M3RX 勒索病毒解密与数据恢复

已知最早的 M3RX 加密器样本于 2026 年 4 月下旬被提交到公开沙箱，其暗网泄露站随即被 RansomLook、Ransomware.live 等跟踪平台收录，首批受害者在 4 月 29 日一次性集中公开（11 家）。截至 2026 年 9 月 11 日，各跟踪平台统计其累计公开受害单位约 38–43 家（口径不一），最近一次更新在 8 月下旬，属于典型的「小体量、间歇性集中发布」新兴团伙。（个别跟踪平台的自动生成简介称其「2025 年首次出现」，但可核验的样本与泄露站活动均始于 2026 年 4 月，本页以后者为准。）

受害者分布在美国、德国、英国、澳大利亚、加拿大、意大利、瑞士、西班牙、葡萄牙、爱尔兰、北欧与日本、巴西、墨西哥、阿根廷、新西兰、南非等地，行业集中在专业服务、信息技术、零售电商、制造与运输物流，多为中小企业。单家被声称窃取的数据量从二十余 GB 到 2.3 TB 不等，文件数常达数十万乃至超过一百万，说明其窃密环节相当彻底。

需要如实说明：M3RX 的公开信息仍然有限。目前可核验的技术资料主要来自威胁情报平台对单个 Windows 样本的逆向分析，尚无主流安全厂商发布独立报告，初始入侵方式、横向移动工具与外传手法均未获公开证实。也没有面向中国大陆企业的公开受害记录，但其目标选择明显是机会型的，中国企业的境外子公司与跨境分支同样在其打击面内。

文件改名：这是 M3RX 最直观的特征——加密后的文件不保留原文件名，整体被替换为 16 位随机字符加后缀，形如 a7Kq2xR9mB4tLpZ0.8hmlsewu。原始路径被加密后写入文件尾部，因此仅凭文件名无法还原目录结构。

后缀：已公开分析的样本使用 .8hmlsewu。需要注意的是，后缀与勒索信内容都存放在样本内嵌的压缩配置块中，属于可按批次更换的参数，不同攻击批次未必一致。因此不要只凭后缀判定家族，应与勒索信文件名、Tox ID、泄露站条目交叉确认。

文件尾部标记：加密文件末尾附加 1 KB 结构，起始 4 字节魔数区分「已完成」与「加密中断的中间状态」两种情形——这一区别直接决定后续是否还有恢复空间，取证时必须逐个文件核对，不能只看后缀。

勒索信：RECOVERY_NOTES.TXT，Zscaler ThreatLabz 的勒索信库与 RansomLook 均已收录，样本会把它递归投放到名为 desktop、documents 的目录中（不区分大小写）。英文正文声称文件已被「军用级算法」加密并从网络中窃走，给出 Tor 聊天门户链接与 Tox ID，提出可先免费解密 3 个样本文件作为凭证、再以比特币付款，并明确警告不要重启或关机、不要重命名或移动加密文件与勒索信、不要删除勒索信。

其他可核对痕迹：样本以「kek + 主机名」的 CRC32 值作为互斥量名做单实例控制；要求高完整性级别运行，普通权限下直接退出；运行结束会清空回收站并用 PowerShell 反复覆写自身后删除；日志中残留拼写错误 complited。

泄露站：条目通常标注被窃数据容量与文件数并附样本截图；谈判走独立的 Tor 聊天服务器，该服务器可用性很差、长期离线，这也是受害者常见的困惑点。

公开报告尚未披露 M3RX 的初始入侵方式与横向移动工具，我们不做臆测。但已公开的样本分析提供了几条能反推操作手法的线索：

• 加密器本身不负责窃密，样本内没有外传功能，也不与任何 C2 通信。这说明数据是在加密之前由另一套工具（常见为通用外传/窃密程序或合法传输工具）完成的，排查窃密痕迹不能只盯加密器落地的那台机器。
• 要求高完整性级别运行，权限不足时直接退出。也就是说，攻击者在投放加密器之前已经拿到管理员级权限，凭据获取与提权环节一定在时间线的更早位置。
• 支持指定路径、延时启动与定时启动（可按分钟延迟或指定具体时刻）。这类参数是人工投放、择时引爆的典型特征，常配合运维通道或计划任务批量下发，而不是蠕虫式自扩散。

因此排查应优先覆盖：对公网暴露的远程访问入口（VPN、RDP、边界设备）、外包与运维账号、缺少多因素认证的管理员凭据、批量分发通道（域策略、远程管理与补丁分发系统），以及备份系统的可达性和加密前的大流量出网记录。具体到 M3RX，完整攻击链仍须以现场取证结论为准。

以下依据单个已公开逆向的 Windows 样本（Go 编译、x64 PE、未加壳、保留 Go 符号表），不同批次的构建参数可能有差异。

密钥体系：每个文件生成独立的 AES-256 密钥，正文以 AES-256-CTR 加密；随后用 X25519 椭圆曲线密钥交换（对方公钥内置于样本）派生出的密钥，以 AES-256-GCM 把该文件密钥密封进文件尾部。已完成加密的文件，没有攻击者私钥就无法取回密钥。

间歇加密：默认只加密每个文件约百分之一的内容，按固定 1 MiB 步长跳跃取块，另有参数可调高比例或强制整文件加密。这意味着大文件（数据库、虚拟磁盘、邮件库）在默认模式下往往保留大量完好区域，页级抽取与结构重建有现实空间——但实际比例必须用现场文件实测，因为攻击者可以在投放时改参数。

文件尾部：加密文件末尾附加 1 KB 结构，依次存放魔数、加密比例、IV、单文件密钥、临时公钥、GCM 密封结果、加密后的原始路径与块计数。魔数区分「已完成」与「加密中断」两种状态，后者的单文件密钥尚未密封——这是现场最值得优先核查的一点。

破坏恢复点：通过内嵌的 WMI shellcode 枚举并删除全部卷影副本；静默清空回收站；收尾时用 PowerShell 反复覆写自身后删除，给取证留下的样本残留很少。

其他行为：遍历 A–Z 全部盘符；不枚举和强杀服务，而是用 Restart Manager 强制释放被占用文件的句柄（数据库与邮件服务因此仍可能被加密）；自带 I/O 限速以压低速率规避行为检测；不与 C2 通信。

仍无公开证据：是否存在 Linux/ESXi 加密器；是否对数据库、虚拟磁盘做特殊处理。