KillSec-Ransomware zerschlagen – drei Festnahmen und jugendlicher Verdächtiger

Die Zerschlagung der KillSec-Ransomware hat eine mutmaßliche Cybercrime-Operation gestört, die mit rund 1.000 mutmaßlichen Angriffen weltweit in Verbindung gebracht wird. Die Behörden beschlagnahmten die Infrastruktur der Gruppe und nahmen bei einer koordinierten Aktion am 30. September drei Verdächtige vorläufig fest.

Laut Europol gehen die Ermittler davon aus, dass ein 16-Jähriger als Hauptbetreiber der Gruppe fungierte. Gleichzeitig sicherte die Polizei im Rahmen der von Deutschland geleiteten Ermittlungen, die unter dem Namen Operation KillSwitch bekannt sind, mindestens 110 Terabyte gestohlene Daten.

Polizei beschlagnahmt fünf Server und schaltet Leak-Seite ab

Ermittler in Hamburg verfolgten die Infrastruktur von KillSec zurück und identifizierten fünf Server, darunter den Hauptserver sowie Systeme, auf denen sich mutmaßlich gestohlene Informationen befanden. Anschließend schalteten die Behörden diese ab und übernahmen die Kontrolle über die Leak-Seite der Gruppe im Dark Web.

Auf der Seite wird nun ein Hinweis auf die Beschlagnahmung durch die Polizei angezeigt. Zuvor soll die Gruppe sie genutzt haben, um Opfer unter Druck zu setzen, indem sie mit der Veröffentlichung vertraulicher Dateien drohte.

Darüber hinaus durchsuchten Beamte acht Objekte in Griechenland, Rumänien, Spanien und dem Vereinigten Königreich. Die Behörden erklärten, die Sicherung der gestohlenen Daten solle weiteren unbefugten Zugriff verhindern.

An der umfassenderen Operation waren zehn Länder beteiligt, unterstützt von Europol, Eurojust, Bitdefender und Group-IB.

Ermittlungen identifizieren mutmaßliche jugendliche Betreiber

Die Ermittlungen begannen 2025 und führten zur Identifizierung von Personen, die verdächtigt werden, für Administration, Softwareentwicklung, Lösegeldverhandlungen und Affiliate-Aktivitäten verantwortlich gewesen zu sein.

Neben dem mutmaßlichen 16-jährigen Administrator identifizierten die Ermittler einen mutmaßlichen Entwickler, der im August 2026 18 Jahre alt wurde. Diese Person war daher bei einigen der mutmaßlichen Straftaten noch minderjährig.

Die Behörden identifizierten außerdem einen mutmaßlichen Verhandlungsführer und einen Affiliate. Aus den verfügbaren Informationen geht jedoch nicht hervor, welche dieser Personen zu den drei vorläufig Festgenommenen gehörten.

Rund 500 Angriffe sollen erfolgreich gewesen sein

Die Ermittler gehen derzeit davon aus, dass etwa 500 der rund 1.000 mutmaßlichen Angriffe erfolgreich waren. Sie warnten jedoch davor, dass sich diese Zahlen ändern könnten, während sie die beschlagnahmten Beweismittel untersuchen.

Mindestens 70 mutmaßliche Angriffe betrafen Organisationen in Deutschland. Davon standen 18 Fälle in Verbindung mit Hamburg.

KillSec ist seit etwa 2024 aktiv. Nach Angaben der Ermittler nutzten die Mitglieder der Gruppe Software-Schwachstellen sowie unzureichend gesicherte, mit dem Internet verbundene Geräte und Plattformen aus, um in Unternehmensnetzwerke einzudringen.

Nach dem Zugriff sollen die Angreifer sensible Informationen gestohlen und Zahlungen dafür verlangt haben, diese geheim zu halten. Laut Europol führten diese Erpressungsversuche zu erheblichen Lösegeldzahlungen, eine Gesamtsumme wurde jedoch nicht genannt.

Beschlagnahmte Beweise könnten weitere Opfer aufdecken

Die Ermittler stellten außerdem fest, dass Mitglieder der Gruppe künstliche Intelligenz nutzten, um ihre Ransomware-Infrastruktur zu entwickeln und zu warten. Darüber hinaus sollen sie KI eingesetzt haben, um potenzielle Ziele zu identifizieren.

Nach der Zerschlagung der KillSec-Ransomware untersuchen die Behörden Computer, Server und weiteres sichergestelltes Material. Außerdem verfolgen sie mutmaßliche kriminelle Erlöse, darunter Kryptowährungen.

Während diese Arbeit fortgesetzt wird, erwarten die Ermittler, dass die Beweismittel weitere Angriffe, Opfer und Personen aufdecken könnten, die mit der Operation in Verbindung stehen.