Vect Ransomware: Wiper im Gewand einer RaaS
25 Opfer in vier Monaten, BreachForums-Massen-Onboarding, TeamPCP-Supply-Chain – und ein defektes ChaCha20-Schema, das den Locker zum Datenvernichter macht.
Auf einen Blick
Die meisten neuen Ransomware-Operationen verbringen ihre ersten Monate im Verborgenen. Vect tat das Gegenteil: Vier Monate nach dem Debüt am 31. Dezember 2025 in einem russischsprachigen Cybercrime-Forum hatte die Gruppe bereits ihre ersten 25 Opfer auf fünf Kontinenten veröffentlicht, mit den BreachForums eine Partnerschaft formalisiert, die Affiliate-Zugang zur gesamten Forum-Nutzerbasis öffnete, und ihre Erpressungs-Pipeline an TeamPCP gekoppelt – den Akteur hinter den Trivy-, Checkmarx-KICS-, LiteLLM- und Telnyx-Supply-Chain-Angriffen vom März 2026.
Wer ist Vect Ransomware?
Vect ist eine finanzmotivierte, Double-Extortion-Ransomware-as-a-Service-Operation, die unter dem Handle „vect" am 31. Dezember 2025 in einem russischsprachigen Cybercrime-Forum auftauchte. Der Eröffnungspost bewarb ein Partnerprogramm für eine neue Ransomware-Familie, vollständig in C++ geschrieben, ohne wiederverwendeten Quellcode aus den geleakten Conti- oder LockBit-Buildern.
Innerhalb einer Woche erschien das erste Opfer auf einer Tor-Leak-Seite. Bis zum 14. Februar 2026 veröffentlichte die Gruppe Vect 2.0 mit erweiterter Linux- und VMware-ESXi-Unterstützung. Die russischsprachigen Posts, die qTox-basierte Affiliate-Kommunikation, ausschließlich Monero als Eintrittsgebühr und der Affiliate-Fee-Erlass für Bewerber aus CIS-Staaten (Russland, Belarus, Ukraine, Kasachstan und zehn weitere ehemalige Sowjetrepubliken) deuten auf eine russischsprachige operative Basis hin.
🔥 BreachForums-Mass-Enrollment (16.–18. April 2026): Ein Forum-Administrator unter dem Handle „diencracked" verteilte automatisch persönliche Vect-Affiliations-Keys per privater Nachricht an jedes registrierte Mitglied – laut Have-I-Been-Pwned-Import der BreachForums-DB vom 9. Januar 2026 323.986 Accounts. Sicherheitsforscher beschreiben das als präzedenzlos: kein Skill-Nachweis, keine Reputation, kein Ransomware-Erfahrungsbeleg erforderlich, um einen Vect-Builder zu erhalten.
Verbindungen zu anderen Akteuren
Drei Verbindungen prägen die aktuelle Vect-Berichterstattung. Die stärkste führt zu Devman: Builder-Samples tragen „DEVMAN 3.0"-Strings im –verbose-Banner, Lateral-Movement-Tasks verwenden ein passendes „DM"-Prefix, die Ransom-Notes sind nahezu identisch, und Devmans Inaktivität ab Februar 2026 fällt mit Vects Aufstieg zusammen.
Devman (stärkste Verbindung)
DEVMAN-3.0-Strings im Vect-Banner, DM-Prefix bei Lateral-Movement-Tasks, identische Ransom-Notes, Devman-Dormancy seit Februar 2026.
TeamPCP (Supply-Chain)
Partnerschaft 25. März 2026 – TeamPCP liefert Credentials aus den Trivy-, KICS-, LiteLLM- und Telnyx-Kompromittierungen direkt in den Vect-Affiliate-Pool.
BreachForums (Vertrieb)
Automatische Affiliate-Key-Distribution durch Forum-Admin „diencracked“ macht den gesamten BreachForums-Userbase zum Vect-Recruitment-Pool.
Strafverfolgung
Bis Mai 2026 keine bekannten Sanktionen oder Sinkholing-Aktionen gegen Vect-Infrastruktur.
