🔍 Contexte

Publié le 27 août 2026 par la Ransom-ISAC Research Team (avec contributions de Rakesh Krishnan, Ellis Stannard, Eric Taylor, Nick Smart et Yashraj Solanki), cet article constitue une analyse technique approfondie de CRPx0, une opération ransomware-as-a-service (RaaS) active depuis juin 2026.

🎯 Vecteur d’infection et killchain

CRPx0 utilise la technique ClickFix : des pages HTML weaponisées imitant des mises à jour Windows/macOS ou des vérifications Google reCAPTCHA copient silencieusement une commande malveillante dans le presse-papiers avant que la victime ne voie les instructions. La victime est ensuite incitée à exécuter cette commande via Win+R (Windows) ou Terminal (macOS).

Le builder CRPx0 COMMAND (v3.0.0) génère quatre formats de payload :

  • HTML Update lure (Windows Update)
  • HTML CAPTCHA lure (reCAPTCHA)
  • DLL standalone (pour sideloading/injection)
  • EXE standalone (exécution directe)

🔗 Chaîne d’infection Windows (4 stages)

  • Stage 1 : Page HTML ClickFix → clipboard hijack → PowerShell powershell -w h -enc <base64>
  • Stage 2 : embedded_payload.dll — conteneur chiffré (XOR+ROL+NOT, clés 64 octets) déposé comme WindowsUpdate.log, exécuté via rundll32
  • Stage 3 : data.dll — loader Python (39 KB de code C), télécharge Python 3.10.11, extrait et exécute le bootstrap via XOR 0xE0
  • Stage 4 : sys_service.py — ransomware Python 1 769 lignes, multiplateforme (Windows/macOS/Linux)

macOS : la chaîne saute les stages 2 et 3 ; une commande curl|bash télécharge directement Python portable et sys_core_*.bin depuis le relay.

💻 Payload final (sys_service.py) — 12 phases

  1. Déchiffrement de la configuration (XOR runtime)
  2. Anti-analyse (7 checks : debugger, sandbox, VM MAC, CPU count, hardware breakpoints…)
  3. Patch AMSI/ETW + unhooking ntdll
  4. Bypass UAC via fodhelper.exe
  5. Mutex d’instance unique
  6. Persistance (tâche planifiée OneDrive Sync Maintenance / LaunchAgent macOS)
  7. Kill AV/EDR (liste de processus et services)
  8. Destruction des sauvegardes (vssadmin, wmic shadowcopy, wbadmin, tmutil)
  9. Exfiltration AVANT chiffrement : 5 documents aléatoires + 10 fichiers haute valeur (.kdbx, .pem, .env, .ovpn…), uploadés en chunks 512 KB via multipart POST vers relay.php
  10. Chiffrement : AES-128-CBC (Fernet) par victime, clé wrappée RSA-4096 OAEP, extension .crpx0
  11. Mouvement latéral : WMI, schtasks distant, GPO SYSVOL, SSH
  12. Auto-destruction (VBS sur Windows, shell script sur macOS/Linux)

🏗️ Infrastructure

  • Relay clearnet : 207.180.29.236:8080/relay.php (proxy PHP vers Tor SOCKS5)
  • C2 Tor : xburs4nr6cbuktokhqwefeh5hsjakz6usll5o7z5uhrfcnolakj4ptad.onion/api.php
  • Leak site : crpx0.su (clearnet) + tlxoddx4odmc2qvsmtsbgwwsv5j45osb5sox7mz6izxliuju5mkulzad.onion
  • Portail de négociation : kqi5yty6ipuhwz4anutty6hob6et7dvnnxg6kcnulwedjaz5oton2zyd.onion
  • Token d’authentification : crpx0_c2_2026 (Bearer + paramètre secret)
  • Rotation de TLD anti-takedown : .ws, .ly, .pet, .sh, .moe

💰 Programme d’affiliation

Lancé le 7 juin 2026 sur spear[.]cx : frais d’entrée 333 USD, commission 70/30 en faveur des affiliés, exclusion des pays CIS, préférence pour Monero (XMR). Le DLS revendique 47 victimes : 74% US, 23% Turquie, secteurs santé (28%) et services financiers (19%).

