Eine neue Prinz Eugen Ransomware sorgt seit Juni 2026 für Aufsehen. Die Erpressersoftware geht ungewöhnlich vor: Sie verschlüsselt zuerst die zuletzt bearbeiteten Dateien und hinterlässt keine klassische Lösegeldforderung. Sicherheitsforscher von Threatdown haben den Schädling genau analysiert. Die Ergebnisse zeigen, wie raffiniert moderne Angriffe geworden sind.
Wie die Prinz Eugen Ransomware vorgeht
Der Schädling ist in der Programmiersprache Go geschrieben. Sein Kern unterscheidet sich von typischer Ransomware. Statt blind alles zu verschlüsseln, priorisiert er die zuletzt geänderten Dateien. Tragen mehrere Dateien denselben Zeitstempel, arbeitet das Programm sie alphabetisch ab.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Hinter dieser Logik steckt Kalkül. Aktuelle Dateien sind meist geschäftskritisch und in aktiver Nutzung. Genau dort entsteht der größte Schaden. Das erhöht den Druck auf die Opfer, schnell zu zahlen. Threatdown identifizierte bislang mindestens fünf Opfer.
Keine Lösegeldnotiz – mit Absicht
Besonders auffällig: Die Prinz Eugen Ransomware hinterlässt keine Textdatei und ändert kein Desktop-Hintergrundbild. Diese Taktik beobachten Forscher zunehmend bei organisierten Gruppen. Der Grund ist clever. Ohne Notiz bleiben weniger forensische Spuren zurück. Zudem erschwert es die automatische Erkennung der Erpressung.
Die Täter verlagern die Kommunikation komplett nach außen. Sie melden sich per E-Mail, telefonisch oder über Darknet-Portale. So bleibt der Erpressungsschritt im Verborgenen. In einem Fall forderten die Angreifer 1 Bitcoin – das Opfer verweigerte die Zahlung.
Angriffsweg: gestohlene Zugangsdaten und RMM-Tools
Der erste Zugang gelingt den Tätern vermutlich über gestohlene RDP-Zugangsdaten. Danach laden sie die Hauptkomponente servertool.exe manuell nach und führen sie aus. Auffällig ist der Hands-on-Keyboard-Stil. Die Angreifer arbeiten also live am System, statt alles zu automatisieren.
Dabei setzen sie bewusst auf legitime Werkzeuge. Sie missbrauchen Remote-Monitoring-Software (RMM) und sogenannte Living-off-the-Land-Tools. Solche Programme sind in vielen Netzwerken ohnehin vorhanden. Das macht die Angriffe schwerer erkennbar.
So schützt du dich vor der Prinz Eugen Ransomware
Gegen diese Art von Angriff hilft eine konsequente Backup-Strategie. Wer saubere, getrennte Sicherungen hat, ist nicht erpressbar. Bewährt hat sich die 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus oder offline.
- RDP absichern: Nutze starke Passwörter und Zwei-Faktor-Authentifizierung.
- Offline-Backups: Halte mindestens eine Sicherung physisch getrennt vom Netzwerk.
- RMM-Tools überwachen: Erfasse, welche Fernwartungssoftware legitim im Einsatz ist.
- Updates einspielen: Halte Systeme und Endpoint-Schutz aktuell.
Gerade bei Offline-Backups führt der Weg oft über verschlüsselte externe Datenträger. Welche Geräte sich dafür eignen, zeigt unser Ratgeber zu verschlüsselten USB-Sticks und externen SSDs. Damit bleiben deine Daten auch bei Verlust oder Diebstahl geschützt.
Fazit zur Prinz Eugen Ransomware
Die Prinz Eugen Ransomware zeigt, wohin sich Angriffe entwickeln. Gezielte Verschlüsselung, keine sichtbaren Spuren und der Missbrauch legitimer Tools machen die Erkennung schwer. Der beste Schutz bleibt unspektakulär, aber wirksam: getrennte Backups, abgesichertes RDP und wachsame Überwachung. Wer das umsetzt, nimmt den Erpressern ihr stärkstes Druckmittel.
Quellen
- BleepingComputer: New Prinz Eugen ransomware prioritizes recent files
- Threatdown: Prinz Eugen ransomware – deep dive
- SC Media: Prinz Eugen targets recent files, avoids ransom notes
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden