✉️info@mh-service.de | 📞+49 (7275) 9692381
Kontakt EN DE
Double-Extortion RaaS · Aktive Gruppe · Dark-Web-Leak-Site

Kraken Ransomware – Gruppenanalyse & Incident Response

Kraken ist eine aktive Ransomware-Gruppe mit eigener Leak-Site im Tor-Netzwerk. Die Gruppe beansprucht Opfer in mehreren Branchen, darunter Technologie, IT-Dienstleistungen, Business Services, Telekommunikation, Konsum- und Fertigungsunternehmen. Typisch ist ein Double-Extortion-Modell: Datendiebstahl und Veröffentlichung im Darknet kombiniert mit Verschlüsselung.

24/7 Notfall-Hotline anrufen Incident-Response-Support anfragen
Aktiv seit Anfang 2025 25+ Opfer öffentlich gelistet Fokus auf Technologie- & Service-Provider
Status
Aktive Ransomware-Gruppe
Bekannte Opfer
25+ Organisationen öffentlich gelistet
Erstes bekanntes Opfer
Februar 2025
Jüngere Aktivität
Laufende Claims bis Q4 2025

Kraken Ransomware – Bedrohungsprofil

Arbeitsweise & Taktiken

Kraken folgt dem inzwischen etablierten Double-Extortion-Ansatz: Angreifer bewegen sich seitlich im Netzwerk, stehlen Daten und setzen dann Ransomware ein – kombiniert mit der Drohung, sensible Informationen über ein Leak-Portal im Darknet zu veröffentlichen.

Öffentliche Beschreibungen und Leak-Site-Einträge deuten auf einen Fokus u. a. auf:

  • Technologie- und IT-Services
  • Business & Professional Services
  • Telekommunikationsanbieter
  • Konsumnahe Dienstleistungen & Handel
  • Fertigungs- und Logistikunternehmen

Die Opfer verteilen sich auf Nordamerika, Europa und weitere Regionen – von mittelständischen Unternehmen bis hin zu größeren Organisationen.

Leak-Site & öffentliche Claims

Kraken betreibt eine Tor-basierte Leak-Site, auf der Opfer mit Namen, Kurzbeschreibung und teilweise Datenproben gelistet werden. Das Portal dient als Druckmittel in Verhandlungen und als Nachweis, dass tatsächlich sensible Informationen entwendet wurden.

Wir empfehlen ausdrücklich, nicht selbst und ungeschützt auf solche Leak-Sites zuzugreifen. Nutzen Sie stattdessen etablierte Threat-Intelligence-Quellen und jurisch abgesicherte Prozesse.

Leak-Einträge bleiben häufig auch nach Wiederaufnahme des Betriebs online verfügbar. Daher sind Eindämmung, Beweissicherung und eine abgestimmte Kommunikationsstrategie genauso wichtig wie technische Wiederherstellung.

Beobachtete Aktivität & Opferprofil

Öffentliche Leak-Site-Monitoring-Daten zeigen, dass Kraken seit Anfang 2025 fortlaufend neue Opfer meldet – mit weiterem Anstieg im Verlauf des Jahres. Viele der gelisteten Unternehmen sind technologiegetrieben oder erbringen kritische Dienstleistungen für andere Organisationen, was das Risiko von Supply-Chain-Effekten erhöht.

Beispielhafte betroffene Branchen

  • Technologie- & IT-Dienstleister
  • Business & Professional Services
  • Telekommunikationsanbieter
  • Konsumnahe Services & Handel
  • Fertigung & Logistik

Regionale Schwerpunkte (Auswahl)

  • USA und Kanada
  • Spanien, Italien und weitere EU-Staaten
  • Einzelne Ziele in Lateinamerika und Asien
Wichtig: Leak-Site-Listen sind selten vollständig. Manche Organisationen zahlen, bevor sie gelistet werden; andere tauchen erst lange nach der Kompromittierung auf. Nur eine strukturierte forensische Analyse zeigt, wie lange sich Angreifer tatsächlich in Ihrer Umgebung aufgehalten haben und welche Daten betroffen sind.

