SpaceBears (auch „Space Bears“) ist eine seit April 2024 aktive Erpressergruppe, die auf der Infrastruktur der Phobos-Ransomware-as-a-Service-Familie aufsetzt. Auffällig ist ihr Auftritt: Die Leak-Site ist bewusst wie die Website eines Unternehmens gestaltet – mit Stockfotos, Büro-Optik und geschäftsmäßiger Sprache –, um Opfer unter psychologischen Druck zu setzen. Inhaltlich handelt es sich um klassische Double Extortion: Daten werden abgezogen, Systeme verschlüsselt und die Veröffentlichung angedroht. Bis Juli 2026 listete SpaceBears rund 145 Opfer in über 40 Ländern. Für die DACH-Region ist die Gruppe besonders relevant: Deutschland gehört zu den am häufigsten betroffenen Ländern, hinzu kommen Fälle in der Schweiz.
Aktiv
Double-Extortion-Ransomware auf Basis der Phobos-RaaS-Infrastruktur
Space Bears
April 2024
Partner-/Affiliate-Umfeld der Phobos-Ransomware-as-a-Service-Familie
Nicht eindeutig zugeordnet; die zugrunde liegende Phobos-Linie wird dem russischsprachigen Cybercrime-Umfeld zugerechnet
Professionelle Dienstleistungen (Schwerpunkt), Technologie und IT, produzierendes Gewerbe, Gesundheitswesen sowie Handel und E-Commerce.
Weltweit in über 40 Ländern. Am häufigsten betroffen sind die USA, gefolgt von Italien, Deutschland und Spanien. Die DACH-Region ist überdurchschnittlich vertreten: Deutschland zählt zu den Top-3-Zielländern der Gruppe, hinzu kommen Fälle in der Schweiz.
Nicht öffentlich beziffert.
Rund 145 gelistete Opfer in über 40 Ländern (Stand: Juli 2026), davon acht in Deutschland
Phobos-Linie – verschlüsselte Dateien tragen je nach Variante Endungen wie .phobos, .8base, .elbie, .faust oder .LIZARD. Eine exklusiv SpaceBears zugeordnete Endung ist öffentlich nicht dokumentiert.
Phobos-typische Notizen (u. a. info.txt und info.hta); eine SpaceBears-eigene Notiz ist öffentlich nicht dokumentiert.
SpaceBears setzt auf Verschlüsseler der Phobos-Familie, die Dateien mit AES-256 im CBC-Modus verschlüsseln und alle lokal erreichbaren Laufwerke systematisch durchlaufen. Der Einstieg erfolgt in dieser Linie typischerweise über Brute-Force gegen exponiertes RDP oder über Phishing; anschließend werden Fernwartungswerkzeuge für dauerhaften Zugriff installiert, Schutzmechanismen abgeschaltet und Schattenkopien gelöscht. Besonderes Merkmal der Gruppe ist die Erpressungsseite: Sie ist im Stil einer regulären Unternehmenswebsite aufgebaut – inklusive geschäftsmäßiger Ansprache und Kontaktformular – und soll Opfern eine „professionelle“ Verhandlungssituation suggerieren.
Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt die typischen Vorstufen eines SpaceBears-Angriffs – etwa Brute-Force-Wellen gegen RDP, erfolgreiche Anmeldungen aus untypischen Regionen, neu installierte Fernwartungswerkzeuge oder das Löschen von Schattenkopien –, bevor die Verschlüsselung startet. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen, Systeme zu isolieren und die Wiederherstellung zu koordinieren. Ergänzend prüfen und härten wir Ihre Fernzugriffs- und Backup-Architektur gezielt gegen die Einstiegswege der Phobos-Linie.