Threat Intelligence

ZaWoo

Neue Erpressergruppe mit ungewöhnlich klarem Deutschland-Schwerpunkt: Von 19 gelisteten Opfern liegen elf in Deutschland, eines in Österreich.

Kurz erklärt

ZaWoo ist Ende August 2026 aufgetaucht – und fällt aus einem Grund auf, der für Unternehmen im deutschsprachigen Raum unangenehm ist: Elf der 19 veröffentlichten Opfer sind deutsche Organisationen, ein weiteres liegt in Österreich. Eine so klare DACH-Konzentration ist unter neuen Erpressergruppen die Ausnahme; die meisten veröffentlichen vor allem US-Opfer.

Die Gruppe arbeitet nach dem üblichen Muster der Doppelten Erpressung: Daten werden ausgeleitet, das Opfer soll verhandeln, sonst erscheinen die Daten auf einer über das Tor-Netzwerk erreichbaren Leak-Site. Bemerkenswert ist der zeitliche Abstand – zwischen mutmaßlichem Angriff und Veröffentlichung liegen im Schnitt rund 15 Tage. Wer Ende August auf der Liste stand, wurde also Anfang bis Mitte des Monats angegriffen.

Zur Ehrlichkeit gehört: ZaWoo ist wenige Tage alt. Es gibt bislang keine veröffentlichte Analyse des Verschlüsselers, keine bekannte Datei-Endung, keine Erpressernotiz und keine belegten Angriffstechniken. Tracking-Portale kennzeichnen die Gruppe ausdrücklich als aufkommend und ihre Behauptungen als ungeprüft. Wir führen sie hier auf, weil der DACH-Bezug belegt und für Verantwortliche in Deutschland relevant ist – nicht, weil ihre technische Handschrift bereits verstanden wäre.

Aktiv

Modell

Eigenständige Erpressergruppe mit eigener Tor-Leak-Site; ein offenes Partnerprogramm (RaaS) ist bislang nicht beworben worden

Auch bekannt als

Zawoo; Leak-Site firmiert als „ZaWooBlog“

Gegründet

Öffentlich sichtbar seit dem 30. August 2026; der früheste geschätzte Angriffszeitpunkt eines gelisteten Opfers liegt im Juli 2026

Entstanden aus

Nicht zugeordnet – eine belegte Vorgängergruppe oder ein Rebrand ist öffentlich nicht dokumentiert

Herkunft

Nicht zugeordnet. Der Deutschland-Schwerpunkt der Opferliste sagt nichts über die Herkunft der Täter aus – er zeigt nur, wo angegriffen wurde.

Zielsektoren

Technologie und IT (Schwerpunkt), professionelle Dienstleistungen, Fertigung, Handel und E-Commerce, soziale Einrichtungen, Forschung und Entwicklung

Zielregionen

8 Länder; deutlicher Schwerpunkt Deutschland (11 von 19 Opfern), dazu Neuseeland (2), USA (1) und Einzelfälle; Österreich mit einem Opfer betroffen

Typisches Lösegeld

Öffentlich nicht beziffert – die Gruppe nennt keine Summen auf der Leak-Site

Opferzahl

19 gelistete Opfer in 8 Ländern, veröffentlicht am 30. und 31. August 2026 (Stand: 2. September 2026)

File Extensions

keine belastbare öffentliche Angabe – eine Analyse des Verschlüsselers liegt bislang nicht vor