Erkennung & Telemetrie – worauf Sie achten sollten

Infrastruktur- & Endpoint-Sicht

  • Prozessüberwachung: ungewöhnliche Tools, Skripte oder Kryptominer, die von Applikationsservern oder Domänencontrollern gestartet werden.
  • Backup-Manipulation: Löschung oder Anpassung von Backup-Jobs, Entfernung von Snapshots oder plötzliche Fehlschläge bei Sicherungsroutinen.
  • Privilegienerweiterung: neue administrative Konten, Änderungen an Gruppenmitgliedschaften oder auffällige Remote-Management-Nutzung.
  • Signale aus Security-Sensoren: EDR-, XDR- und eBPF-basierte Tools, die laterale Bewegung, Credential Dumping oder typisches Ransomware-Verhalten melden.

Netzwerk-, Log- & Leak-Indikatoren

  • Unübliche ausgehende Verbindungen: große Datenübertragungen von File- oder Applikationsservern zu unbekannten Hosts oder Anonymisierungsdiensten.
  • Remote-Access-Tools: unerwartete Nutzung von RDP, VPN oder Drittanbieter-Remote-Support-Werkzeugen.
  • Authentifizierungsanomalien: Häufung fehlgeschlagener Logins, neue Geräte aus ungewöhnlichen Regionen oder ungewöhnlichen Zeitfenstern.
  • Leak-Site-Korrelation: wenn Ihr Name auf einer Kraken-Leak-Site auftaucht, korrelieren Sie das Veröffentlichungsdatum mit internen Logs, um den Zeitpunkt der Datenexfiltration besser einzugrenzen.

Grenzen klassischer IoCs

Im Vergleich zu älteren Ransomware-Familien liegen für Kraken derzeit weniger öffentlich bekannte Indicators of Compromise (IoCs) vor – und Infrastruktur sowie Werkzeuge ändern sich häufig.

Daher empfehlen wir einen Fokus auf verhaltensbasierte Erkennung: ungewöhnliche Authentifizierungsmuster, auffällige Datenabflüsse, Prozessketten und Änderungen an Backup- oder Security-Tools – anstatt sich ausschließlich auf IP-/Domain-Blocklisten zu verlassen.

Was in den ersten 72 Stunden eines Kraken-Vorfalls passiert

Die ersten Tage eines Kraken-Ransomware-Vorfalls sind entscheidend. Unser strukturiertes Vorgehen hilft, den Betrieb zu stabilisieren, Beweise zu sichern und gleichzeitig eine sichere Wiederherstellung vorzubereiten.

0–4 Stunden: Stabilisieren & eindämmen

  1. Notruf & Ersteinschätzung: wir klären, was Sie aktuell sehen (Verschlüsselung, Erpressernachrichten, Leak-Drohungen) und welche Systeme betroffen sind.
  2. Sichere Isolation: Anleitung zur Segmentierung und Trennung betroffener Systeme – ohne diese voreilig zu löschen oder neu aufzusetzen.
  3. Beweissicherung: Sicherung relevanter Logs, Snapshots und weiterer Artefakte für Forensik, Versicherung und rechtliche Anforderungen.

4–24 Stunden: Forensik & Schadensbild

  1. Artefakt-Sammlung: Systemabbilder, Log-Exports, EDR-Daten und Konfigurationen wichtiger Systeme.
  2. Analyse des Angriffswegs: erste Bewertung von Einstiegspunkt, lateraler Bewegung und Umfang des Datendiebstahls.
  3. Briefings für Stakeholder: verständliche Statusberichte für Geschäftsführung, Rechtsabteilung, Datenschutz und Kommunikation.

