Darkweb ProfileThreat-Actor-Steckbriefe aus dem Wasacon Dark-Ops Desk
Hier seziert Wasacon die Akteure, die im Hintergrund des deutschen Mittelstands operieren: Ransomware-Gruppen, Leak-Marken, RaaS-Crews und APT-Cluster. Jedes Profil bündelt Beobachtungen aus Darknet-Listings, Threat-Intel-Trackern und unseren eigenen Incident-Response-Einsätzen – aufbereitet wie ein Lagezentrum-Briefing, nicht wie ein Marketingblatt.
Warum Wasacon eigene Darkweb-Profile pflegt
Die meisten Berichte über Ransomware-Gruppen lesen sich wie Marketing-Material. Wir bauen unsere Profile bewusst anders auf: kurze Operator-Karte, beobachtete TTPs, Branchen- und Länder-Verteilung, Härtungs-Briefing. So entsteht in wenigen Minuten ein klares Lagebild – nutzbar für Geschäftsführung, IT-Leitung und SOC.
Aktive Profile
BlindEagle (APT-C-36)
Seit 2018 aktive APT-Gruppe aus Lateinamerika. Doppelmotivation aus Spionage und Banking-Diebstahl, spanischsprachiges Spear-Phishing, Steganografie in Bildern und ein Open-Source-RAT-Stack (AsyncRAT, njRAT, Remcos, Quasar, BitRAT, Lime-RAT). Kein Leak-Site-Marketing – dafür jahrelange Persistenz.
Vect Ransomware
25 Opfer in nur 4 Monaten, BreachForums-Mass-Enrollment (323.986 Accounts), Devman-/TeamPCP-Verbindungen und ein defektes ChaCha20-Schema, das jede große Datei zu 75 % unwiederbringlich zerstört – Vect ist faktisch ein Wiper mit Lösegeldforderung.
The Gentlemen Ransomware
Stand 07/2026: über 530 öffentlich gelistete Opfer in rund 75 Ländern. Go-basierte Cross-Platform-Locker, password-protected Builds, BYOVD-Evasion, 90/10-Affiliate-Modell – und 82 Tage Durchschnitts-Verzögerung zwischen Breach und Leak.
Deadlock Ransomware
75 gelistete Opfer in 32 Ländern seit Juni 2026, +829 % Angriffsdynamik zum Vormonat. Technisches Alleinstellungsmerkmal: Rotation von C2-Adressen über Polygon-Smart-Contracts (EtherHiding-Muster), eigene Stream-Cipher statt Windows-Krypto-APIs, Endung .dlock, Verhandlung über Session-Messenger.
Qilin (Agenda) Ransomware
Über 1.900 gelistete Opfer in 98 Ländern, über 500 allein 2026. Nach LockBit/ALPHV-Zerschlagung die aktivste Ransomware-Operation weltweit. Call-Lawyer-Funktion, DDoS als Druckmittel, gezielte Veeam-Backup-Angriffe. Baubranche mit >120 Opfern unter den Top 5.
BlackX Leak Group
Neue Leak-Marke mit vier zeitgleichen Opfern beim Launch – Profil folgt.
Space Bears
130+ Opfer, Ursa-Major-Branding, Deutschland-Schwerpunkt – Profil folgt.
Bekannt aus
