38 gemeldete Opfer in etwas mehr als einem Jahr, eine postquantenresistente Hybridverschlüsselung und eine Lösegeldforderung, in der damit gedroht wird, die Aufsichtsbehörden zu informieren und die Konkurrenten des Opfers zu alarmieren. AiLock, das erstmals im März 2025 entdeckt wurde, zeichnet sich weniger durch seine Größe als vielmehr durch diese dreistufige Erpressungsmechanik aus, während sich die meisten seit Anfang 2025 aufgetretenen Akteure auf die Androhung der Veröffentlichung beschränken. In etwas mehr als einem Jahr dokumentierter Aktivität hat die Gruppe Opfer auf drei Kontinenten für sich beansprucht, mit einer deutlichen Konzentration in den Vereinigten Staaten.
Im März 2025 entdeckt, erst ab 2026 verfolgt
Zscaler ThreatLabz war im März 2025 der erste, der AiLock öffentlich erwähnte, nachdem eine bisher unbekannte, von der Gruppe signierte Lösegeldforderung entdeckt worden war. Zu diesem Zeitpunkt waren weder Malware-Proben noch die Leak-Seite zugänglich. Die erste umfassende technische Analyse erschien erst im Juli 2025, verfasst von Huiseong Yang (S2W TALON), einem Forscher des südkoreanischen Cybersicherheitsunternehmens S2W, basierend auf Proben, die S2W selbst beschafft hatte.
Zu diesem Zeitpunkt waren auf der Leak-Seite der Gruppe nur fünf Opfer aufgeführt. Danach beschleunigte sich das Tempo. Nach den Anfang Juni 2026 erhobenen Daten von ransomware.live zählte AiLock 38 gemeldete Opfer, wobei das erste am 3. März 2026 und das jüngste am 4. Juni 2026 registriert wurde. Laut S2W hat die Gruppe ihre Infrastruktur seit ihrer Entdeckung zudem mehrfach verlagert und neue Leak-Seiten eingerichtet.
Eine hybride ChaCha20-Verschlüsselung in Verbindung mit einem postquantenalgorithmus
Yangs Analyse zeigt ein ungewöhnliches Verschlüsselungsschema auf. AiLock wurde in C/C++ entwickelt und kombiniert ChaCha20 mit NTRUEncrypt256: ChaCha20 verschlüsselt den Inhalt der Dateien, während NTRUEncrypt256 die Metadaten schützt, angefangen beim ChaCha20-Schlüssel selbst. NTRUEncrypt ist ein postquantenresistenter Algorithmus, eine ungewöhnliche Wahl in den bisher analysierten Ransomware-Familien.
Die Implementierung nutzt IOCP (I/O Completion Ports) für eine Multithread-Verarbeitung, die die Verschlüsselung auf Multicore-Systemen beschleunigt. Die Ransomware startet zwei Arten von Threads parallel: einen Path-Traversal-Thread, der die zu verschlüsselnden Dateien identifiziert und übergibt, und einen Verschlüsselungs-Thread, der den Vorgang ausführt, eine Dateifußzeile erstellt und die Dateiendung umbenennt. Die Strategie variiert je nach Dateigröße: vollständige Verschlüsselung unter 100 MB, teilweise Verschlüsselung darüber. Diese teilweise Verschlüsselung großer Dateien, die in neueren Ransomware-Varianten weit verbreitet ist, reicht aus, um sie unbrauchbar zu machen, während gleichzeitig die Ausführungszeit unddamit das Erkennungsfenster verkürzt werden.
Die Malware erschwert zudem ihre statische Analyse. Ihre Zeichenfolgen werden durch eine XOR-Operation mit einem sich wiederholenden 8-Byte-Schlüssel verschleiert, und alle ihre Systemfunktionen werden zur Laufzeit dynamisch über LoadLibrary() und GetProcAddress() aufgelöst, anstatt im Klartext in die Binärdatei geschrieben zu werden. Die im Abschnitt .data eingebettete Konfiguration ist selbst mit ChaCha20 verschlüsselt, wobei Schlüssel und Nonce fest codiert sind; ein Marker (DE AD BA BE / BA BE DE AD) und ein SHA-256-Prüf-Hash gewährleisten deren Integrität vor Beginn der Verschlüsselung.