Was sind die Ziele von Vect Ransomware?
// 25 Opfer · 8 Länder · 9 Branchen
Vect hat 25 Angriffe über mehrere Geografien und Sektoren durchgeführt. USA und Brasilien liegen mit jeweils 21,7 % an der Spitze, gefolgt von Indien (17,4 %) und Südafrika (8,7 %). Die übrigen Opfer verteilen sich auf Spanien, Israel, Ägypten und Italien mit je 4,3 %.
Top-Zielländer
Aus Branchensicht ist Technologie mit 20 % der am stärksten betroffene Sektor, während Finanzdienste, Gesundheit und Manufacturing je 16 % der Opfer ausmachen. Business Services folgt mit 12 %, Energie, Consumer Services, Bildung sowie Agrar und Lebensmittelproduktion je 4 %.
Top-Branchen
Wie operiert Vect Ransomware?
Ein Vect-Eindringen 2026 beginnt typischerweise einen Supply-Chain-Hop stromaufwärts – mit über die TeamPCP-Kampagne abgegriffenen Credentials – und endet mit einer Verschlüsselungs-Routine, die operativ als Wiper wirkt. Die folgenden acht Phasen zeichnen den beobachteten Pfad nach.
- Schritt 01
Supply-Chain-Einbruch (TeamPCP)
Zwischen 19. und 24. März 2026 kompromittierte TeamPCP den Trivy-GitHub-Actions-Workflow, das Checkmarx-KICS-Paket, die LiteLLM-PyPI-Distribution (1.82.7 und 1.82.8) sowie das Telnyx Python SDK.
- Schritt 02
Credential Harvesting
Während CI/CD-Ausführung in Downstream-Organisationen feuerte ein Credential-Harvesting-Payload und extrahierte CI-Secrets, GitHub PATs, PyPI-Tokens, Cloud-Credentials, SSH-Keys und Kubernetes-Tokens. Schätzung: ~300 GB Daten aus über 1.000 SaaS-Umgebungen.
- Schritt 03
Multi-Platform-Execution
Drei statisch kompilierte C++-Binaries gegen libsodium: PE64 für Windows (MinGW-w64), ELF64 für Linux und VMware ESXi (GCC). Start via PowerShell, cmd, oder per sc.exe als Remote-Service.
- Schritt 04
Defense Evasion
PowerShell-Command deaktiviert Microsoft Defender, terminiert EDR-Agents (CrowdStrike, SentinelOne, Cylance, Symantec, Bitdefender, Kaspersky, Carbon Black), Backup-Engines (Veeam, Acronis, BackupExec) und Datenbankdienste. vssadmin löscht Schattenkopien, SafeBoot-Persistenz erzwingt Reboot in den abgesicherten Modus.
- Schritt 05
Credential Access & Discovery
cmdkey schreibt Affiliate-Credentials in den Windows Credential Manager. WNetOpenEnum/NetShareEnum enumeriert Netz-Shares, Domain-Trusts werden über Standard-Win32-APIs erfasst.
- Schritt 06
Lateral Movement ("GPO-Spread")
Trotz des Namens keine Group-Policy-Operationen: Scheduled Tasks via CIM-Sessions mit hartcodiertem 'DM'-Präfix plus vier zufälligen Großbuchstaben (Devman-Konvention). Zusätzlich SMB-Admin-Share-Copy, WMI, DCOM via MMC20.Application, sc.exe-Services, PowerShell-Remoting (WinRM) und SSH unter Linux/ESXi.
- Schritt 07
ESXi-VM-Neutralisierung
Locker enumeriert laufende VMs auf ESXi, VirtualBox und KVM/libvirt und fährt sie via vmware-cmd, esxcli vm process kill, VBoxManage controlvm poweroff und virsh destroy herunter. Freigegebene File-Locks ermöglichen In-Place-Verschlüsselung der VMDK-Dateien.
