Was ist die Ransomware Play?

Play, auch Playcrypt genannt, ist eine Ransomware-Gruppe, die seit Juni 2022 aktiv ist. CISA, FBI und das Australian Cyber Security Centre beschrieben sie in der gemeinsamen Warnung AA23-352A vom 18. Dezember 2023, damals mit rund 300 betroffenen Organisationen; eine Aktualisierung vom Juni 2025 gab an, dass dem FBI mit Stand Mai 2025 etwa 900 bekannt waren. Play setzt auf doppelte Erpressung, doch die Lösegeldforderung nennt keinen Betrag: Opfer sollen per E-Mail Kontakt aufnehmen, und laut Aktualisierung wurden einige auch telefonisch bedroht. Der Erstzugang kommt meist über echte, gestohlene oder gekaufte Konten und über Schwachstellen in Systemen mit Internetzugang wie Remote-Desktop- und Firewall-Diensten. Die Gruppe kompiliert ihre Schadsoftware für jeden Angriff neu, Datei-Hashes helfen daher wenig. Zuverlässiger ist das Verhalten: Diebstahl von Zugangsdaten, Bewegung zwischen internen Rechnern sowie Sammeln und Abfließen von Daten vor der Verschlüsselung, was die Netzwerküberwachung sehen kann.

← Alle 25 Fragen zu Ransomware-Gruppen und -FamilienAlle Themen