Threat Intelligence

Stormous

Arabischsprachige, pro-russische Gruppe zwischen Hacktivismus und Ransomware: GhostLocker-Partner, „Five Families“, 188 gelistete Opfer – und am 1. Juli 2026 das angekündigte Ende.

Kurz erklärt

Stormous war jahrelang ein Sonderfall der Szene: eine arabischsprachige, pro-russische Gruppe, die Hacktivismus und Erpressung vermischte. Sie trat 2021/2022 auf Telegram auf, verbündete sich im Juli 2023 mit GhostSec, schloss sich im August 2023 der Hacktivisten-Koalition „Five Families“ an und vermarktete ab Februar 2024 den gemeinsamen Verschlüsselungs-Trojaner GhostLocker als eigenes Partnerprogramm (STMX_GhostLocker). Als GhostSec im Mai 2024 zurück zum reinen Hacktivismus ging, übernahm Stormous den RaaS-Betrieb.

Der Ruf der Gruppe litt allerdings unter ihren eigenen Behauptungen: Ein erheblicher Teil der 188 gelisteten Opfer in 44 Ländern beruhte nach Einschätzung von Analysten auf recycelten, längst bekannten oder frei erfundenen Datensätzen. Ob Stormous überhaupt regelmäßig verschlüsselt hat, gilt als fraglich – das Geschäft lief über Leak-Site, Telegram und einen „Database Shop“ für den Datenverkauf. In Deutschland tauchten unter anderem Fichtner (2023), fractal.id (2024), or-technology (2026) und zweimal Volkswagen (2025, Behauptung eines „CarNet“-Zugriffs) auf der Site auf.

Aktuelle Einordnung (14. September 2026): Am 1. Juli 2026 kündigte Stormous auf der Leak-Site das Ende des Betriebs an – alle gehosteten Daten sollten binnen 60 Tagen gelöscht werden, bevor der Blog dauerhaft offline geht. Das letzte gelistete Opfer stammt vom 28. Juni 2026, die Infrastruktur ist seither nicht mehr erreichbar. Wir führen die Gruppe deshalb als historisch. Wie bei früheren „Abschieden“ der Szene ist ein Rebranding nicht auszuschließen.

Historisch

Modell

RaaS über GhostLocker (STMX_GhostLocker, ab Februar 2024 an Partner vermarktet) plus eigene Leak-Site und „Database Shop“ für den Verkauf gestohlener Daten

Auch bekannt als

Stormous, STORMOUS, StormousRansomware, STMX; Partnerprojekt STMX_GhostLocker; nicht zu verwechseln mit der Gruppe „Storm“ (RaaS seit August 2026) oder Microsofts Storm-XXXX-Kennungen

Gegründet

2021/2022 auf Telegram aufgetreten; erstes gelistetes Opfer am 22. März 2022

Entstanden aus

Eigenständig gestartet; ab Juli 2023 Allianz mit GhostSec, ab August 2023 Teil der Hacktivisten-Koalition „Five Families“; übernahm Mitte 2024 den GhostLocker-RaaS-Betrieb von GhostSec

Herkunft

Arabischsprachig; pro-russische Ausrichtung, Server-Infrastruktur in Russland; keine belegte staatliche Steuerung

Zielsektoren

Technologie, Business Services, Handel und E-Commerce, Hotellerie, Textil, Behörden und öffentliche Einrichtungen

Zielregionen

44 Länder; USA, Spanien, Vereinigte Arabische Emirate, Frankreich, Großbritannien vorn; in Deutschland unter anderem Fichtner (2023), fractal.id (2024), Volkswagen-Behauptungen (2025) und or-technology (2026)

Typisches Lösegeld

Öffentlich nicht einheitlich beziffert; GhostLocker-Notiz setzte eine Frist von sieben Tagen, daneben Datenverkauf über einen eigenen Shop

Opferzahl

188 gelistete Opfer in 44 Ländern von März 2022 bis 28. Juni 2026; Erreichbarkeit der Leak-Site zuletzt 0 % (Stand: 14. September 2026)

File Extensions

.ghost (GhostLocker 2.0)

Ransom Note

Ransomnote.html (GhostLocker 2.0, wird auf dem Desktop abgelegt und automatisch geöffnet; enthält 32 Byte lange Opfer-ID und Sieben-Tage-Frist)

