeld der Phobos-Ransomware-as-a-Service-Familie

Herkunft

Nicht eindeutig zugeordnet; die zugrunde liegende Phobos-Linie wird dem russischsprachigen Cybercrime-Umfeld zugerechnet

Zielsektoren

Professionelle Dienstleistungen (Schwerpunkt), Technologie und IT, produzierendes Gewerbe, Gesundheitswesen sowie Handel und E-Commerce.

Zielregionen

Weltweit in über 40 Ländern. Am häufigsten betroffen sind die USA, gefolgt von Italien, Deutschland und Spanien. Die DACH-Region ist überdurchschnittlich vertreten: Deutschland zählt zu den Top-3-Zielländern der Gruppe, hinzu kommen Fälle in der Schweiz.

Typisches Lösegeld

Nicht öffentlich beziffert.

Opferzahl

Rund 145 gelistete Opfer in über 40 Ländern (Stand: Juli 2026), davon acht in Deutschland

File Extensions

Phobos-Linie – verschlüsselte Dateien tragen je nach Variante Endungen wie .phobos, .8base, .elbie, .faust oder .LIZARD. Eine exklusiv SpaceBears zugeordnete Endung ist öffentlich nicht dokumentiert.

Ransom Note

Phobos-typische Notizen (u. a. info.txt und info.hta); eine SpaceBears-eigene Notiz ist öffentlich nicht dokumentiert.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren (LAN/WLAN trennen), aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response aktivieren und ein spezialisiertes Team einbinden; parallel Krisenstab und Geschäftsführung informieren.
  • Alle Fernzugänge (RDP, VPN, RMM) sofort schließen bzw. sperren und sämtliche Zugangsdaten zurücksetzen – die Phobos-Linie steigt typischerweise genau dort ein.
  • Backups schützen: Sicherungssysteme umgehend vom Netz trennen und auf Integrität sowie Wiederherstellbarkeit prüfen, bevor etwas zurückgespielt wird.
  • Beweise sichern: Erpressernotiz, verschlüsselte Beispieldateien, RDP- und Anmelde-Logs sowie Zeitpunkte dokumentieren.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung an die zuständige Behörde binnen 24 Stunden; Strafanzeige bei Polizei/ZAC erwägen.
⛔ Unbedingt vermeiden
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine eigenständige Zahlung des Lösegelds ohne juristische, forensische und ggf. behördliche Abstimmung – eine Entschlüsselung ist nicht garantiert.
  • Sich nicht von der betont seriösen Aufmachung der Leak-Site zu einer „geschäftsmäßigen“ Direktverhandlung verleiten lassen; Kommunikation ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass die Angreifer keinen Zugang mehr haben.
  • RDP nach dem Vorfall nicht wieder unverändert ins Internet stellen – ohne MFA und Netzsegmentierung folgt der nächste Angriff.
  • Vorfall und Kommunikation nicht verharmlosen oder verzögern – Melde- und Informationspflichten (DSGVO, NIS2) laufen ab Kenntnis.

Bekannte Angriffe

  • Deutschland: Lösing Filtertechnik, Filtrationsspezialist (Juni 2026); Geske Haus- und Versorgungstechnik GmbH (Juni 2026); Wagner Metal Concept, Metallverarbeitung (Februar 2026); PrintForm (Februar 2026).
  • Schweiz: Filabé (Mai 2026).
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site von SpaceBears und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Brute-Force gegen exponierte RDP-Dienste – T1110 (Brute Force)
    • Externe Fernzugriffsdienste – T1133 (External Remote Services)
    • Phishing – T1566 (Phishing)
  • Persistenz:
    • Installation von Fernwartungs-/RMM-Werkzeugen – T1219 (Remote Access Software)
  • Rechteausweitung & Zugangsdaten:
    • Auslesen von Anmeldeinformationen aus dem LSASS-Prozess – T1003 (OS Credential Dumping)
  • Verteidigungsumgehung:
    • Deaktivieren von Schutzmechanismen – T1562 (Impair Defenses)
  • Laterale Bewegung:
    • Ausbreitung über RDP und SMB – T1021 (Remote Services)
  • Exfiltration:
    • Datenabfluss vor der Verschlüsselung – T1567 (Exfiltration Over Web Service)
  • Auswirkung:
    • Löschen von Schattenkopien und Sicherungen – T1490 (Inhibit System Recovery)
    • Datenverschlüsselung – T1486 (Data Encrypted for Impact)

Technologie & Malware

SpaceBears setzt auf Verschlüsseler der Phobos-Familie, die Dateien mit AES-256 im CBC-Modus verschlüsseln und alle lokal erreichbaren Laufwerke systematisch durchlaufen. Der Einstieg erfolgt in dieser Linie typischerweise über Brute-Force gegen exponiertes RDP oder über Phishing; anschließend werden Fernwartungswerkzeuge für dauerhaften Zugriff installiert, Schutzmechanismen abgeschaltet und Schattenkopien gelöscht. Besonderes Merkmal der Gruppe ist die Erpressungsseite: Sie ist im Stil einer regulären Unternehmenswebsite aufgebaut – inklusive geschäftsmäßiger Ansprache und Kontaktformular – und soll Opfern eine „professionelle“ Verhandlungssituation suggerieren.

Indicators of Compromise (IOCs)

  • Tor-Leak-Site der Gruppe (Onion-Adresse beginnend mit 5butbkrljkaorg5maepuca25oma7eiwo6a2rlhvkblb4v6mf3ki2ovid), im Stil einer Unternehmenswebsite gestaltet
  • Phobos-typische Datei-Endungen (u. a. .phobos, .8base, .elbie, .faust, .LIZARD) und Notizen info.txt / info.hta
  • Auffällige Brute-Force-Muster gegen RDP (Port 3389) aus dem Internet
  • Neu installierte, nicht inventarisierte Fernwartungswerkzeuge auf Servern
  • Weitergehende technische Indikatoren bitte über etablierte Threat-Intelligence-Quellen beziehen und vor dem Blocken verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Ist RDP aus dem Internet vollständig unerreichbar oder ausschließlich über VPN mit Multi-Faktor-Authentifizierung nutzbar?
  • Werden fehlgeschlagene Anmeldeversuche in großer Zahl (Brute Force / Password Spraying) automatisiert erkannt, alarmiert und geblockt?
  • Existieren unveränderliche (immutable) oder offline gehaltene Backups, die getrennt vom produktiven Active Directory verwaltet und regelmäßig auf Wiederherstellbarkeit getestet werden?
  • Sind Fernwartungswerkzeuge (RMM) im Netz inventarisiert, und werden unbekannte oder neu installierte Remote-Tools als Alarm behandelt?
  • Ist das Netz so segmentiert, dass ein kompromittierter Arbeitsplatz nicht direkt Server-, Backup- und Produktionsbereiche erreicht?

Wie Argos unterstützt

Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt die typischen Vorstufen eines SpaceBears-Angriffs – etwa Brute-Force-Wellen gegen RDP, erfolgreiche Anmeldungen aus untypischen Regionen, neu installierte Fernwartungswerkzeuge oder das Löschen von Schattenkopien –, bevor die Verschlüsselung startet. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen, Systeme zu isolieren und die Wiederherstellung zu koordinieren. Ergänzend prüfen und härten wir Ihre Fernzugriffs- und Backup-Architektur gezielt gegen die Einstiegswege der Phobos-Linie.