Stormous war jahrelang ein Sonderfall der Szene: eine arabischsprachige, pro-russische Gruppe, die Hacktivismus und Erpressung vermischte. Sie trat 2021/2022 auf Telegram auf, verbündete sich im Juli 2023 mit GhostSec, schloss sich im August 2023 der Hacktivisten-Koalition „Five Families“ an und vermarktete ab Februar 2024 den gemeinsamen Verschlüsselungs-Trojaner GhostLocker als eigenes Partnerprogramm (STMX_GhostLocker). Als GhostSec im Mai 2024 zurück zum reinen Hacktivismus ging, übernahm Stormous den RaaS-Betrieb.
Der Ruf der Gruppe litt allerdings unter ihren eigenen Behauptungen: Ein erheblicher Teil der 188 gelisteten Opfer in 44 Ländern beruhte nach Einschätzung von Analysten auf recycelten, längst bekannten oder frei erfundenen Datensätzen. Ob Stormous überhaupt regelmäßig verschlüsselt hat, gilt als fraglich – das Geschäft lief über Leak-Site, Telegram und einen „Database Shop“ für den Datenverkauf. In Deutschland tauchten unter anderem Fichtner (2023), fractal.id (2024), or-technology (2026) und zweimal Volkswagen (2025, Behauptung eines „CarNet“-Zugriffs) auf der Site auf.
Aktuelle Einordnung (14. September 2026): Am 1. Juli 2026 kündigte Stormous auf der Leak-Site das Ende des Betriebs an – alle gehosteten Daten sollten binnen 60 Tagen gelöscht werden, bevor der Blog dauerhaft offline geht. Das letzte gelistete Opfer stammt vom 28. Juni 2026, die Infrastruktur ist seither nicht mehr erreichbar. Wir führen die Gruppe deshalb als historisch. Wie bei früheren „Abschieden“ der Szene ist ein Rebranding nicht auszuschließen.
Historisch
RaaS über GhostLocker (STMX_GhostLocker, ab Februar 2024 an Partner vermarktet) plus eigene Leak-Site und „Database Shop“ für den Verkauf gestohlener Daten
Stormous, STORMOUS, StormousRansomware, STMX; Partnerprojekt STMX_GhostLocker; nicht zu verwechseln mit der Gruppe „Storm“ (RaaS seit August 2026) oder Microsofts Storm-XXXX-Kennungen
2021/2022 auf Telegram aufgetreten; erstes gelistetes Opfer am 22. März 2022
Eigenständig gestartet; ab Juli 2023 Allianz mit GhostSec, ab August 2023 Teil der Hacktivisten-Koalition „Five Families“; übernahm Mitte 2024 den GhostLocker-RaaS-Betrieb von GhostSec
Arabischsprachig; pro-russische Ausrichtung, Server-Infrastruktur in Russland; keine belegte staatliche Steuerung
Technologie, Business Services, Handel und E-Commerce, Hotellerie, Textil, Behörden und öffentliche Einrichtungen
44 Länder; USA, Spanien, Vereinigte Arabische Emirate, Frankreich, Großbritannien vorn; in Deutschland unter anderem Fichtner (2023), fractal.id (2024), Volkswagen-Behauptungen (2025) und or-technology (2026)
Öffentlich nicht einheitlich beziffert; GhostLocker-Notiz setzte eine Frist von sieben Tagen, daneben Datenverkauf über einen eigenen Shop
188 gelistete Opfer in 44 Ländern von März 2022 bis 28. Juni 2026; Erreichbarkeit der Leak-Site zuletzt 0 % (Stand: 14. September 2026)
.ghost (GhostLocker 2.0)
Ransomnote.html (GhostLocker 2.0, wird auf dem Desktop abgelegt und automatisch geöffnet; enthält 32 Byte lange Opfer-ID und Sieben-Tage-Frist)
GhostLocker war das gemeinsame Produkt von GhostSec und Stormous: Version 1 (Oktober/November 2023) in Python, GhostLocker 2.0 (Anfang 2024) in Go. Die Dateien werden mit AES-256 verschlüsselt und tragen die Endung .ghost; die Notiz Ransomnote.html wird auf dem Desktop abgelegt und automatisch geöffnet, enthält eine 32 Byte lange Opfer-ID und eine Frist von sieben Tagen. Vor der Verschlüsselung kopiert sich die Schadsoftware in den Autostart-Ordner, meldet sich per HTTP beim Panel und beendet Backup- und Datenbankdienste.
Wichtige Einordnung: Nach Einschätzung mehrerer Analysten ist fraglich, ob Stormous selbst regelmäßig verschlüsselt hat. Ein großer Teil der Leak-Site-Einträge bestand aus frei verfügbaren, recycelten oder erfundenen Daten. Wer GhostLocker in seiner Umgebung findet, hat es eher mit einem Partner des Programms zu tun als mit der Kerngruppe.
Stormous ist Geschichte, das Muster nicht: Hacktivisten-Koalitionen veröffentlichen und verkaufen Daten, kombinieren das mit gemieteter Ransomware und erzeugen Schlagzeilen – oft mit alten oder fremden Datensätzen. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7), erkennt die typischen Vorboten (Anmeldungen mit gestohlenen Zugangsdaten, Persistenz im Autostart, takeown.exe, beendete Backup-Dienste, große ausgehende Datenübertragungen) und beobachtet Leak-Sites und Telegram-Kanäle auf Nennungen Ihres Hauses.
Taucht Ihr Name auf einer Leak-Site auf, prüft unser Incident-Response-Team binnen kurzer Zeit, ob die Behauptung echt ist, welcher Datenbestand betroffen wäre und welche Meldepflichten greifen – damit Sie gegenüber Kunden, Behörden und Medien mit Fakten statt Vermutungen antworten können.