Threat Intelligence

M3rx

Seit April 2026 aktive Ransomware mit modernem Go-Verschlüsseler – gezielt gegen kleine IT-Dienstleister und Mittelständler in Deutschland und der Schweiz.

Kurz erklärt

M3rx ist eine im April 2026 erstmals beobachtete Ransomware-Gruppe. Sie tritt mit einer eigenen Tor-Leak-Site auf und verschlüsselt Systeme mit einem in Go geschriebenen Verschlüsseler, der moderne Kryptografie einsetzt (X25519-Schlüsselaustausch, AES-256 zur Dateiverschlüsselung). Verschlüsselte Dateien erhalten die Endung .8hmlsewu, im System bleibt die Notiz RECOVERY_NOTES.TXT zurück. Auffällig ist das Opferprofil: M3rx trifft überwiegend kleine Unternehmen mit rund 11 bis 50 Mitarbeitenden, häufig IT-Dienstleister und technische Zulieferer – also genau jene Organisationen, die selten ein eigenes Sicherheitsteam haben. Die DACH-Region ist von Beginn an betroffen: Auf der Leak-Site erscheinen mehrere deutsche und Schweizer Firmen.

Aktiv

Modell

Double-Extortion-Ransomware mit eigener Leak-Site

Auch bekannt als

M3RX; m3rx

Gegründet

April 2026

Entstanden aus

Nicht zugeordnet – eine Verbindung zu bekannten Gruppen oder Affiliate-Baukästen ist öffentlich nicht belegt.

Herkunft

Nicht eindeutig zugeordnet

Zielsektoren

IT-Dienstleistungen und Technologie (Schwerpunkt), technische Zulieferer, Beratung, Handel und produzierendes Gewerbe – fast durchgehend kleine Unternehmen.

Zielregionen

International, mit Opfern in den USA, Kanada, Australien und dem Vereinigten Königreich. Die DACH-Region ist deutlich vertreten: mehrere Einträge aus Deutschland sowie Fälle in der Schweiz.

Typisches Lösegeld

Nicht öffentlich beziffert; das Opferprofil (Kleinunternehmen) spricht für vergleichsweise niedrige Forderungen.

Opferzahl

Rund 36 gelistete Opfer in den letzten 90 Tagen (Stand: Juli 2026)

File Extensions

.8hmlsewu

Ransom Note

RECOVERY_NOTES.TXT

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme sofort netzseitig isolieren (LAN/WLAN trennen), aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Incident Response aktivieren und ein spezialisiertes Team einbinden; parallel Geschäftsführung informieren.
  • Backups schützen: Sicherungssysteme umgehend vom Netz trennen und auf Integrität sowie Wiederherstellbarkeit prüfen – bei M3rx ist das Backup der einzige realistische Weg zurück.
  • Wenn ein IT-Dienstleister betroffen ist: sofort klären, ob über dessen Fernzugänge auch eigene Systeme erreichbar waren, und diese Zugänge vorsorglich sperren.
  • Beweise sichern: Erpressernotiz RECOVERY_NOTES.TXT, verschlüsselte Beispieldateien, Logs und Zeitpunkte dokumentieren.
  • Meldepflichten prüfen und fristgerecht erfüllen: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung an die zuständige Behörde binnen 24 Stunden; Strafanzeige bei Polizei/ZAC erwägen.
⛔ Unbedingt vermeiden
  • Kein vorschnelles Herunterfahren oder Neustarten betroffener Systeme – dabei gehen forensische Spuren verloren.
  • Keine Zeit mit der Suche nach einem kostenlosen Entschlüsseler verlieren: Die verwendete Kryptografie (X25519 + AES) lässt keine Wiederherstellung ohne Angreiferschlüssel zu.
  • Keine eigenständige Zahlung des Lösegelds ohne juristische, forensische und ggf. behördliche Abstimmung.
  • Nicht über die angegebene Tox-ID auf eigene Faust verhandeln; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Backups nicht ungeprüft zurückspielen, solange nicht sichergestellt ist, dass die Angreifer keinen Zugang mehr haben.
  • Vorfall und Kommunikation nicht verharmlosen oder verzögern – Melde- und Informationspflichten (DSGVO, NIS2) laufen ab Kenntnis; Kunden eines betroffenen Dienstleisters müssen zügig informiert werden.