- Schritt 08
Wiper-Verschlüsselung (Impact)
Dateien werden vor der Verschlüsselung via MoveFileExW in <original>.vect umbenannt. Cipher: rohes ChaCha20-IETF (RFC 8439) – nicht das beworbene ChaCha20-Poly1305. Bei Dateien >128 KB intermittente Verschlüsselung an 0/25/50/75 %-Offsets mit demselben Nonce-Buffer: drei Viertel jeder großen Datei sind dauerhaft unwiederbringlich.
Wie können Organisationen Vect abwehren?
Defender sollten jedes Vect-Eindringen als hybriden Verschlüsselungs- und Wiper-Vorfall einplanen. Die defekte ChaCha20-Implementierung macht Decryption als Recovery-Pfad selbst nach Zahlung unrealistisch – wer zahlt, riskiert finanziellen Verlust und Datenverlust zugleich.
Organisationen mit Exposition gegenüber der TeamPCP-Supply-Chain-Welle im März 2026 (Trivy GitHub Actions, Trivy v0.69.4, Checkmarx KICS, LiteLLM 1.82.7/1.82.8, Telnyx Python SDK, CanisterWorm-npm) sollten jedes CI/CD-Secret, jeden GitHub-Actions-Token, jeden PyPI-Publish-Token, Cloud-Key, SSH-Key, Kubernetes-Token und jedes TLS-Zertifikat rotieren, das zwischen dem 28. Februar und 24. März 2026 durch die betroffenen Pipelines lief. Zusätzlich: GitHub-Organisationen auf unerwartete Repositories namens tpcp-docs prüfen und Python-Site-Packages auf unerwartete .pth-Dateien.
Kurzfristige Detektions- und Härtungs-Prioritäten
- Ausgehende Tor-Entry-Node-Konnektivität und .onion-Resolution am Netz-Perimeter blockieren (Vect-C2 läuft ausschließlich über Tor).
- Detection für „bcdedit /set safeboot“, Änderungen an SafeBoot-Minimal/-Network-Registry-Keys, „vssadmin delete shadows /all /quiet“ und „Set-MpPreference -DisableRealtimeMonitoring $true“.
- Alert auf Scheduled Tasks oder Services mit „DM“-Präfix gefolgt von vier zufälligen Großbuchstaben sowie 4×32-KB-Schreibmuster an den Offsets 0/25/50/75 % einer Datei.
- Phishing-resistente MFA für VMware-ESXi-Management-Interfaces, ESXi-Management-Netze segmentieren, Jump-Host-Zwang.
- EDR-Tamper-Protection so konfigurieren, dass der SafeBoot-Persistenz-Trick den Agent beim Reboot nicht deaktivieren kann.
- Jede in CI verwendete GitHub-Action auf einen immutable Commit-SHA pinnen (statt mutable Tag), PyPI Trusted Publishers aktivieren.
Mittelfristig
Offline, immutable Backups in Write-Once-Read-Many-Konfiguration vorhalten und Wiederherstellung regelmäßig proben. VMware-ESXi-Security-Patches anwenden, den SLP-Dienst deaktivieren, wo nicht benötigt, und YARA-Regeln für die Strings „VECT", „DEVMAN 3.0" und „dvm3_wall.bmp" ausrollen – ergänzt um die libsodium-plus-MinGW-w64-Build-Artefakte des Windows-Lockers.
