Threat Intelligence

Storm

Erst seit August 2026 sichtbar – und schon mit 35 Opfern in drei Wochen einer der lautesten Neuzugänge des Jahres.

Kurz erklärt

Storm ist im August 2026 aufgetaucht und hat innerhalb von drei Wochen 35 Opfer auf seiner Leak-Site gelistet – damit ist die Gruppe der volumenstärkste Neuzugang dieses Sommers. Sie arbeitet als Ransomware-as-a-Service, tritt zusätzlich als Datenhändler auf und nutzt sowohl die klassische doppelte Erpressung als auch die reine Veröffentlichungsdrohung.

Das auffälligste Merkmal ist das Tempo: Zwischen dem eigentlichen Angriff und der Veröffentlichung liegen im Schnitt nur rund zwei Tage. Bei etablierten Gruppen sind es häufig Wochen bis Monate. Für Betroffene bedeutet das: Der Fall wird öffentlich, bevor die interne Aufklärung abgeschlossen ist – Krisenkommunikation und Meldeprozesse müssen praktisch parallel zur Forensik laufen.

Wichtig zur Abgrenzung: Diese Gruppe hat nichts mit Stormous zu tun, einer eigenständigen Erpressergruppe, die seit 2022 aktiv ist. Ebenso wenig ist sie mit den Storm-XXXX-Kennungen zu verwechseln, mit denen Microsoft noch nicht zugeordnete Angreifergruppen durchnummeriert – etwa Storm-2603 hinter Warlock. „Storm“ ist hier schlicht die Selbstbezeichnung auf der eigenen Leak-Site.

Hinweis zur Einordnung: Storm ist eine sehr junge Gruppe ohne unabhängige Malware-Analyse. Angaben auf der Leak-Site sind bis zu einer Bestätigung mit Vorbehalt zu behandeln – neue Gruppen übertreiben Umfang und Bedeutung ihrer Beute regelmäßig.

Aktiv

Modell

Ransomware-as-a-Service mit Partnerprogramm; die Gruppe tritt zusätzlich als Datenhändler auf und nutzt sowohl direkte als auch doppelte Erpressung

Auch bekannt als

Storm (Selbstbezeichnung auf der eigenen Leak-Site „Storm Blog“)

Gegründet

August 2026 – erste Opferlistung am 7. August 2026, frühester rückgerechneter Angriff am 3. August 2026

Entstanden aus

Keine Vorgängergruppe belegt. Die auffällig professionelle Leak-Site und die hohe Anfangsgeschwindigkeit legen erfahrene Betreiber nahe – ein Beleg dafür fehlt jedoch.

Herkunft

Nicht belegt. Der Gruppenname ist eine reine Selbstbezeichnung und lässt keinen Rückschluss auf die Herkunft zu.

Zielsektoren

Gesundheitswesen, Finanzdienstleistungen, Fertigung, Immobilien, Versicherungen, Logistik und IT-Sicherheitsdienstleister

Zielregionen

Bislang vier Länder mit klarem Schwerpunkt USA. Ein DACH-Opfer ist bislang nicht gelistet – bei der aktuellen Ausbreitungsgeschwindigkeit ist das aber keine belastbare Entwarnung.

Typisches Lösegeld

nicht öffentlich beziffert – die Verhandlung läuft über eine Tox-ID

Opferzahl

35 gelistete Opfer seit dem 7. August 2026, davon 14 allein in der letzten Woche (Stand: 24. August 2026)

File Extensions

keine belastbare öffentliche Angabe – eine unabhängige Malware-Analyse liegt noch nicht vor

Ransom Note

keine belastbare öffentliche Angabe – Kontakt über Tox

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Kommunikation sofort mitdenken: Bei dieser Gruppe vergehen zwischen Angriff und Veröffentlichung im Schnitt nur zwei Tage. Sprachregelung für Kunden, Partner und Presse gehört hier an den Anfang, nicht ans Ende.
  • Backups sofort prüfen und offline schreibgeschützt sichern.
  • Fernzugänge (RDP, VPN) sperren, Zugangsdaten zurücksetzen und MFA erzwingen.
  • Umfang des Datenabflusses ermitteln – die Gruppe verkauft Beute auch weiter, nicht nur zur Veröffentlichung.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Erpressungsnachricht und Tox-Kontakt sichern.
  • Meldepflichten prüfen und fristgerecht erfüllen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; BSI und Polizei einbeziehen.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nichtveröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Nicht darauf setzen, den Vorfall still zu halten, bis alles geklärt ist – bei dieser Taktung ist der Eintrag auf der Leak-Site meist schneller als die eigene Analyse.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist.
  • Nicht allein über Tox mit den Angreifern verhandeln – nur über erfahrene IR- und Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – sie sind teils später entschlüsselbar.
  • Sich nicht darauf verlassen, dass eine bekannte Datei-Endung den Angriff verrät – zu dieser Gruppe ist keine dokumentiert.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.

Bekannte Angriffe

  • Erste Angriffswelle (5. bis 10. August 2026): zehn US-Unternehmen aus Gesundheitswesen, Finanzdienstleistung, Fertigung, IT-Sicherheit, Immobilien, Versicherung und Logistik – alle innerhalb weniger Tage gelistet.
  • Fortsetzung bis 24. August 2026: insgesamt 35 Einträge in vier Ländern, davon 14 allein in der letzten Woche.
  • DACH: bislang kein Opfer aus Deutschland, Österreich oder der Schweiz gelistet.
  • Einzelne Opfernamen führen wir hier bewusst nicht auf: Bei einer erst wenige Wochen alten Gruppe ohne unabhängige Verifikation ist die Trefferquote solcher Behauptungen erfahrungsgemäß unsicher.