🔑 Indicateurs de détection prioritaires

  • Header HTTP X-Captcha-Track: 1 (signal pré-exécution le plus précoce)
  • Header Authorization: Bearer crpx0_c2_2026
  • Écriture dans RunMRU contenant powershell ou curl
  • Export DLL : g_data, g_k1, g_k2, g_ko1, g_ko2, g_len dans un seul binaire
  • Imphash stager : 8021f32be9faef6137ea9d442ebe0059
  • Extension .crpx0, notes HOW TO RECOVER.txt/.html
  • Tâche planifiée OneDrive Sync Maintenance

📄 Nature de l’article

Il s’agit d’une analyse technique approfondie (malware analysis) publiée par Ransom-ISAC, accompagnée de règles YARA/Sigma, d’un mapping MITRE ATT&CK complet et d’IOCs structurés, destinée aux équipes de détection et de réponse à incident.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • CRPx0 (cybercriminal) —

TTP

  • T1189 — Drive-by Compromise (Initial Access)
  • T1204.001 — User Execution: Malicious Link (Execution)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1047 — Windows Management Instrumentation (Execution)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1543.001 — Create or Modify System Process: Launch Agent (Persistence)
  • T1548.002 — Abuse Elevation Control Mechanism: Bypass User Account Control (Privilege Escalation)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1027.006 — Obfuscated Files or Information: HTML Smuggling (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
  • T1055 — Process Injection (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Defense Evasion)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1082 — System Information Discovery (Discovery)
  • T1518.001 — Software Discovery: Security Software Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1482 — Domain Trust Discovery (Discovery)
  • T1005 — Data from Local System (Collection)
  • T1115 — Clipboard Data (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1490 — Inhibit System Recovery (Impact)
  • T1491.001 — Defacement: Internal Defacement (Impact)
  • T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
  • T1570 — Lateral Tool Transfer (Lateral Movement)

