TITAN Ransomware analysiert gestohlene Daten mit beworbener KI

TITAN Ransomware ist eine seit Mai 2026 aktive Ransomware-as-a-Service-Operation. Die Gruppe verbindet nach den vorliegenden Berichten die Verschlüsselung von Dateien mit dem Diebstahl von Unternehmensdaten und betreibt damit eine Form der Doppel-Erpressung. Gestohlene Daten sollen automatisiert ausgewertet werden, um Informationen mit hohem Druckpotenzial für Verhandlungen und eine mögliche Veröffentlichung zu identifizieren.

TITAN wurde Berichten zufolge am 4. April 2026 gegründet. Auf der Leak-Seite waren 24 Opfer aus zehn Ländern aufgeführt. Italien stellte mit zehn veröffentlichten Opfern den größten Anteil, gefolgt von der Tschechischen Republik mit vier und den Vereinigten Staaten mit drei Opfern. Fertigung und professionelle Dienstleistungen machten jeweils etwa 29 Prozent der erfassten Opfer aus.

TITAN bewirbt eine lokal betriebene KI-Plattform zur Analyse gestohlener Unternehmensdaten. Nach Angaben der Gruppe klassifiziert die Plattform Dateien automatisch nach ihrer Sensibilität und sucht unter anderem nach Finanz-, Rechts- und personenbezogenen Informationen, Geschäftsgeheimnissen, geistigem Eigentum und Korrespondenz.

Darüber hinaus behauptet TITAN, dass das System nicht deklarierte Umsätze und falsche Rechnungen erkennen, Beziehungen zwischen Unternehmen und Personen abbilden und Dateien mit dem größten möglichen Schaden bei einer Veröffentlichung lokalisieren kann. Die Analyse soll dazu dienen, die Daten eines Opfers schneller zu bewerten und die Erpressung gezielter auf regulatorische Meldungen oder eine Veröffentlichung in Medien auszurichten.

Die Gruppe gibt außerdem an, die regulatorische Gefährdung nach mehr als 50 Datenschutzrahmen bewerten zu können. Beworbene Funktionen umfassen auch vorformulierte Benachrichtigungspakete für Steuerbehörden, Datenschutzbehörden, Financial-Intelligence-Einheiten und Medienorganisationen.

TITAN beschreibt die Plattform als On-Premises-System auf dedizierten AMD-EPYC-Servern mit GPU-beschleunigter Inferenz. Als Verarbeitungskapazität nennt die Gruppe bis zu 700 Gigabyte Unternehmensdokumente pro Stunde. Diese technische Angabe sowie die beschriebenen Analysefunktionen wurden nicht unabhängig überprüft.

Der KI-Einsatz erfolgt laut den Quellen nach dem Diebstahl der Daten und ergänzt den Einsatz eines vermutlich Windows-zielenden Ransomware-Schadprogramms. Zu möglichen Vorgehensweisen der Affiliates zählen der Zugriff über exponierte VPN-Gateways, Firewalls und Fernverwaltungswerkzeuge sowie PowerShell, WMIC, PsExec, das Löschen von Schattenkopien, Datendiebstahl und Verschlüsselung. Diese Einschätzungen gelten ausdrücklich als unbestätigt und nicht als gesicherte TITAN-spezifische Vorgehensweisen.

TITAN organisiert den Betrieb als Affiliate-Programm. Affiliates sollen 90 Prozent der Lösegeldzahlungen erhalten, während TITAN zehn Prozent als Plattformgebühr einbehält. Die Partner dürfen gestohlene Daten laut den veröffentlichten Regeln nicht unabhängig veröffentlichen oder verkaufen; dadurch beansprucht die Gruppe die zentrale Kontrolle über Verhandlungen und öffentliche Veröffentlichung.

Ein unabhängig bestätigtes Ergebnis der KI-Plattform liegt nicht vor. Weder die behauptete Verarbeitung von bis zu 700 Gigabyte pro Stunde noch die automatische Klassifizierung, die Bewertung regulatorischer Risiken oder die Erstellung von Benachrichtigungspaketen wurden durch unabhängige Tests belegt.

Belegt ist aus den Quellen die öffentliche Zuordnung von 24 Opfern in zehn Ländern auf der Leak-Seite. Die Berichte bestätigen jedoch nicht, dass diese Opfer mit der beworbenen KI-Plattform analysiert wurden oder dass die Plattform bei ihnen tatsächlich eingesetzt wurde.

Die Quellen stellen die KI-Plattform als zentrales Unterscheidungsmerkmal von TITAN dar, bewerten die Angaben aber mit Vorsicht. Unabhängig bestätigt sind weder die KI-Funktionen noch die Verschlüsselungsmethode oder eine konkrete Schwachstelle für den Erstzugriff. Die beschriebenen Fähigkeiten sind daher als Behauptungen der Gruppe und nicht als nachgewiesene Leistungswerte eines realen Systems einzuordnen.