MITRE ATT&CK-Techniken von Vect Ransomware
Das beobachtete und gemeldete Vect-Tradecraft mappt auf folgende MITRE-ATT&CK-Techniken:
| Taktik | Technik-ID | Technik |
|---|---|---|
| Initial Access | T1078 | Valid Accounts |
| Initial Access | T1133 | External Remote Services |
| Initial Access | T1195.002 | Supply Chain Compromise: Software Supply Chain |
| Execution | T1059.001 | Command and Scripting Interpreter: PowerShell |
| Execution | T1059.003 | Command and Scripting Interpreter: Windows Command Shell |
| Execution | T1053.005 | Scheduled Task/Job: Scheduled Task |
| Execution | T1569.002 | System Services: Service Execution |
| Execution | T1106 | Native API |
| Persistence | T1547.001 | Boot or Logon Autostart Execution: Registry Run Keys |
| Persistence | T1112 | Modify Registry |
| Defense Evasion | T1562.001 | Impair Defenses: Disable or Modify Tools |
| Defense Evasion | T1562.009 | Impair Defenses: Safe Mode Boot |
| Defense Evasion | T1070.004 | Indicator Removal: File Deletion |
| Defense Evasion | T1027 | Obfuscated Files or Information |
| Credential Access | T1555 | Credentials from Password Stores |
| Discovery | T1082 | System Information Discovery |
| Discovery | T1083 | File and Directory Discovery |
| Discovery | T1135 | Network Share Discovery |
| Discovery | T1482 | Domain Trust Discovery |
| Lateral Movement | T1021.002 | Remote Services: SMB/Windows Admin Shares |
| Lateral Movement | T1021.003 | Remote Services: Distributed Component Object Model |
| Lateral Movement | T1021.004 | Remote Services: SSH |
| Lateral Movement | T1021.006 | Remote Services: Windows Remote Management |
| Collection | T1005 | Data from Local System |
| Collection | T1039 | Data from Network Shared Drive |
| Command and Control | T1090.003 | Proxy: Multi-hop Proxy |
| Impact | T1486 | Data Encrypted for Impact |
| Impact | T1490 | Inhibit System Recovery |
| Impact | T1489 | Service Stop |
| Impact | T1561 | Disk Wipe |
| Impact | T1529 | System Shutdown/Reboot |
Wie hilft Wasacon bei Vect-ähnlichen Bedrohungen?
Wasacon überwacht Ransomware-Leak-Seiten, Darknet-Foren und Tor-basierte Erpressungs-Infrastruktur kontinuierlich auf neue Opfermeldungen, Affiliate-Recruitment und Infrastruktur-Veränderungen rund um Vect und andere aktive RaaS-Operationen.
Threat-Actor-Intelligence
Tracking des Vect-Profils, evolvierender TTPs, gelisteter Opfer und Infrastruktur-Indikatoren – mit Alerting bei Postings, die überwachte Assets, Mitarbeitende oder Dritte erwähnen.
Dark-Web-Monitoring
Erkennung geleakter Zugangsdaten, Quellcode und Kundendaten – einschließlich der Artefakt-Kategorien, die typischerweise nach TeamPCP-artigen Supply-Chain-Kompromittierungen erscheinen.
Attack-Surface-Management
Identifikation exponierter ESXi-Management-Interfaces, von außen erreichbarer Fortinet-Appliances und weiterer Footholds, die zu Vects bevorzugten Initial-Access-Mustern passen.
Supply-Chain-Intelligence
Frühe Sichtbarkeit bei Kompromittierungen vorgelagerter Software-Anbieter, bevor Erpressungsmeldungen auf Leak-Seiten erscheinen.
IOC-Feeds & YARA
Kuratierte Threat-Actor-Reports, YARA-Regeln und IOC-Feeds liefern Indikatoren und Kontext, um zu detektieren, einzudämmen und wiederherzustellen.
Notfallhilfe & EDR
Im Verdachtsfall: Soforthilfe, EDR/XDR-Härtung und Detektion für die in diesem Beitrag beschriebenen IOCs – pragmatisch im Kreis Heinsberg und remote.
Bereit für die nächste RaaS-Welle im Stil von Vect?
Wir prüfen pragmatisch, ob Ihre Supply-Chain, externen Zugänge, ESXi-Hosts und Backups gegen moderne Wiper-Locker wie Vect gehärtet sind – und wo Sie heute verwundbar wären.
Häufige Fragen zu Vect Ransomware
Mehr aus der Ransomware- & Supply-Chain-Themenwelt
Verwandte Analysen, Darknet-Listings und Notfall-Anleitungen aus dem Wasacon-Blog.
Quellen u. a.: SOCRadar Dark Web Profile (Juni 2026), LevelBlue Ransomware-Note-Analyse, Have I Been Pwned (BreachForums-DB-Import Januar 2026), MITRE ATT&CK Framework.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Bekannt aus