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Bei einer Nennung auf einer alten Stormous-Liste oder in einem Medienbericht: Behauptung verifizieren, bevor Sie reagieren – welche Datei, welcher Zeitraum, welche Quelle? Vieles war recycelt oder fremd.
  • Bei einem GhostLocker-Fund (.ghost, Ransomnote.html): betroffene Systeme netzseitig isolieren, aber nicht ausschalten; Autostart-Ordner und takeown.exe-Aufrufe forensisch sichern.
  • Backups prüfen und offline sichern – GhostLocker beendet Backup-Dienste vor der Verschlüsselung.
  • Zugangsdaten zurücksetzen und Mehr-Faktor-Anmeldung erzwingen, insbesondere für Webanwendungen und Datenbank-Portale.
  • Meldepflichten prüfen: Bei nachweislich echten personenbezogenen Daten Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden.
  • Kommunikation vorbereiten: Politisch motivierte Gruppen suchen Öffentlichkeit – eine faktenbasierte Stellungnahme verhindert, dass Medien die Erpresserdarstellung übernehmen.
  • Incident Response aktivieren, auch wenn die Gruppe offiziell aufgehört hat – Partner und Nachfolger nutzen dieselben Werkzeuge.
⛔ Unbedingt vermeiden
  • Eine Leak-Behauptung nicht ungeprüft bestätigen oder dementieren – beides kann bei recycelten Daten nach hinten losgehen.
  • Nicht davon ausgehen, dass mit dem Abschied vom 1. Juli 2026 auch die Daten weg sind – die angekündigte Löschung ist nicht überprüfbar, und Datensätze zirkulieren weiter.
  • Nicht auf Telegram-Kanälen oder über die Leak-Site Kontakt aufnehmen – Hacktivisten nutzen jede Reaktion für Propaganda.
  • Verschlüsselte .ghost-Dateien nicht löschen – eine spätere Entschlüsselung ist ohne die Daten ausgeschlossen.
  • Nicht zahlen, ohne die Echtheit der Daten und die rechtliche Lage geprüft zu haben – bei dieser Gruppe war die Erpressungsgrundlage oft fiktiv.
  • Alte Nennungen nicht als erledigt abhaken, ohne die damalige Ursache zu kennen – die Schwachstelle von 2023 kann 2026 noch offen sein.

Bekannte Angriffe

  • Abschied am 1. Juli 2026: Hinweis auf der Leak-Site, der Betrieb werde eingestellt und alle gehosteten Daten binnen 60 Tagen gelöscht; seither ist die Infrastruktur nicht mehr erreichbar.
  • Volkswagen / Volkswagen Group (Deutschland, Mai und Oktober 2025) – Behauptung eines Zugriffs auf das „CarNet“-System mit Nutzerkonten und Authentifizierungs-Tokens; von Analysten nicht bestätigt, die Datenherkunft blieb unklar.
  • or-technology (Deutschland, Mai 2026) – angebliche Finanz- und Vertriebsdaten; Leak-Site-Eintrag ohne unabhängige Bestätigung.
  • fractal.id (Deutschland, Oktober 2024) – behauptete 10 GB Kundendaten eines Identitätsdienstleisters.
  • Fichtner (Deutschland, März 2023) – einer der frühen deutschen Einträge, Ingenieurunternehmen.
  • Letzte Welle (Juni 2026): italienische Modehändler, ein malaysischer IT-Dienstleister (10 GB), jaggroup.com mit Active-Directory-Zugangsdaten im Klartext, monoprix.tn, HIGUCHI (Japan/USA).
  • Stormous ist bekannt dafür, alte oder fremde Daten als neue Leaks zu präsentieren – keine der Nennungen ist ohne eigene Prüfung belastbar.

Angriffstechniken (TTPs)

  • Initialer Zugang (Hacktivisten-typisch):
    • Schwach geschützte Webanwendungen, Datenbanken und Portale; gestohlene Zugangsdaten – T1190, T1078
  • GhostLocker-Kette (RaaS-Partner):
    • Persistenz: Kopie der Schadsoftware in den Windows-Autostart-Ordner – T1547.001
    • Rechteausweitung: Aufruf von takeown.exe zur Übernahme von Dateibesitz – T1548.002
    • Laufwerks- und Dateierkennung unter Auslassung der Windows-Systemverzeichnisse – T1083
    • Registrierung beim Command-and-Control-Server über HTTP (/incrementLaunch, /addInfection) – T1071.001
    • Beenden von Backup-, Datenbank- und Sicherheitsdiensten über die Builder-Konfiguration – T1562.001, T1490
    • Verschlüsselung mit AES-256, Endung .ghost, Löschen der Originale – T1486
    • Übermittlung von Opfer-Metadaten (JSON) an den C2 – T1041
  • Erpressung und Propaganda:
    • Veröffentlichung auf Leak-Site und Telegram, Verkauf über einen „Database Shop“; häufig recycelte oder erfundene Datensätze – T1657
    • Politisch gerahmte Kampagnen im Verbund der „Five Families“ (GhostSec, ThreatSec, SiegedSec, Blackforums)

