Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Es ist der Albtraum jedes Homelabbers und Admins: Ein Angriff verschlüsselt deine Daten und vernichtet gleichzeitig die Rettungsleine. Genau das macht die neu entdeckte Schadsoftware Avalon. Sicherheitsforscher warnen seit dem 3. Juli vor dem Baukasten, der eine eigene Ransomware namens CrownX mitbringt — und zuerst deine Sicherungen ins Visier nimmt.
GEFAHR: Ein Baukasten, der alles kann
Avalon ist kein einzelnes Schadprogramm, sondern ein modulares Framework. Es bündelt gleich mehrere Angriffsfunktionen unter einem Dach: Zugangsdaten stehlen, sich im Netzwerk seitlich ausbreiten, Fernzugriff aufbauen, die Wiederherstellung sabotieren und am Ende die Ransomware zünden. Diese Bündelung macht den Angriff für Verteidiger besonders unangenehm, weil ein einziger Einbruch die ganze Kette auslöst.
SO kommt Avalon rein
Der Einstieg läuft über eine mehrstufige Phishing-Masche. Eine gefälschte E-Mail mit angeblichem Rechtsdokument lockt zum Download eines passwortgeschützten Archivs auf Proton Drive. Der Schadcode steckt nicht als Anhang in der Mail, sondern versteckt in einer ISO-Datei — so rutscht er an vielen E-Mail-Filtern vorbei. Klickst du in dem eingebundenen Laufwerk auf eine getarnte Windows-Verknüpfung, startet die Kette, die am Ende Avalon lädt.
SCHOCK: Erst die Backups, dann die Daten
Das eigentlich Perfide: Avalon sucht gezielt nach deiner Backup-Infrastruktur. Die Forscher fanden Suchmuster nach Veeam, Acronis, NetApp, Synology, vCenter, Hyper-V und Exchange. Bevor verschlüsselt wird, greift die Malware deine Rettungswege an: Sie stoppt den Schattenkopie-Dienst (VSS), löscht vorhandene Schattenkopien, verbiegt die Wiederherstellungs-Einstellungen in der Registry und nimmt sogar die Windows-Recovery-Umgebung ins Visier. Wer glaubt, ein schnelles Zurückspielen rettet ihn, steht dann mit leeren Händen da.
Ein zusätzlicher Anti-Forensik-Baustein wischt danach Spuren weg: Prefetch, AmCache, SRUM, ShimCache, Jump-Lists, die PowerShell-Historie und das USN-Journal werden bereinigt — damit die Ermittler hinterher möglichst wenig finden.
KI hat mitgebaut
Auffällig: Avalon trägt Spuren KI-gestützter Entwicklung. Viele Komponenten wurden zusammengesteckt, ohne die sonst übliche handwerkliche Sorgfalt oder Tarnung — ein Muster, das man zuletzt öfter sieht. Die Botschaft dahinter ist unbequem: KI senkt die Einstiegshürde, sodass auch weniger versierte Kriminelle in kurzer Zeit funktionsfähige Malware zusammenbauen können.
So rettest du deine Sicherungen in 5 Minuten
Die gute Nachricht: Gegen den Backup-Klau kannst du dich wappnen. Setze auf die 3-2-1-Regel — drei Kopien, zwei Medien, eine davon offline oder unveränderlich (immutable). Eine Sicherung, die physisch getrennt oder schreibgeschützt liegt, kann Avalon nicht löschen. Für den Windows-Alltag hilft eine saubere Image-Sicherung auf eine externe, nach dem Backup abgesteckte Platte, zum Beispiel mit Acronis True Image*. Zusätzlich gilt: verdächtige ISO- und Verknüpfungs-Anhänge blocken, Makros und Skript-Ausführung einschränken und die Ausführung aus temporären Verzeichnissen sperren.
Extra-Tipp: Prüfe regelmäßig, ob deine Backups sich wirklich zurückspielen lassen. Ein Backup, das nie getestet wurde, ist im Ernstfall oft wertlos.
Häufige Fragen
Was genau ist Avalon?
Wie merke ich, ob ich betroffen bin?
Wie schütze ich mich am besten?
Warum ist die KI-Beteiligung so wichtig?
Quellen: The Hacker News (03.07.2026), GBHackers, Cyberpress. Mehr geprüfte Empfehlungen findest du jederzeit unter /empfehlungen/.