Tag 2–3: Wiederherstellung & Entscheidungsunterstützung

  1. Wiederaufbau-Plan: Ausarbeitung eines phasenweisen Plans für Restore, Neuaufbau oder Mischformen – inklusive Härtungsmaßnahmen.
  2. Bewertung der Datenexponierung: Abschätzung, welche Datenarten wahrscheinlich abgeflossen sind und welche Auswirkungen das für Kunden, Partner und Aufsichtsbehörden hat.
  3. Unterstützung bei Verhandlungen: falls bereits Kontakt mit Kraken besteht, begleiten wir – gemeinsam mit Rechts- und Versicherungsseite – die Bewertung der Optionen, inklusive der Risiken von Zahlung oder Nichtzahlung.

Wie wir Sie bei einem Kraken-Vorfall unterstützen

Als spezialisiertes Incident-Response- und Forensik-Team unterstützen wir Organisationen dabei, Kraken-Fälle strukturiert und belastbar zu bearbeiten:

  • Schnelle Remote-Triage: erste Einschätzung von Schadensausmaß, Datenexponierung und sinnvollen Sofortmaßnahmen.
  • Digitale Forensik: Rekonstruktion des Angriffswegs, der Angreiferaktivitäten und des Zeitablaufs – für interne und externe Stellen.
  • Wiederherstellung & Härtung: Unterstützung bei Restore/Neuaufbau, AD-Härtung und Verbesserung der Backup-Strategie.
  • Detection Engineering: Entwicklung von SIEM-, EDR- und Log-basierten Erkennungsregeln mit Fokus auf Ransomware-TTPs.

Nächste Schritte für betroffene Unternehmen

  1. Stellen Sie ein kleines Response-Team (IT/Security, Management, Recht) zusammen und dokumentieren Sie den bisherigen Verlauf.
  2. Kontaktieren Sie unsere Incident-Response-Hotline oder schreiben Sie an dfir@mh-service.de mit einer kurzen Zusammenfassung (Branche, Unternehmensgröße, betroffene Systeme, Backup-Situation).
  3. Gemeinsam definieren wir Sofortmaßnahmen zur Eindämmung und planen die forensischen Schritte sowie den Wiederaufbau in den ersten 72 Stunden.

Auf Wunsch arbeiten wir unter anwaltlichem Mandat („legal privilege“) und in enger Abstimmung mit Ihrer Cyber-Versicherung.

Häufige Fragen zu Kraken Ransomware

Müssen wir zahlen, um wieder arbeitsfähig zu werden?

Nicht zwingend. Eine Wiederherstellung über Backups oder Neuaufbau ist oft ohne Zahlung möglich, wenn Sicherungen intakt sind und ein gewisser Datenverlust vertretbar ist. Wir prüfen die technische Machbarkeit und unterstützen Sie bei der Abwägung der Optionen gemeinsam mit Management und Rechtsabteilung.

Können Sie helfen, wenn bereits verhandelt wird?

Ja. Viele Organisationen holen uns hinzu, wenn die Kommunikation mit den Angreifern bereits läuft oder sie auf der Leak-Site gelistet sind. Wir helfen bei der Einordnung von Angreiferforderungen, unterstützen Ihre Verhandlungsstrategie gemeinsam mit Rechts- und Versicherungsseite und arbeiten parallel an Eindämmung und Wiederherstellung.

Gibt es einen öffentlichen Decryptor für Kraken?

Zum aktuellen Zeitpunkt ist kein allgemein verfügbarer Decryptor für aktuelle Kraken-Varianten bekannt. Unser Fokus liegt daher auf Eindämmung, forensischer Analyse sowie Wiederherstellung über Backups oder Neuaufbau – während wir die Bedrohungslage fortlaufend beobachten.

Wie sollte Kraken im Vergleich zu anderen Bedrohungen priorisiert werden?

Wenn Sie exponierte Systeme betreiben oder bereits konkrete Hinweise auf eine Kompromittierung sehen, sollte Kraken als höchste Priorität (P1) behandelt werden. Ohne aktuelle Indikatoren empfehlen wir, Ihre allgemeine Ransomware-Resilienz zu stärken (Backups, Monitoring, MFA, Segmentierung).