Bei der Ausführung stoppt AiLock Dienste und Prozesse, die Dateien sperren (über ControlService() und TerminateProcess()), leert den Papierkorb und erstellt einen Mutex namens FAUST, um doppelte Ausführungen zu verhindern. Es ersetzt das Symbol der verschlüsselten Dateien und den Hintergrund und hinterlässt in jedem betroffenen Verzeichnis eine Lösegeldforderung namens ReadMe.txt. Mehrere Befehlszeilenoptionen erweitern seine Funktionsweise: Mit -del löscht es seine eigenen Spuren über eine Ping-Sequenz an 127.0.0.1, gefolgt von einem del-Befehl; im Modus -full durchsucht er alle gemounteten Laufwerke; mit -shares ermittelt er die Pfade zu freigegebenen Netzwerkressourcen über die WNet-APIs und verschlüsselt diese ebenfalls.
Drei Druckmittel: Veröffentlichung, Regulierer, Konkurrent
Die Lösegeldforderung von AiLock (ReadMe.txt) strukturiert seine Drohungen explizit. Über die Verschlüsselung der Systeme und die Exfiltration von Daten hinaus kündigt die Gruppe drei Maßnahmen im Falle einer Nichtzahlung an: die Veröffentlichung der Daten auf der Leak-Website, die Benachrichtigung der Datenschutzbehörde des betreffenden Landes sowie die Warnung der Konkurrenten des Opfers per E-Mail und in sozialen Netzwerken. Die Nachricht beruft sich ausdrücklich auf die Datenschutzgesetze (PDPL) der einzelnen Länder und setzt dabei auf die Angst vor den behördlichen Sanktionen, die ein gemeldeter Verstoß nach sich ziehen würde.
Der Cybersicherheitsforscher Graham Cluley zitiert einen Auszug daraus, hier aus dem Englischen übersetzt: „Jedes Land hat seine eigenen Datenschutzgesetze (Personal Data Protection Law). Wenn Sie sich nicht mit uns einigen können, werden die Informationen über Ihre Unternehmen und die Daten Ihrer Kunden im Internet veröffentlicht, und die Datenschutzbehörde des betreffenden Landes wird darüber informiert.“
Die Fristen sind kurz: 72 Stunden, um Verhandlungen aufzunehmen, 5 Tage, um die Zahlung abzuschließen. Nach Ablauf dieser Fristen droht die Gruppe, die Daten zu veröffentlichen und die Wiederherstellungstools zu zerstören. Im Gegenzug für eine Zahlung verspricht sie Vertraulichkeit, „Löschprotokolle“ (deletion logs), die die Löschung der Daten bestätigen sollen, und sogar Beratung zur IT-Sicherheit – allesamt nicht überprüfbare Versprechen.
Diese Kombination erhöht den Druck auf Organisationen, die dank ihrer Backups eigentlich auf den Entschlüsselungscode verzichten könnten. Der regulatorische Hebel wirkt vor allem bei Unternehmen, die der DSGVO in Europa oder dem CCPA (California Consumer Privacy Act) in Kalifornien unterliegen. Es handelt sich um eine Variante der klassischen doppelten Erpressung, bei der zusätzlich zur bloßen Androhung der Veröffentlichung zwei externe Druckmittel zum Einsatz kommen.
Vielfältige KMU, eine Mehrheit amerikanischer Opfer
Von den 38 Opfern, die Anfang Juni 2026 gemeldet wurden, ist die geografische Verteilung deutlich unausgewogen: 21 in den USA, 3 im Vereinigten Königreich, 2 in Deutschland, 2 in Kanada, die übrigen Opfer verteilen sich auf die Niederlande, Taiwan, der Schweiz, Polen, Norwegen, Südkorea und China. Die am stärksten betroffenen Branchen sind Unternehmensdienstleistungen (9 Opfer), das verarbeitende Gewerbe (7 Opfer), Verbraucherdienstleistungen und Technologie (jeweils 5 Opfer) sowie das Baugewerbe (4 Opfer).
Das Profil der aufgeführten Opfer verdeutlicht diese Vielfalt: das Schweizer Tischlereiunternehmen Schneebeli AG, der Hersteller von medizinischen Rehabilitationstechnologien Restorative Therapies Inc., der taiwanesische Hersteller von ergonomischen Möbeln Artso International, Accretech America Inc. (US-Tochtergesellschaft von Tokyo Seimitsu), aber auch eine US-Anwaltskanzlei (Aaronson Rappaport Feinstein & Deutsch), ein regionaler Telekommunikationsanbieter (Eeyou Communications Network), einem Vertreiber von Tiergesundheitsprodukten (Revival Animal Health) oder einem Lebensmittelhersteller (Raw Seafoods).
