Eine Ransomware-Gruppe bietet Hackern einen Anteil von 80 % der Erpressungsgelder, um Affiliates zu gewinnen und ihre Aktivitäten auszuweiten.
Die als Dark Project bekannte Ransomware-as-a-Service-(RaaS)-Operation wurde erstmals im Juni 2026 beobachtet und führt Berichten zufolge im Namen ihrer Affiliates Verhandlungen mit Opfern. Laut dem Threat-Intelligence-Unternehmen Gurucul listet die öffentliche Leak-Site der Gruppe 38 mutmaßliche Opfer in acht Ländern auf.
Die Vereinbarung ermöglicht es Affiliates, sich auf die Durchführung von Angriffen zu konzentrieren, während Dark Project die Verhandlungen und die Zahlungsabwicklung übernimmt. Für Unternehmen zeigt das Modell, wie Ransomware-Betreiber versuchen, Angriffe leichter zu koordinieren und zu skalieren.
Das 80/20-Geschäftsmodell der Ransomware
Dark Project setzt eine Doppel-Erpressungsstrategie ein: Affiliates exfiltrieren vertrauliche Dateien, bevor sie lokale Netzwerke verschlüsseln, und nutzen die Drohung einer öffentlichen Veröffentlichung als finanziellen Hebel.
Im beworbenen Partnerprogramm behalten die Betreiber von Dark Project 20 % für Infrastruktur, Berichterstattung und Opferverhandlungen ein und geben die verbleibenden 80 % an die Affiliates weiter. Anwerbung und Betrieb folgen einem vierstufigen Ablauf:
- Bewerbung: Potenzielle kriminelle Partner kontaktieren die Betreiber über das Tox-Messaging-Protokoll.
- Aufnahme: Zugelassene Affiliates erhalten eindeutige Partner-IDs, operative Leitfäden und Plattformzugang.
- Bereitstellung: Hacker stellen Payloads über bereitgestellte Windows-Assessment-Agenten (in den Formaten EXE und BIN) sowie Social-Engineering-Suiten bereit.
- Abrechnung: Die Kerngruppe übernimmt Lösegeldverhandlungen und verspricht den Affiliates innerhalb von 24 Stunden nach der Einigung Provisionszahlungen in Bitcoin (BTC).
Zielaufschlüsselung | Wichtige Kennzahl | Bemerkenswerte Branchen & Regionen |
| Land mit den meisten Opfern | Vereinigte Staaten (30 Opfer/79 %) | Vereinigtes Königreich, Deutschland, Brasilien, Philippinen |
| Branche mit den meisten Opfern | Verarbeitendes Gewerbe (12 Opfer/32 %) | Gesundheitswesen (7), Baugewerbe (4) |
| Höhepunkt der Veröffentlichungen | August 2026 (20 gelistete Opfer) | Aktuell: Custom Bakehouse, Simplehuman |
Der RaaS-Wandel: Reibungsabbau als Waffe
Die aggressive Auszahlung von 80 % durch Dark Project spiegelt den Wandel in der Cybercrime-Ökonomie wider. Da internationale Strafverfolgungsmaßnahmen etablierte Ransomware-Betreiber unter Druck setzen, konkurrieren neuere Syndikate aggressiv um qualifizierte Eindringlinge, indem sie Hürden für Affiliates minimieren.
Durch die Zentralisierung der Opferkommunikation, des Leak-Hostings und der Verhandlungen ermöglicht Dark Project es technisch versierten Affiliates, sich ausschließlich auf den Erstzugang und die laterale Bewegung zu konzentrieren.
Verteidiger sollten jedoch eine operative Lücke beachten: Die Angaben der Gruppe zu ihrer Plattform und die beworbenen Zahlungspläne sind durch die Transaktionsverfolgung Dritter weiterhin nicht verifiziert, und Veröffentlichungen auf öffentlichen Leak-Sites dienen häufig eher als Eigenwerbung denn als Beleg für eine vollständige Kompromittierung der Systeme.
Was das für Unternehmen und Endnutzer bedeutet
Wenn RaaS-Betreiber die Einstiegshürden für Affiliates senken, sind alltägliche Geschäftsabläufe erhöhten Kaskadenrisiken ausgesetzt:
- Kritische Betriebsunterbrechungen: Die starke Fokussierung auf das verarbeitende Gewerbe und das Gesundheitswesen kann dazu führen, dass physische Montagelinien stillstehen und medizinische Leistungen für Patienten beeinträchtigt werden.
- Risiko einer zweifachen Erpressung: Da Bedrohungsakteure bereits vor der Bereitstellung Daten stehlen, ermöglicht eine zuverlässige Datensicherung zwar die Wiederherstellung von Systemen, kann aber nicht verhindern, dass geschützte Kundendaten, geistiges Eigentum des Unternehmens oder Mitarbeiterdateien online versteigert werden.
- Verbreitung von Zugangsdaten: Akteure von Dark Project nutzen für den Erstzugang häufig Protokolle von Info-Stealern, offengelegte Remote-Desktop-Protocol-(RDP)-Schnittstellen und ungepatchte VPN-Gateways, wodurch interne Zugangsdaten von Unternehmen unmittelbar gefährdet sind.
Unternehmen können ihre Gefährdung verringern, indem sie phishing-resistente Multifaktor-Authentifizierung für alle Fernzugriffsdienste durchsetzen, internetseitig erreichbare Systeme zeitnah patchen, isolierte und unveränderliche Backups vorhalten sowie ungewöhnliche Datenübertragungen oder Anzeichen für die Vorbereitung eines Ransomware-Angriffs überwachen.
Backups bleiben für die Wiederherstellung unverzichtbar, können Angreifer aber nicht daran hindern, mit der Veröffentlichung gestohlener Informationen zu drohen. Daher ist die frühzeitige Erkennung unbefugter Zugriffe und der Datenexfiltration ebenso wichtig wie die Verhinderung einer Verschlüsselung.
Das beworbene Geschäftsmodell von Dark Project veranschaulicht, wie Ransomware-Gruppen versuchen können, ihre Reichweite durch die Auslagerung von Angriffen an Affiliates zu vergrößern. Für Verteidiger bleibt es vorrangig, den Zugang und die Möglichkeiten zu begrenzen, die diese Affiliates benötigen, um Unternehmensnetzwerke zu kompromittieren.
Da die Weihnachtseinkaufssaison näher rückt, warnen Cybersicherheitsexperten Einzelhändler und Verbraucher vor steigenden Betrugsrisiken im Zusammenhang mit gefälschten Rückerstattungsanfragen und Geschenkkartenbetrug, die zu finanziellen Verlusten und dem Diebstahl von Kundeninformationen führen können.