Ransom Note

keine belastbare öffentliche Angabe

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher gehen sonst verloren.
  • Incident Response aktivieren und die Geschäftsführung einbinden – auch dann, wenn „nur“ Daten abgeflossen sind und nichts verschlüsselt wurde.
  • Alle Fernzugänge sperren, Zugangsdaten zurücksetzen, Sitzungen widerrufen und Mehr-Faktor-Anmeldung erzwingen – auch für Zugänge externer Dienstleister.
  • Rückwärts suchen: Der Angriff liegt im Schnitt rund 15 Tage zurück. Protokolle der letzten vier bis sechs Wochen auf ungewohnte Anmeldungen und große Datenübertragungen prüfen.
  • Umfang des Datenabflusses feststellen: Welche Daten, welche Personen, welche Vertragspartner sind betroffen?
  • Meldepflichten prüfen und Fristen einhalten: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
  • Den Eintrag auf der Leak-Site samt Datum und veröffentlichten Dateiproben dokumentieren – er ist Beweismittel und Grundlage für die Bewertung des Schadens.
⛔ Unbedingt vermeiden
  • Die Nennung nicht ungeprüft glauben: Bei einer erst wenige Tage sichtbaren Gruppe kann es sich auch um recycelte oder aus fremden Vorfällen stammende Daten handeln. Erst prüfen, dann bewerten – aber sofort prüfen.
  • Sie aber auch nicht als Bluff abtun, ohne die eigenen Protokolle durchgesehen zu haben.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren – Kontakt ausschließlich über erfahrene Incident-Responder und Verhandlungsexperten.
  • Nicht vorschnell zahlen: keine Garantie für Löschung oder Nichtveröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist.
  • Den Vorfall nicht verschweigen oder aufschieben – Meldefristen laufen ab Kenntnisnahme, nicht ab Veröffentlichung.

Bekannte Angriffe

  • MONTRONIX GmbH (Deutschland, 30. August 2026) – Hersteller von Prozessüberwachungstechnik für die Fertigung; einer der ersten Einträge überhaupt auf der Leak-Site.
  • Institut für Forschung und Entwicklung von Sportgeräten (FES), Berlin (31. August 2026) – das Institut entwickelt Hochleistungssportgeräte für den deutschen Spitzensport; die Gruppe drohte mit Veröffentlichung, falls keine Verhandlung zustande kommt.
  • Weitere deutsche Einträge (30./31. August 2026): vectorsoft (Softwarehaus), hoerburger, ng-engineering, winterdienst-berlin.com, berghotel-oberhof.de, rsk-immobilien.de sowie hd-werkstaetten.de – eine soziale Einrichtung für Menschen mit Behinderung.
  • Österreich: n-tree.com (August 2026).
  • Wichtig: Alle Nennungen beruhen auf Eigenangaben der Leak-Site. Bei einer erst wenige Tage sichtbaren Gruppe ist besonders zu prüfen, ob es sich tatsächlich um eigene Angriffe handelt oder um recycelte Daten aus fremden Vorfällen oder Infostealer-Sammlungen.

Angriffstechniken (TTPs)

  • Belegt ist bisher nur das Erpressungsmuster:
    • Datendiebstahl vor der Veröffentlichung, Veröffentlichung auf einer Tor-Leak-Site – MITRE T1657 (Financial Theft), T1486 (Data Encrypted for Impact, soweit verschlüsselt wird)
    • Durchschnittlich rund 15 Tage zwischen mutmaßlichem Angriff und Eintrag – das Zeitfenster, in dem ein Angriff intern noch unbemerkt läuft
  • Nicht belegt – bewusst offengelassen:
    • Initialer Zugangsweg (Phishing, gestohlene Zugangsdaten, Schwachstelle) ist öffentlich nicht dokumentiert
    • Werkzeuge für Rechteausweitung, seitliche Bewegung und Abschaltung von Sicherheitsprodukten sind nicht bekannt
    • Es liegt keine öffentliche Malware-Analyse vor; auch ob überhaupt verschlüsselt oder nur erpresst wird, ist nicht abschließend belegt
  • Hinweis für die Verteidigung:
    • Bei rund 11 % der gelisteten Opfer wurden zuvor Infostealer-Funde mit passender Firmendomäne beobachtet – gestohlene Zugangsdaten aus dem Untergrund sind daher ein plausibler, wenn auch unbewiesener Einstiegsweg
    • Die Erkennung muss verhaltensbasiert erfolgen: große ausgehende Datenübertragungen, ungewohnte Anmeldungen an Fernzugängen, massenhafte Dateizugriffe

Technologie & Malware

Zu ZaWoo liegt keine veröffentlichte technische Analyse vor. Weder Verschlüsselungsverfahren, Programmiersprache oder Plattform (Windows/Linux/Virtualisierung) noch Datei-Endung oder Erpressernotiz sind dokumentiert. Wir tragen an dieser Stelle bewusst nichts nach, was nicht belegt ist.

