M3rx ist eine im April 2026 erstmals beobachtete Ransomware-Gruppe. Sie tritt mit einer eigenen Tor-Leak-Site auf und verschlüsselt Systeme mit einem in Go geschriebenen Verschlüsseler, der moderne Kryptografie einsetzt (X25519-Schlüsselaustausch, AES-256 zur Dateiverschlüsselung). Verschlüsselte Dateien erhalten die Endung .8hmlsewu, im System bleibt die Notiz RECOVERY_NOTES.TXT zurück. Auffällig ist das Opferprofil: M3rx trifft überwiegend kleine Unternehmen mit rund 11 bis 50 Mitarbeitenden, häufig IT-Dienstleister und technische Zulieferer – also genau jene Organisationen, die selten ein eigenes Sicherheitsteam haben. Die DACH-Region ist von Beginn an betroffen: Auf der Leak-Site erscheinen mehrere deutsche und Schweizer Firmen.
Aktiv
Double-Extortion-Ransomware mit eigener Leak-Site
M3RX; m3rx
April 2026
Nicht zugeordnet – eine Verbindung zu bekannten Gruppen oder Affiliate-Baukästen ist öffentlich nicht belegt.
Nicht eindeutig zugeordnet
IT-Dienstleistungen und Technologie (Schwerpunkt), technische Zulieferer, Beratung, Handel und produzierendes Gewerbe – fast durchgehend kleine Unternehmen.
International, mit Opfern in den USA, Kanada, Australien und dem Vereinigten Königreich. Die DACH-Region ist deutlich vertreten: mehrere Einträge aus Deutschland sowie Fälle in der Schweiz.
Nicht öffentlich beziffert; das Opferprofil (Kleinunternehmen) spricht für vergleichsweise niedrige Forderungen.
Rund 36 gelistete Opfer in den letzten 90 Tagen (Stand: Juli 2026)
.8hmlsewu
RECOVERY_NOTES.TXT
Der M3rx-Verschlüsseler ist eine 64-Bit-Windows-Datei, die in Go (Version 1.20.14) geschrieben wurde. Kryptografisch arbeitet er sauber und modern: Für jeden Lauf wird ein flüchtiges X25519-Schlüsselpaar erzeugt, die Dateiinhalte werden mit AES-256 im CTR-Modus verschlüsselt, und die je Datei verwendeten Schlüssel werden mit AES-GCM eingepackt. Eine Entschlüsselung ohne den privaten Schlüssel der Angreifer ist damit praktisch ausgeschlossen. Die Konfiguration liegt gzip- und gob-kodiert im Datenbereich der Datei, was die statische Analyse erschwert. Verschlüsselte Dateien tragen die Endung .8hmlsewu, die Erpressernotiz heißt RECOVERY_NOTES.TXT. Verhandelt wird über eine feste Tox-ID; die Leak-Site läuft über Tor.
Gerade kleinere Organisationen können kein eigenes Sicherheitsteam vorhalten – genau dafür betreibt Argos Security ein Cyber Defense Center, das Ihre Umgebung rund um die Uhr (24/7) überwacht. Wir erkennen die Vorstufen eines M3rx-Angriffs – verdächtige Anmeldungen an Fernzugängen, Erkundungsaktivität im Netz, das Abschalten von Schutzmechanismen und beginnende Massenverschlüsselung – und greifen ein, bevor der Schaden flächendeckend wird. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen und die Wiederherstellung zu koordinieren. Für IT-Dienstleister prüfen wir zusätzlich die Mandantentrennung, damit ein Vorfall nicht auf die gesamte Kundenbasis durchschlägt.