📰 Article publié le 23 octobre 2026 sur secjuice.com. Il s’agit d’une analyse technique approfondie d’un échantillon du ransomware DoNex, conduite via le framework REA (Reverse Engineer Anything) orchestré par le client MCP Google Antigravity et le modèle Gemini 3.8 Flash High, avec Ghidra comme moteur de décompilation.

🔬 Contexte et famille malware

DoNex est un ransomware apparu début 2024, évolution des groupes Muse et DarkRace, spécialisé dans la double extorsion. L’échantillon analysé (SHA-256 : 0adde4246aaa9fb3964d1d6cf3c29b1b13074015b250eb8e5591339f92e1e3ca) est un PE32 x86 32 bits non packé, compilé avec MSVC, d’une taille de 229 391 octets. Il présente un overlay de 527 octets contenant la clé publique RSA-4096 et les paramètres de configuration.

⚙️ Mécanisme de chiffrement

Contrairement aux variantes documentées utilisant ChaCha20, cet échantillon implémente Salsa20/20 (20 rounds, constantes sigma/tau identifiées) comme chiffrement symétrique embarqué. Le workflow d’infection comprend :

  • Génération d’une clé symétrique de 16 octets via CryptGenRandom (réduite à l’espace ASCII imprimable par modulo 94, entropie effective ≈ 2^104,8)
  • Chiffrement des fichiers en mémoire via Memory-Mapped I/O (CreateFileMappingA, MapViewOfFile)
  • Ajout d’un footer de 512 octets contenant la clé Salsa20 chiffrée sous RSA-4096
  • Énumération multithreadée des disques locaux et partages réseau (SMB via MPR.DLL)
  • Déverrouillage forcé des fichiers via Windows Restart Manager (RmGetList, TerminateProcess)

🚨 Vulnérabilités cryptographiques identifiées

L’analyse REA/Ghidra expose deux failles fatales :

  1. Nonce/IV nul hardcodé : local_34 = 0 pour chaque fichier chiffré — le vecteur d’initialisation Salsa20 est systématiquement 0x0000000000000000
  2. Réutilisation globale de la clé : la clé symétrique DAT_0043a878 est générée une seule fois au démarrage et partagée entre tous les threads pour tous les fichiers

Ces deux défauts combinés produisent un keystream Salsa20 identique pour chaque fichier du système, réduisant le schéma à un Two-Time Pad exploitable.

🔓 Attaque à texte clair connu (KPA)

La récupération complète est possible sans la clé privée RSA :

  • Kstream = C_connu XOR P_connu (un fichier original + son chiffré suffisent)
  • P_cible = C_cible XOR Kstream (déchiffrement de tous les autres fichiers)
  • Suppression du footer de 512 octets et restauration du nom de fichier original

Un décrypteur Python est fourni, opérant en deux phases : extraction du keystream maître (fichier .bin), puis déchiffrement par blocs de 1 Mo de tous les fichiers portant l’extension malware (ex: .f58A66B51).

🏗️ Infrastructure d’analyse

L’environnement utilise une architecture hybride hôte/invité : VM Windows 10 isolée en mode Host-Only avec Ghidra, x64dbg et le serveur REA (côté Guest), connectée via tunnel SSH à clés ed25519 au client MCP Antigravity sur l’hôte Ubuntu (côté Host). L’échantillon a été acquis sur MalwareBazaar.

📌 Cet article est une publication de recherche / analyse technique à visée CTI et forensique, démontrant l’exploitation d’une faille d’implémentation cryptographique pour construire un décrypteur opérationnel sans paiement de rançon.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • DoNex (cybercriminal) —
  • DarkRace (cybercriminal) —
  • Muse (cybercriminal) —

TTP

  • T1486 — Data Encrypted for Impact (Impact)
  • T1083 — File and Directory Discovery (Discovery)
  • T1135 — Network Share Discovery (Discovery)
  • T1489 — Service Stop (Impact)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1560 — Archive Collected Data (Collection)
  • T1491 — Defacement (Impact)

IOC

  • SHA256 : 0adde4246aaa9fb3964d1d6cf3c29b1b13074015b250eb8e5591339f92e1e3ca — VT · MalwareBazaar
  • Fichiers : DoNex.EXE
  • Fichiers : donex_sample.exe
  • Fichiers : donex.bin

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • DoNex (ransomware)

🟡 Indice de vérification factuelle : 53/100 (moyenne)

  • ⬜ secjuice.com — source non référencée (0pts)
  • ✅ 58737 chars — texte complet (15pts)
  • ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/1 IOC(s) confirmé(s) (MalwareBazaar, ThreatFox, VirusTotal) (8pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : DoNex, DarkRace, Muse (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 0adde4246aaa9fb3… (sha256) → VT (62/76 détections)

🔗 Source originale : https://secjuice.com/artificial-intelligence-and-reverse-engineering-defeating-donex-by-automating-analysis-with-rea-and-mcp-protocol/