Deutschland: RansomHouse zielt mit 'Mario'-Encryptor gezielt auf VMware ESXi deutscher Industrie

Anfang 2026 hat sich die Bedrohungslage für deutsche Industrieunternehmen durch RansomHouse spürbar verschärft. Die Gruppe – intern auch als Jolly Scorpius getrackt – setzt auf einen neuartigen, in C geschriebenen "Mario"-Encryptor, der speziell auf VMware ESXi-Hypervisoren zugeschnitten ist.

Technisches Profil: - Dual-Key-Verschlüsselung macht klassische Recovery-Ansätze über Backup-Snapshots unbrauchbar, sobald der Hypervisor selbst betroffen ist. - Automatisierte ESXi-Routinen fahren laufende VMs gezielt herunter, um Datei-Locks zu lösen, und verschlüsseln dann reihenweise virtuelle Disks. - Initial Access erfolgt häufig über exponierte vCenter-Instanzen, schwache Passwörter und nicht gepatchte ESXi-Versionen (u.a. CVE-2024-37085).

Ziel sind insbesondere Maschinenbau, Automotive-Zulieferer und Logistiker im deutschen Mittelstand. Erste Vorfälle führten zu mehrtägigen Produktionsausfällen.

Risikomonitor empfiehlt: vCenter und ESXi-Hosts dürfen nicht direkt aus dem Internet erreichbar sein. Pflicht-MFA, getrennte Backup-Domains (Air-Gap oder Immutable Storage) und kontinuierliches Monitoring auf untypische ESXi-API-Calls sind heute Standard – nicht Optional.