M3rx : analyse technique d'un nouveau ransomware Go avec site de fuite et chiffrement X25519/AES

🔍 Contexte

Publié le 27 avril 2026 par Kirk sur derp.ca, cet article présente une analyse technique détaillée de M3rx, un nouveau groupe ransomware apparu publiquement fin avril 2026. RansomLook recense six posts associés à ce groupe au 27 avril 2026, dont cinq publiés le 26 avril. PurpleOps référence la même activité sous le label M3RXDLS.

🎯 Victimes revendiquées

Le groupe revendique des victimes dans plusieurs pays :

• rotak.it (IT) — 23 avril 2026
• rainforestclean.com — 259 Go, 77k fichiers
• airdriephysio.com — 54 Go, 116k fichiers
• primeproperties.com.au — 100 Go, 81k fichiers
• anvilarts.org.uk — 480 Go, 299k fichiers
• dmschweiz.ch — 120 Go, 100k fichiers

Zones géographiques concernées : États-Unis, Canada, Australie, Royaume-Uni, Suisse, Italie.

🛠️ Caractéristiques techniques du sample

L’échantillon analysé est un binaire PE32+ x64 compilé en Go 1.20.14 (flag -trimpath=true), soumis sur Triage le 2026-04-25 :

• SHA256 : b09ece33ffe5efb1903526229595a8c74d983c731505bee09c2a005036c834b8
• Extension chiffrée : .8hmlsewu avec noms de fichiers aléatoires de 16 caractères
• Note de rançon : RECOVERY_NOTES.TXT
• Auto-suppression via boucle PowerShell
• Vidage de la Corbeille via SHEmptyRecycleBin
• Déverrouillage de fichiers via Restart Manager (rstrtmgr.dll)

🔐 Mécanisme de chiffrement

M3rx implémente deux couches de matériel cryptographique :

Par processus :

• Génération d’une paire de clés éphémères X25519
• ECDH avec la clé publique opérateur (champ K1 de la config)
• Secret partagé 32 octets stocké en global 0x6c80e0

Par fichier :

• IV 16 octets + clé AES-256 générés aléatoirement
• Corps du fichier chiffré en AES-CTR
• Clé AES par fichier encapsulée en AES-GCM avec le secret X25519

Un footer de 0x400 octets est ajouté à chaque fichier chiffré, existant en deux états (staging : magic 0x3828ac45 ; final : magic 0x741fbe88). En état staging, la clé AES en clair est encore présente à l’offset +0x18.

⚙️ Configuration embarquée

La config est stockée dans .rdata à l’adresse virtuelle 0x55ecbf sous forme d’un blob de 0x1000 octets. Après reconstruction du header gzip manquant et décompression, le payload est un Go gob contenant :

• K1 : clé publique X25519 opérateur
• EX : extension .8hmlsewu
• NN : nom de la note RECOVERY_NOTES.TXT
• NT : template de note de rançon (1361 octets)

🌐 Infrastructure

• Leak site : 4k6plf4h2cm2nco6ae3inrsxnmqgl6lllmwefydhnlcq4tuhwbj4qpad.onion
• Chat/client area : pippahtohg6qgioqu3ixrsueefuw7thythmmeanyrgwn3eixcuu6jvqd.onion
• Tox ID : DD4CA16A64E18B1A0BF2
• Token ransom note : 9A1217BEDA4AB77052A25D17CB6FFB34AFA2BE462E607F2FD8E1DF1D

📄 Type d’article

Il s’agit d’une analyse technique de malware (reverse engineering), visant à documenter le format de fichier, le schéma cryptographique, les artefacts de détection et les conditions de récupération partielle pour la communauté CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

• M3rx (cybercriminal) —

TTP

• T1486 — Data Encrypted for Impact (Impact)
• T1083 — File and Directory Discovery (Discovery)
• T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1490 — Inhibit System Recovery (Impact)
• T1560 — Archive Collected Data (Collection)
• T1657 — Financial Theft (Impact)
• T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

• URLs : http://4k6plf4h2cm2nco6ae3inrsxnmqgl6lllmwefydhnlcq4tuhwbj4qpad.onion — URLhaus
• URLs : http://pippahtohg6qgioqu3ixrsueefuw7thythmmeanyrgwn3eixcuu6jvqd.onion — URLhaus
• SHA256 : b09ece33ffe5efb1903526229595a8c74d983c731505bee09c2a005036c834b8 — VT · MalwareBazaar
• SHA256 : fc18506bbbbe57fdcecaa424735705501480e6708b634457010a5cf6bdc42525 — VT · MalwareBazaar
• SHA1 : 521b1bd3f30ca50eaee6f74718b97dbe8a49c245 — VT · MalwareBazaar
• MD5 : 071e2e0087554d96bba6a4ab73d88cd0 — VT · MalwareBazaar
• Fichiers : b09ece33ffe5efb1903526229595a8c74d983c731505bee09c2a005036c834b8.exe
• Fichiers : RECOVERY_NOTES.TXT

Malware / Outils

• M3rx (ransomware)

---

🟢 Indice de vérification factuelle : 68/100 (haute)

• ⬜ derp.ca — source non référencée (0pts)
• ✅ 10265 chars — texte complet (fulltext extrait) (15pts)
• ✅ 8 IOCs dont des hashes (15pts)
• ✅ 1/4 IOC(s) confirmé(s) (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 8 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : M3rx (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• b09ece33ffe5efb1… (sha256) → VT (40/76 détections)

---

🔗 Source originale : https://www.derp.ca/research/m3rx-ransomware-go-encryptor/