Technologie & Malware

GhostLocker war das gemeinsame Produkt von GhostSec und Stormous: Version 1 (Oktober/November 2023) in Python, GhostLocker 2.0 (Anfang 2024) in Go. Die Dateien werden mit AES-256 verschlüsselt und tragen die Endung .ghost; die Notiz Ransomnote.html wird auf dem Desktop abgelegt und automatisch geöffnet, enthält eine 32 Byte lange Opfer-ID und eine Frist von sieben Tagen. Vor der Verschlüsselung kopiert sich die Schadsoftware in den Autostart-Ordner, meldet sich per HTTP beim Panel und beendet Backup- und Datenbankdienste.

Wichtige Einordnung: Nach Einschätzung mehrerer Analysten ist fraglich, ob Stormous selbst regelmäßig verschlüsselt hat. Ein großer Teil der Leak-Site-Einträge bestand aus frei verfügbaren, recycelten oder erfundenen Daten. Wer GhostLocker in seiner Umgebung findet, hat es eher mit einem Partner des Programms zu tun als mit der Kerngruppe.

Indicators of Compromise (IOCs)

  • Datei-Endung: .ghost
  • Erpressernotiz: Ransomnote.html (Desktop)
  • Hash (GhostLocker 2.0, SHA-256): a1b468e9550f9960c5e60f7c52ca3c058de19d42eafa760b9d5282eb24b7c55f
  • Command-and-Control: 94.103.91.246 (STMX-Panel), 41.216.183.31; HTTP-Pfade /incrementLaunch, /addInfection, /increment
  • Verhaltensindikatoren: Schreibzugriff auf den Windows-Autostart-Ordner (Startup\*.exe), Aufruf von takeown.exe, Beenden von Backup- und Datenbankdiensten
  • Infrastruktur: Leak-Site und „Database Shop“ im Tor-Netz seit Juli 2026 offline; Telegram-Kanäle als Verbreitungsweg
  • Indikatoren stammen aus GhostLocker-Analysen von 2024; vor dem Blocken gegen aktuelle Threat-Intelligence-Quellen prüfen.

Was Unternehmen jetzt prüfen sollten

  • Taucht Ihr Unternehmen auf alten Stormous-Listen auf? Dann prüfen, ob die behaupteten Daten echt, alt oder fremd waren – und ob die Ursache damals wirklich geschlossen wurde.
  • Sind Webanwendungen, Portale und Datenbanken aus dem Internet erreichbar, die ohne Mehr-Faktor-Anmeldung oder mit Standardpasswörtern laufen? Das war der typische Hacktivisten-Einstieg.
  • Würde Ihre Endpunkt-Überwachung eine Datei im Windows-Autostart-Ordner, den Aufruf von takeown.exe und das Beenden von Backup- und Datenbankdiensten alarmieren? Das ist die GhostLocker-Kette.
  • Gibt es einen Prozess, um politisch motivierte Leak-Behauptungen schnell zu verifizieren und die Kommunikation zu steuern, bevor Medien sie aufgreifen?
  • Liegen Backups offline oder unveränderlich vor?

Wie Argos unterstützt

Stormous ist Geschichte, das Muster nicht: Hacktivisten-Koalitionen veröffentlichen und verkaufen Daten, kombinieren das mit gemieteter Ransomware und erzeugen Schlagzeilen – oft mit alten oder fremden Datensätzen. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7), erkennt die typischen Vorboten (Anmeldungen mit gestohlenen Zugangsdaten, Persistenz im Autostart, takeown.exe, beendete Backup-Dienste, große ausgehende Datenübertragungen) und beobachtet Leak-Sites und Telegram-Kanäle auf Nennungen Ihres Hauses.

Taucht Ihr Name auf einer Leak-Site auf, prüft unser Incident-Response-Team binnen kurzer Zeit, ob die Behauptung echt ist, welcher Datenbestand betroffen wäre und welche Meldepflichten greifen – damit Sie gegenüber Kunden, Behörden und Medien mit Fakten statt Vermutungen antworten können.