Seit Januar 2026 veröffentlicht die neue Ransomware-Bande 0Apt (auch "0Apt Syndicate") angebliche Opfer auf ihrer Darknet-Leak-Site. Innerhalb weniger Tage listete die Gruppe 71 Organisationen, insgesamt sind es laut den Ransomware-Analysten von Halcyon über 190. Eine derart hohe Zahl zum Start sei ungewöhnlich, wenn auch nicht beispiellos.

0Apt folgt gemäss Halcyon dem etablierten Double-Extortion-Prinzip: Neben der Verschlüsselung von Systemen droht die Gruppe mit der Veröffentlichung exfiltrierter Daten. Das Geschäftsmodell basiert auf Ransomware-as-a-Service (RaaS), Angriffe werden über Affiliates durchgeführt.

Halcyon analysierte ein Ransomware-Sample der Gruppe. Die in Rust geschriebene Malware versieht verschlüsselte Dateien mit der Endung ".0apt" und hinterlässt eine klassische Lösegeldnotiz mit Verweis auf ein Chat-Portal. Laut den Forschern sind sowohl Windows- als auch Linux-Varianten funktionsfähig. Auch das zugehörige Affiliate-Panel gilt als operativ.

Ob 0Apt tatsächlich hinter den behaupteten Angriffen steckt, ist zweifelhaft. Weder Halcyon noch andere Ransomware-Analysten konnten bislang auch nur ein Opfer unabhängig verifizieren. Teilweise enthalten veröffentlichte Datensätze leere Dateien oder lassen sich über die vorhandene Infrastruktur nicht herunterladen. Auffällig ist laut Halcyon zudem, dass Dateibäume in voller Grösse bereitgestellt werden, was eine Validierung zusätzlich erschwere.

Die rasche Veröffentlichung zahlreicher Namen könnte strategisch motiviert sein. Ransomware-Gruppen veröffentlichen mitunter bewusst grössere "Backlogs", um beim Start Handlungsfähigkeit zu demonstrieren. Alternativ kommen auch der Zukauf von Zugängen über Initial Access Broker oder die Ausnutzung verbreiteter Schwachstellen infrage. Hinweise auf die Ausnutzung einer Zero-Day-Lücke liegen laut Halcyon derzeit jedoch nicht vor.

Zum Vergleich: 2025 steigerte die Gruppe Clop ihre Aktivität massiv durch die Ausnutzung von Zero-Day-Schwachstellen und listete in einem Monat Hunderte Opfer.

Die Mehrzahl der von 0Apt genannten Opfer stammt aus den USA, aber auch einige grosse Schweizer Unternehmen wurden Anfang Februar auf der Leak-Seite gelistet. Eines der mutmasslichen Schweizer Opfer sei bereits 2023 gehackt worden, bestätigte jedoch damals keinen Breach. Zum Zeitpunkt der Veröffentlichung dieses Artikels werden keine Schweizer Unternehmen mehr auf 0Apts Leak-Seite genannt.

Keines der gelisteten Opfer ist bislang als vollständig veröffentlicht markiert. Das könnte darauf hindeuten, dass sich viele Fälle noch in einer Verhandlungs- oder Druckphase befinden. Eine Besonderheit ist zudem ein auf der Site angezeigter "Payment-Status", der den Countdown eines Opfers beendet, ohne es zwingend von der Leak-Site zu entfernen.

Es könnte sich bei 0Apt auch auch um einen IT-Security-Dienstleister handeln, der Unternehmen aufmerksam machen will, wie der Cybersecurity-Spezialist Manuel Löw-Beer gegenüber inside-it.ch erklärt: "Diese teils Grosskonzerne haben Ransomware-Tracker im Einsatz, bekommen die Notification und so adressiert man Nachrichten an die richtigen Ansprechpartner."

Ob 0Apt hinter sämtlichen behaupteten Angriffen steht, bleibt offen. Die meisten Ransomware-Experten stempeln die neue Gruppe jedoch als Scam ab. Klar ist: Die technische Basis der Gruppe ist funktionsfähig, das RaaS-Modell etabliert. Selbst wenn Teile der Opferliste taktischer Natur sein sollten, besteht das Potenzial, dass sich 0Apt zu einer operativ relevanten Ransomware-Operation entwickelt.