Bekannt ist die Infrastruktur: Die Gruppe betreibt eine über das Tor-Netzwerk erreichbare Leak-Site unter dem Namen „ZaWooBlog“, ausgeliefert über einen NGINX-Webserver (Version 1.24.0). Die Site war im gesamten Beobachtungszeitraum stabil erreichbar – ein Hinweis darauf, dass hinter der Veröffentlichung eine funktionierende, gepflegte Infrastruktur steht und nicht ein einmaliger Datendump.

Sobald belastbare Analysen vorliegen, ergänzen wir dieses Profil. Bis dahin gilt: Die Erkennung eines ZaWoo-Angriffs kann sich nicht auf Signaturen stützen, sondern nur auf Verhalten.

Indicators of Compromise (IOCs)

  • Leak-Site (Tor): fyenuhkq3pfhnbpidj5jm2fl2lryxip4byhg6eozynrnlomu4szf2nyd.onion („ZaWooBlog“, NGINX 1.24.0)
  • Datei-Endung: keine belastbare öffentliche Angabe
  • Erpressernotiz: keine belastbare öffentliche Angabe
  • Verhaltensindikator: ungewohnt große ausgehende Datenübertragungen aus Datei-, ERP- oder Konstruktionsservern, typischerweise ein bis drei Wochen bevor eine Nennung öffentlich wird
  • Frühwarnung: Infostealer-Funde mit der eigenen Firmendomäne in Untergrundmärkten – bei rund 11 % der ZaWoo-Opfer nachweisbar
  • Es liegen keine veröffentlichten Datei-Hashes vor. Vor dem Blocken sollten Indikatoren immer gegen aktuelle Threat-Intelligence-Quellen geprüft werden.

Was Unternehmen jetzt prüfen sollten

  • Sind alle Fernzugänge – VPN, RDP, Fernwartung durch Dienstleister – mit phishing-resistenter Mehr-Faktor-Anmeldung geschützt?
  • Werden die Zugangsdaten Ihrer Mitarbeitenden auf Infostealer-Funde überwacht? Bei rund jedem zehnten ZaWoo-Opfer gab es vorher passende Funde.
  • Würden Sie eine ungewöhnlich große Datenübertragung nach außen bemerken – auch nachts, am Wochenende und aus dem Datei- oder Konstruktionsserver heraus?
  • Gibt es Offline- oder unveränderliche Backups, deren Wiederherstellung schon einmal geübt wurde?
  • Ist geklärt, wer die Leak-Sites beobachtet und intern Alarm schlägt, wenn Ihr Unternehmensname dort auftaucht?
  • Existiert ein geübter Notfallplan mit Meldewegen (DSGVO 72 Stunden, bei NIS2-Betroffenheit 24 Stunden) und benannten Ansprechpartnern außerhalb der Geschäftszeiten?

Wie Argos unterstützt

Bei einer Gruppe, zu der es weder Signaturen noch bekannte Datei-Endungen gibt, entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau bei den Mustern an, die diesem Erpressungstyp vorausgehen: erstmalige Nutzung längst gestohlener Zugangsdaten, Anmeldungen an Fernzugängen zu ungewohnten Zeiten, große ausgehende Datenübertragungen, massenhafte Dateizugriffe.

Weil zwischen Angriff und Veröffentlichung im Schnitt rund zwei Wochen liegen, ist dieses Zeitfenster der eigentliche Hebel: Wer den Datenabfluss bemerkt, bevor die Leak-Site online geht, verhandelt aus einer völlig anderen Position. Ergänzend beobachten wir Leak-Sites und Untergrundmärkte auf Nennungen Ihres Unternehmens. Tritt der Ernstfall ein, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf und begleitet Sie durch Meldepflichten und Kommunikation.