Angriffstechniken (TTPs)

  • Erstzugang: öffentlich nicht abschließend dokumentiert. Die Auswertung der Opferlage zeigt bei gut einem Drittel der Betroffenen parallel Infostealer-Funde – gestohlene Zugangsdaten sind damit ein plausibler, aber nicht der einzige Einstieg.
    • MITRE: T1078 (gültige Konten), T1133 (externe Fernzugriffsdienste)
  • Datenabzug: Exfiltration vor der Verschlüsselung; die Beute wird auf der Leak-Site beziffert und zusätzlich zum Verkauf angeboten (T1567).
  • Erpressung: Verschlüsselung plus angedrohte Veröffentlichung (T1486 + T1657); die Gruppe nutzt daneben auch reine Veröffentlichungsdrohung ohne Verschlüsselung.
  • Verhandlung: ausschließlich über eine fest hinterlegte Tox-ID – kein Verhandlungsportal, kein E-Mail-Kontakt.
  • Besonderheit – Taktung: durchschnittlich rund 1,8 Tage zwischen Angriff und Veröffentlichung. Das ist der praktisch relevanteste Punkt für die Vorbereitung: Es bleibt kein Zeitfenster für eine stille Aufklärung.
  • Einordnung: Da eine unabhängige Analyse des Verschlüsselers fehlt, muss sich die Abwehr an den generischen Ransomware-Phasen ausrichten und darf nicht auf gruppenspezifische Signaturen setzen.

Technologie & Malware

Stand der öffentlichen Analyse: Zu Storm liegt bislang keine unabhängige technische Analyse des Verschlüsselers vor. Verschlüsselungsverfahren, Datei-Endung und Name der Erpressernotiz sind daher nicht belastbar dokumentiert – wir tragen hier bewusst keine Vermutungen ein.

Belegt ist: Die Gruppe betreibt eine eigene Tor-Leak-Site („Storm Blog“) mit hoher Verfügbarkeit und verhandelt ausschließlich über eine öffentlich hinterlegte Tox-ID. Sie tritt parallel als Datenhändler auf, bietet Beute also auch zum Verkauf an, statt nur mit Veröffentlichung zu drohen.

Praktische Folge: Die Erkennung muss über Verhalten laufen – große ausgehende Datentransfers, Löschung von Schattenkopien und Massenzugriffe auf Dateifreigaben – und nicht über eine bekannte Datei-Endung. Wegen der sehr kurzen Zeit zwischen Angriff und Veröffentlichung ist zusätzlich der organisatorische Teil entscheidend: Melde- und Kommunikationswege müssen vorbereitet sein, nicht erst improvisiert werden.

Indicators of Compromise (IOCs)

  • Leak-Site (Tor): yqhecvqtdvq6p7duqcgw2qca77spbgakxcoibtx6zpvfshltsbbbhfqd.onion („Storm Blog“)
  • Tox-ID (Verhandlung): F9C46E2A5EF6FC962F20006C7114B47E558BBA660B6A90B2E840139BFFBB833686E37375D95D
  • Keine belastbare Datei-Endung und keine dokumentierte Erpressernotiz – Stand 24. August 2026
  • Verhaltensindikator: großvolumige ausgehende Datentransfers, gefolgt von Schattenkopien-Löschung und Massenverschlüsselung auf Dateiservern
  • Frühindikator: Infostealer-Treffer zu Unternehmens-Domains – bei gut einem Drittel der bisherigen Opfer nachweisbar
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Phishing-resistente MFA auf allen RDP-, VPN- und Fernwartungszugängen; nicht benötigte Fernzugriffe aus dem Internet nehmen
  • Überwachung der Zugangsdaten Ihrer Beschäftigten auf Infostealer-Leaks – bei rund einem Drittel der Storm-Opfer nachweisbar
  • Erkennung für Schattenkopien-Löschung und Massenzugriffe auf Dateifreigaben scharf schalten
  • Ausgehende Großtransfers zu Cloud-Speichern und unbekannten Zielen überwachen
  • Offline- und unveränderliche Backups, regelmäßig auf Wiederherstellbarkeit getestet
  • Krisenkommunikation vorbereitet und geübt: Wer entscheidet, wer spricht, welche Textbausteine liegen bereit? Bei zwei Tagen Vorlauf entscheidet die Vorbereitung über das Ergebnis.
  • Melde- und Eskalationsketten (DSGVO 72 h, NIS2 24 h) hinterlegt und mindestens einmal durchgespielt

Wie Argos unterstützt

Bei Storm entscheidet nicht nur die Abwehr, sondern auch das Tempo der Reaktion: Wenn der Fall zwei Tage nach dem Angriff öffentlich wird, muss die Organisation vorbereitet sein. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau in den Phasen an, in denen sich dieser Angriff noch aufhalten lässt – auffällige Anmeldungen über Fernzugänge, große ausgehende Datentransfers und die Löschung von Schattenkopien kurz vor Verschlüsselungsbeginn.

Vorbeugend härten wir Fernzugänge, prüfen die Wiederherstellbarkeit Ihrer Backups und üben mit Ihnen den Ernstfall – einschließlich Krisenkommunikation, die bei dieser Gruppe früh gebraucht wird. Im Ernstfall übernimmt unser Incident-Response-Team die vollständige Bearbeitung: Eindämmung, Forensik, Bewertung der Behauptungen auf der Leak-Site sowie die Behördenmeldungen.