Der Vorfall, der das größte Medienecho erhielt, war die Drohung gegen England Hockey im März 2026, über die insbesondere BleepingComputer berichtete. AiLock gab an, 129 GB an Daten aus der Organisation exfiltriert zu haben, die für die Verwaltung des Feldhockeys in England zuständig ist (mehr als 800 Vereine, etwa 150.000 lizenzierte Spieler, 15.000 Trainer, Schiedsrichter und Funktionäre). England Hockey bestätigte, dass es gemeinsam mit externen Spezialisten und in Zusammenarbeit mit den Behörden eine Untersuchung durchführt, ohne jedoch zum jetzigen Zeitpunkt den tatsächlichen Datendiebstahl zu bestätigen.
Ein RaaS-Modell, das auf einer Peel-Chain-Geldwäsche basiert
AiLock präsentiert sich als RaaS-Operation (Ransomware-as-a-Service) und rekrutiert Partner, die für die Verbreitung der Malware zuständig sind, im Austausch gegen einen Anteil an den Lösegeldzahlungen. Die Gruppe vermarktet sich als „KI-gestützt“ (AI-assisted), ohne dass bisher veröffentlichte technische Analysen präzisieren, worin diese Komponente bei den Operationen oder in der Malware selbst besteht.
Im Oktober 2025 dokumentierte TRM Labs, ein Spezialist für Blockchain-Analysen im Bereich der Finanzkriminalität, die Finanzströme der Gruppe. AiLock nutzt ein sogenanntes „Peel-Chain“-Schema, bei dem die erhaltenen Gelder in aufeinanderfolgenden kleinen Beträgen transferiert werden, um ihre Rückverfolgbarkeit zu verschleiern. Der größte Teil wird an den Bitcoin-Mixer Wasabi weitergeleitet, ein kleinerer Teil läuft über FixedFloat, eine risikoreiche, nicht-verwahrende Handelsplattform. Die Gelder werden anschließend häufig in Monero umgewandelt, bevor sie ihren Weg fortsetzen.
Der Einsatz von Wasabi und Monero steht im Einklang mit den Praktiken anderer Akteure, die die Rückverfolgung durch Ermittler erschweren wollen, wie beispielsweise etablierte Gruppen wie Qilin.
Indikatoren für Kompromittierung und Erkennung
Yang hat die Indikatoren für eine Kompromittierung (IOC) und die zugehörigen YARA-Regeln für AiLock veröffentlicht. Die Fingerabdrücke der analysierten Binärdatei lauten MD5 2a728d98ae8280efeaa674783181f3fa und SHA-256 3c7c91cd4dc336db8082e07ab7549556f05d80acbc778afc2dade67c02002f69; die vollständige Liste und die Erkennungsregeln sind im GitHub-Repository von S2W TALON verfügbar.
Was das Verhalten angeht, deuten mehrere Signaturen auf eine Ausführung von AiLock hin: die Dateiendung .AiLock bei verschlüsselten Dateien, die ReadMe.txt-Datei in jedem Verzeichnis, der Mutex FAUST, die Änderung des Registrierungsschlüssels HKCR/.AiLock/DefaultIcon (grünes Vorhängeschloss-Symbol) sowie der Schlüssel HKCU/Control Panel/Desktop, die sich auf den Hintergrundbildschirm beziehen. Hinzu kommen das Beenden von Diensten über ControlService() und TerminateProcess(), das Leeren des Papierkorbs sowie Aufrufe der APIs GetLogicalDrives() und WNet zur Verbreitung im Netzwerk.
Der Mutex FAUST verdient eine besondere Erwähnung: Es handelt sich um denselben Begriff, den eine Variante der Ransomware Phobos verwendet. Yang stellt jedoch keinen Zusammenhang zwischen AiLock und der Phobos-Familie her, und es handelt sich wahrscheinlich um einen Zufall bei der Namensgebung. Was MITRE ATT&CK betrifft, umfassen die dokumentierten Techniken T1059.003 (Windows Command Shell), T1134.001 (Token Impersonation/Theft), T1027 (Obfuscated Files or Information), T1480 (Execution Guardrails), T1082 (System Information Discovery), T1135 (Network Share Discovery), T1486 (Data Encrypted for Impact) und T1489 (Service Stop).