IOC

  • IPv4 : 207.180.29.236 — AbuseIPDB · VT · ThreatFox
  • Domaines : crpx0.su — VT · URLhaus · ThreatFox
  • URLs : http://207.180.29.236:8080/relay.php — URLhaus
  • URLs : http://207.180.29.236:8080/relay.php?file=sys_core_f6037e11.bin&secret=crpx0_c2_2026 — URLhaus
  • URLs : http://xburs4nr6cbuktokhqwefeh5hsjakz6usll5o7z5uhrfcnolakj4ptad.onion/api.php — URLhaus
  • URLs : http://tlxoddx4odmc2qvsmtsbgwwsv5j45osb5sox7mz6izxliuju5mkulzad.onion — URLhaus
  • URLs : http://kqi5yty6ipuhwz4anutty6hob6et7dvnnxg6kcnulwedjaz5oton2zyd.onion — URLhaus
  • URLs : https://crpx0.su/v3.txt — URLhaus
  • SHA256 : a92641523ad121aaf140234a5ee70940b1fee67f12ea9a67c4ebb8fa9fb — VT · MalwareBazaar
  • SHA256 : ad1b8bdfb562ede7017003679185c07b6f746778ee7ed179c54e3c35bc0 — VT · MalwareBazaar
  • SHA256 : 3363e3af60b1e25f8cdc70206f1d7b89e28bb72a7dd43f4460f3ee07d75 — VT · MalwareBazaar
  • SHA256 : 85b79bbc907b8c0eeacc5da5ac35d7387c69faeb2f7822b3e2dca94f80e — VT · MalwareBazaar
  • SHA256 : 53983a29efdc724bf6ae68c9e11bb165945571b079a3c85f213c60bdc4b — VT · MalwareBazaar
  • SHA256 : 8e7027367756ed9cee15529fd39c839f3773e0930fe8207b9a865462512 — VT · MalwareBazaar
  • SHA256 : dc36944e733c1c70145681551b32ea95e17770a490e83d61ca525807e6d — VT · MalwareBazaar
  • SHA256 : e6ce4b7c40d38a246c0dcc88c4f005fe28e3b5a8da603116881f7c53567 — VT · MalwareBazaar
  • SHA256 : 7bfc7148c9eb8a3bcc6472e56e7d5be901462873d793323c69067d6dbfa — VT · MalwareBazaar
  • SHA256 : a190c6075a60b528ec4185e5d4d81ac4d039e5d357ab33e2384ae21b02e — VT · MalwareBazaar
  • SHA256 : 2d3dfec60201dcc8d0b08abefa8d43efe5f62c33110f036560baa6f1bf24ea8a — VT · MalwareBazaar
  • SHA256 : bee987e441c5b1e49eefed56b04adbee72a6fcb4ddde6bcf4 — VT · MalwareBazaar
  • SHA256 : 32d741ce1461d1e310452ef29ec7906326970af07f9139ea9 — VT · MalwareBazaar
  • SHA256 : e3191e13e6ff9a1a85d1dcffc4e7a8bdcc12329f8ecf0ad825f8670b0d12c97a — VT · MalwareBazaar
  • SHA256 : bac340524549410f51b060f21abb7db30c0c5378edd2e3ac15b526e141417e89 — VT · MalwareBazaar
  • SHA256 : 290d41e7436238066a8aacbd63a805aeeefc00d8798116dc702eccf6df3eae37 — VT · MalwareBazaar
  • SHA256 : 9cfe9b894af68946ddc7e6f4cbdb085a92c4009ea00554c407beb5a8fc29f6b7 — VT · MalwareBazaar
  • SHA256 : 8af1afc82c0d578a54cc34d09544a0695ec2b0d5f244bf1f1bb4993ee7614734 — VT · MalwareBazaar
  • SHA256 : 0dc6a5ce14838813e297a83e3c3c0868c7a211ee2da9c9705e5a282e65f089fe — VT · MalwareBazaar
  • SHA256 : 55a81d88fff3dc3de0e42724b0a992d4ef382b0e1a82187abf9d635ab89b2bae — VT · MalwareBazaar
  • SHA256 : ef431e36a8ac12051af588d800e1d8128d583a9d4c68187709263a13564081cd — VT · MalwareBazaar
  • SHA256 : 28685dff00aa1752b62a8580955b2530d63092bdcc0528b872a668cddad78c11 — VT · MalwareBazaar
  • MD5 : 55cf090e07a9ecbff062c47ef93fd1be — VT · MalwareBazaar
  • MD5 : e205d76c2f1d1bf356fddf6a6aa22601 — VT · MalwareBazaar
  • MD5 : 2a92762213ccde7bfac2a0a72f1816f2 — VT · MalwareBazaar
  • MD5 : 6aeee2fff046a115f1ff8e78c8794ca9 — VT · MalwareBazaar
  • MD5 : 59d552bb3abeb278f0f9deb5b838bf6e — VT · MalwareBazaar
  • Fichiers : WindowsUpdate.log
  • Fichiers : data.dll
  • Fichiers : sys_service.py
  • Fichiers : embedded_payload.dll
  • Fichiers : captcha_payload.dll
  • Fichiers : sys_260a35b4.dll
  • Fichiers : sys_555de185.exe
  • Fichiers : sys_core_f6037e11.bin
  • Fichiers : sys_core_9407d9e0.bin
  • Fichiers : bootstrap_script.py
  • Fichiers : HOW TO RECOVER.txt
  • Fichiers : HOW TO RECOVER.html
  • Fichiers : crpx0_debug.log
  • Fichiers : scan_report.json
  • Fichiers : clickfix.html
  • Fichiers : decoded_page.html
  • Fichiers : captcha_obf.html
  • Fichiers : captcha_decoded.html
  • Chemins : %LOCALAPPDATA%\data.dll
  • Chemins : %TEMP%\py.zip
  • Chemins : /tmp/sys_service.py
  • Chemins : /tmp/py.tar.gz
  • Chemins : ~/Library/LaunchAgents/com.apple.sync.plist
  • Chemins : %TEMP%\upd_<hex8>.vbs
  • Chemins : /tmp/sd_<hex8>.sh
  • Chemins : ~/.d3dd0447.png
  • Chemins : HKCU\Software\Classes\ms-settings\shell\open\command
  • Chemins : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • CRPx0 (ransomware)
  • CRPx0 COMMAND (framework)
  • sys_service.py (ransomware)
  • embedded_payload.dll (loader)
  • data.dll (loader)
  • sys_260a35b4.dll (loader)
  • sys_555de185.exe (loader)

🟢 Indice de vérification factuelle : 68/100 (haute)

  • ⬜ ransom-isac.org — source non référencée (0pts)
  • ✅ 123938 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 63 IOCs dont des hashes (15pts)
  • ✅ 1/8 IOC(s) confirmé(s) (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 32 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : CRPx0 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • crpx0.su (domain) → VT (17/91 détections)

🔗 Source originale : https://ransom-isac.org/blog/crpx0-clickfix-ransomware-analysis/