Bekannte Angriffe

  • Deutschland: hydraulic-components.net (Juli 2026), werkstoff-service.de (Juni 2026), it-freitag.de (Mai 2026), osoftec.com (April 2026).
  • Schweiz: dmschweiz.ch (April 2026).
  • International (Auswahl): Prime Properties (Australien, rund 100 GB Daten / über 81.000 Dateien), maringoodman.com, fasadeconsult.no, hbexperts-conseils.ca.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site von M3rx und sind nicht unabhängig verifiziert.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Öffentlich nicht abschließend dokumentiert; beobachtet werden gültige Zugangsdaten und exponierte Fernzugriffsdienste – T1078 (Valid Accounts), T1133 (External Remote Services)
  • Ausführung:
    • Start des Go-Verschlüsselers als eigenständige PE32+-Datei – T1204 (User Execution) / T1059
  • Verteidigungsumgehung:
    • Konfiguration gzip-/gob-kodiert im Binary abgelegt, um statische Analyse zu erschweren – T1027 (Obfuscated Files or Information)
  • Sammlung & Exfiltration:
    • Datenabfluss vor der Verschlüsselung, angekündigt über die Leak-Site – T1567 (Exfiltration Over Web Service)
  • Auswirkung:
    • Datenverschlüsselung mit X25519-Schlüsselaustausch und AES-256-CTR – T1486 (Data Encrypted for Impact)
    • Erpressung über Veröffentlichungsdrohung auf einer Tor-Leak-Site

Technologie & Malware

Der M3rx-Verschlüsseler ist eine 64-Bit-Windows-Datei, die in Go (Version 1.20.14) geschrieben wurde. Kryptografisch arbeitet er sauber und modern: Für jeden Lauf wird ein flüchtiges X25519-Schlüsselpaar erzeugt, die Dateiinhalte werden mit AES-256 im CTR-Modus verschlüsselt, und die je Datei verwendeten Schlüssel werden mit AES-GCM eingepackt. Eine Entschlüsselung ohne den privaten Schlüssel der Angreifer ist damit praktisch ausgeschlossen. Die Konfiguration liegt gzip- und gob-kodiert im Datenbereich der Datei, was die statische Analyse erschwert. Verschlüsselte Dateien tragen die Endung .8hmlsewu, die Erpressernotiz heißt RECOVERY_NOTES.TXT. Verhandelt wird über eine feste Tox-ID; die Leak-Site läuft über Tor.

Indicators of Compromise (IOCs)

  • Datei-Endung verschlüsselter Dateien: .8hmlsewu
  • Erpressernotiz: RECOVERY_NOTES.TXT
  • Beispiel-Hash des Verschlüsselers (SHA-256): b09ece33ffe5efb1903526229595a8c74d983c731505bee09c2a005036c834b8
  • Tor-Leak-Site: Onion-Adresse beginnend mit 4k6plf4h2cm2nco6ae3inrsxnmqgl6lllmwefydhnlcq4tuhwbj4qpad
  • Kontakt-/Verhandlungskanal: feste Tox-ID der Gruppe
  • Weitergehende technische Indikatoren bitte über etablierte Threat-Intelligence-Quellen beziehen und vor dem Blocken verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Existieren unveränderliche (immutable) oder offline gehaltene Backups, die regelmäßig auf Wiederherstellbarkeit getestet werden? Ohne Backup gibt es bei M3rx keinen technischen Ausweg.
  • Sind alle extern erreichbaren Dienste (RDP, VPN, Fernwartung, Webanwendungen) inventarisiert, gepatcht und mit Multi-Faktor-Authentifizierung abgesichert?
  • Wenn Sie IT-Dienstleistungen beziehen: Ist vertraglich und technisch geregelt, wie Ihr Dienstleister auf Ihre Systeme zugreift – und wie schnell er Sie im Falle einer eigenen Kompromittierung informiert?
  • Wenn Sie selbst IT-Dienstleister sind: Sind Kundenzugänge getrennt, einzeln authentifiziert und so segmentiert, dass ein Vorfall nicht auf alle Mandanten durchschlägt?
  • Wird das massenhafte Umbenennen oder Verändern von Dateien auf Servern und Dateifreigaben als Alarm erkannt, bevor die Verschlüsselung durchläuft?

Wie Argos unterstützt

Gerade kleinere Organisationen können kein eigenes Sicherheitsteam vorhalten – genau dafür betreibt Argos Security ein Cyber Defense Center, das Ihre Umgebung rund um die Uhr (24/7) überwacht. Wir erkennen die Vorstufen eines M3rx-Angriffs – verdächtige Anmeldungen an Fernzugängen, Erkundungsaktivität im Netz, das Abschalten von Schutzmechanismen und beginnende Massenverschlüsselung – und greifen ein, bevor der Schaden flächendeckend wird. Im Ernstfall steht unser Incident-Response-Team kurzfristig per Remote-Zugriff bereit, um den Angriff einzudämmen und die Wiederherstellung zu koordinieren. Für IT-Dienstleister prüfen wir zusätzlich die Mandantentrennung, damit ein Vorfall nicht auf die gesamte Kundenbasis durchschlägt.