Risiken durch AiLock-Taktiken minimieren
Für AiLock ist kein initialer Zugriffsvektor bestätigt, doch seine Angriffsvektoren bestimmen die Prioritäten der Verteidigung. Der Fernzugriff stellt die erste Barriere dar: Die Einschränkung der RDP- und VPN-Exposition, das Schließen unnötiger Ports und die Durchsetzung der Multi-Faktor-Authentifizierung (MFA) verschließen den wahrscheinlichsten Einfallstor für RaaS-Betreiber.
Off-Network- oder unveränderliche Backups entschärfen die zentrale Bedrohung der Gruppe: Ohne die Möglichkeit, Wiederherstellungstools zu zerstören, verliert die Erpressung ihren wichtigsten Stützpunkt und damit den Großteil der Verhandlungsmacht des Angreifers. Die Ausbreitung von AiLock auf Netzwerkfreigaben macht zudem die Segmentierung und die Einschränkung von Zugriffsrechten entscheidend für die Eindämmung einer Infektion.
Was die Erkennung betrifft, so speisen Fingerabdrücke, der FAUST-Mutex und die YARA-Regeln von Yang die EDR- und SIEM-Tools, vorausgesetzt, die aktuellen Indikatoren werden aus dem Repository der Forschungsgruppe abgerufen.
Bleibt noch der regulatorische Aspekt, der für AiLock am spezifischsten ist. Er wiegt umso schwerer, als die Organisation ihre eigenen Verpflichtungen nicht kennt: Im Voraus zu wissen, welche Behörde innerhalb welcher Frist benachrichtigt werden muss, entzieht dem Angreifer einen Teil seines Einflusses. In Europa schreibt die DSGVO vor, dass die zuständige Behörde innerhalb von 72 Stunden nach Entdeckung des Verstoßes benachrichtigt werden muss – genau die Frist, die AiLock für Verhandlungen einräumt.
Eine noch junge, aber beständige Gruppe
Mit 38 gemeldeten Opfern in etwas mehr als einem Jahr (ransomware.live, Juni 2026) bleibt AiLock im Vergleich zu den dominierenden Gruppen der Branche ein eher kleiner Akteur, doch seine Entwicklung verläuft stetig. IronGate Security hat im ersten Quartal 2026 einen deutlichen Anstieg der AiLock-Vorfälle festgestellt, und die Häufigkeit der Bekennschreiben bestätigt eine anhaltende Aktivität seit März 2026, wobei jeden Monat Opfer identifiziert werden.
Der zu beobachtende Punkt bleibt der regulatorische Aspekt der Erpressung. Während sich die meisten Akteure auf die Drohung beschränken, Daten zu veröffentlichen, macht AiLock die Benachrichtigung von Regulierungsbehörden und die Warnung von Wettbewerbern zu einem zentralen Bestandteil seiner Kommunikation, deren tatsächliche Wirksamkeit auf die Opfer öffentlich nicht dokumentiert ist. TRM Labs zählt die Gruppe zu den aufstrebenden Akteuren, die es zu beobachten gilt. Zum jetzigen Zeitpunkt präsentiert sich AiLock als finanziell motivierter Cyberkrimineller, der nach dem RaaS-Modell mit der Rekrutierung von Partnern strukturiert ist, ganz im Stil anderer neuer Marktteilnehmer wie The Gentlemen oder NightSpire, deren Entwicklung eher auf der Methode als auf dem Volumen zu beruhen scheint. Derzeit ist es weniger das Volumen als vielmehr die Art und Weise, wie AiLock die Einhaltung gesetzlicher Vorschriften durch seine Opfer als Erpressungshebel nutzt, die AiLock zu einem Fall macht, den man im Auge behalten sollte.
Quellen:
S2W BLOG (Medium): Detailed Analysis of AiLock Ransomware
Zscaler: Zscaler CXO Monthly Roundup | März 2025
BleepingComputer: England Hockey untersucht Datenpanne durch Ransomware
Fortra: AiLock-Ransomware: Was Sie wissen müssen
Ransomware.live: Profil der AiLock-Gruppe
TRM Labs: Neun aufstrebende Gruppen, die die Ransomware-Landschaft prägen
IronGate Security: AiLock-Ransomware
