Eine neue Prinz Eugen Ransomware sorgt seit Juni 2026 für Aufsehen. Die Erpressersoftware geht ungewöhnlich vor: Sie verschlüsselt zuerst die zuletzt bearbeiteten Dateien und hinterlässt keine klassische Lösegeldforderung. Sicherheitsforscher von Threatdown haben den Schädling genau analysiert. Die Ergebnisse zeigen, wie raffiniert moderne Angriffe geworden sind.
Wie die Prinz Eugen Ransomware vorgeht
Der Schädling ist in der Programmiersprache Go geschrieben. Sein Kern unterscheidet sich von typischer Ransomware. Statt blind alles zu verschlüsseln, priorisiert er die zuletzt geänderten Dateien. Tragen mehrere Dateien denselben Zeitstempel, arbeitet das Programm sie alphabetisch ab.
Hinter dieser Logik steckt Kalkül. Aktuelle Dateien sind meist geschäftskritisch und in aktiver Nutzung. Genau dort entsteht der größte Schaden. Das erhöht den Druck auf die Opfer, schnell zu zahlen. Threatdown identifizierte bislang mindestens fünf Opfer.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Keine Lösegeldnotiz – mit Absicht
Besonders auffällig: Die Prinz Eugen Ransomware hinterlässt keine Textdatei und ändert kein Desktop-Hintergrundbild. Diese Taktik beobachten Forscher zunehmend bei organisierten Gruppen. Der Grund ist clever. Ohne Notiz bleiben weniger forensische Spuren zurück. Zudem erschwert es die automatische Erkennung der Erpressung.
Die Täter verlagern die Kommunikation komplett nach außen. Sie melden sich per E-Mail, telefonisch oder über Darknet-Portale. So bleibt der Erpressungsschritt im Verborgenen. In einem Fall forderten die Angreifer 1 Bitcoin – das Opfer verweigerte die Zahlung.
Angriffsweg: gestohlene Zugangsdaten und RMM-Tools
Der erste Zugang gelingt den Tätern vermutlich über gestohlene RDP-Zugangsdaten. Danach laden sie die Hauptkomponente servertool.exe manuell nach und führen sie aus. Auffällig ist der Hands-on-Keyboard-Stil. Die Angreifer arbeiten also live am System, statt alles zu automatisieren.
Dabei setzen sie bewusst auf legitime Werkzeuge. Sie missbrauchen Remote-Monitoring-Software (RMM) und sogenannte Living-off-the-Land-Tools. Solche Programme sind in vielen Netzwerken ohnehin vorhanden. Das macht die Angriffe schwerer erkennbar.
So schützt du dich vor der Prinz Eugen Ransomware
Gegen diese Art von Angriff hilft eine konsequente Backup-Strategie. Wer saubere, getrennte Sicherungen hat, ist nicht erpressbar. Bewährt hat sich die 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus oder offline.
- RDP absichern: Nutze starke Passwörter und Zwei-Faktor-Authentifizierung.
- Offline-Backups: Halte mindestens eine Sicherung physisch getrennt vom Netzwerk.
- RMM-Tools überwachen: Erfasse, welche Fernwartungssoftware legitim im Einsatz ist.
- Updates einspielen: Halte Systeme und Endpoint-Schutz aktuell.
Gerade bei Offline-Backups führt der Weg oft über verschlüsselte externe Datenträger. Welche Geräte sich dafür eignen, zeigt unser Ratgeber zu verschlüsselten USB-Sticks und externen SSDs. Damit bleiben deine Daten auch bei Verlust oder Diebstahl geschützt.
Fazit zur Prinz Eugen Ransomware
Die Prinz Eugen Ransomware zeigt, wohin sich Angriffe entwickeln. Gezielte Verschlüsselung, keine sichtbaren Spuren und der Missbrauch legitimer Tools machen die Erkennung schwer. Der beste Schutz bleibt unspektakulär, aber wirksam: getrennte Backups, abgesichertes RDP und wachsame Überwachung. Wer das umsetzt, nimmt den Erpressern ihr stärkstes Druckmittel.
Quellen
- BleepingComputer: New Prinz Eugen ransomware prioritizes recent files
- Threatdown: Prinz Eugen ransomware – deep dive
- SC Media: Prinz Eugen targets recent files, avoids ransom notes
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung