قدمت Microsoft Threat Intelligence تحليلاً تقنياً لبرمجية الفدية DeadLock، وهي عملية مالية الدافع تجمع بين تشفير بيئات الضحايا والتهديد بنشر البيانات المسروقة، مع استخدام بنية لامركزية لدعم التفاوض والتواصل ونشر التسريبات. وترى Microsoft أن هذا التصميم قد يزيد قدرة أجزاء من البنية التشغيلية على الصمود أمام محاولات التعطيل، لأن البرمجية لا تعتمد بالكامل على نطاق أو خادم تقليدي واحد.
ظهرت DeadLock للمرة الأولى في يوليو 2025، ولاحظت Microsoft استخدامها من جانب مجموعات متعددة، من بينها جهة تابعة لمنظومتي فدية Lynx وINC. وبحلول يوليو 2026، نشر المشغلون أكثر من 80 مؤسسة مخترقة على موقع تسريب البيانات المعروف باسم DeadLock blog، وكان أكثر من نصف الضحايا المعلنين في أوروبا. ورُصد تأثير العملية على مؤسسات في قطاعات تقنية المعلومات والتعدين والنقل والخدمات اللوجستية والتصنيع والضيافة والسلع الاستهلاكية وغيرها، في أوروبا وآسيا وأمريكا الشمالية وأمريكا الجنوبية وأفريقيا.
تهيئة الهجوم وتعطيل وسائل الحماية
يبدأ المشفر بفك تشفير إعدادات مضمّنة باستخدام XOR ومفتاح من 8 بايتات، ثم يفحص اللغتين الافتراضية ولغة واجهة المستخدم في النظام. وإذا تطابقت إحداهما مع قائمة الاستبعاد، تحذف البرمجية نفسها وتخرج دون تشفير. ويشير هذا السلوك إلى استخدام geofencing قائم على اللغة أو البلد لتجنب بيئات مرتبطة بدول الاتحاد السوفيتي السابق ورابطة الدول المستقلة، إضافة إلى بعض دول الشرق الأوسط.
تتغير آلية التنفيذ وفق معاملات سطر الأوامر ومستوى الصلاحيات. فعند تمرير مسار دليل محدد، تتجاوز البرمجية خطوات الإعداد وتنتقل مباشرة إلى تشفير الملفات القابلة للوصول. أما عند تشغيلها دون معاملات ومن دون صلاحيات مرتفعة، فتحاول إنشاء ملف .cmd عشوائي الاسم وتشغيله باستخدام ShellExecuteW وRunAs لإظهار مطالبة التحكم بحساب المستخدم، مع إعادة المحاولة حتى 10 مرات إذا رفض المستخدم الطلب. ووفق التحليل الديناميكي للعينة، لم تنجح إعادة التشغيل بصلاحيات مرتفعة، ما يعني أن بعض مراحل الإعداد قد تتطلب تشغيل العينة من سياق يتمتع بالصلاحيات مسبقاً.
بعد حصولها على صلاحيات المدير، تفعّل DeadLock امتيازات مثل SeDebugPrivilege وSeRestorePrivilege وSeBackupPrivilege وSeTakeOwnershipPrivilege وSeAuditPrivilege وSeSecurityPrivilege. كما تفرغ سلة المحذوفات على جميع الأقراص، وتوقف عمليات وخدمات يمكن أن تعرقل التشفير أو تساعد على الاسترداد، بما في ذلك Windows Defender وخدمات النسخ الاحتياطي وVolume Shadow Copy، وبعض خدمات Hyper-V وActive Directory، إلى جانب أدوات الحماية والنسخ السحابي والوصول عن بُعد.
وتحاول البرمجية محو آثار الاختراق عبر تفريغ قنوات سجلات الأحداث، وتعطيل تسجيل الأحداث مستقبلاً، وتقييد صلاحيات الوصول إليها. ويشمل ذلك القنوات القياسية والقنوات المخصصة لتطبيقات أخرى، باستخدام واجهات برمجة تقليدية وحديثة وتعديلات في السجل.
تشفير يوازن بين السرعة واستجابة النظام
تستخدم DeadLock آلية لتقييد استهلاك الموارد أثناء التشفير. فهي تراقب الذاكرة ونسبة خمول المعالج قبل إرسال كل ملف جديد إلى خيوط التشفير؛ وتتوقف عملية الإرسال مؤقتاً إذا تجاوز استخدام الذاكرة 29% أو تجاوز حمل المعالج 70%، ثم تعاود المحاولة عند انخفاض الاستخدام. ولا تقطع هذه الآلية الملفات التي بدأ تشفيرها، بل تقلل التوازي وتساعد على إبقاء النظام مستجيباً، وهو ما قد يقلل احتمال لفت انتباه المستخدم بسبب تجمد الجهاز أو الارتفاع غير المعتاد في الاستهلاك.
تنشئ البرمجية خيوطاً لمعالجة الأدلة بمعدل يساوي ضعفي عدد أنوية المعالج، وتعيد تسمية الملفات بإضافة معرّف وامتداد .dlock. ويجمع تصميمها التشفيري بين Curve25519 وXChaCha20، إذ تُولّد مفتاحاً و nonce مختلفين لكل ملف، ثم تستخدم تبادل مفاتيح Curve25519 لتغليف مفتاح التشفير المتماثل. ووفق Microsoft، لا يقدم التصميم التشفيري مساراً عملياً لفك الملفات من دون المفتاح الخاص بالمهاجم.
كما تطبق DeadLock سياسة تشفير تعتمد على حجم الملف. وقد تُشفّر الملفات الكبيرة جزئياً عبر كتل حجمها 512 بايت موزعة على فترات، ما يجعل الملف غير قابل للاستخدام مع تقليل الوقت اللازم للعملية. وبعد التشفير، تضيف البرمجية ذيلاً منظماً يتضمن البيانات اللازمة لعملية فك التشفير، والمفتاح العام المؤقت، ومعرّفاً عشوائياً للملف ومؤشرات تحدد أسلوب التشفير المستخدم.
بنية تعافٍ لامركزية
تسقط البرمجية ملاحظات فدية نصية في الأدلة المشفرة، إلى جانب ملفات HTML في جذور الأقراص ومجلدات سطح المكتب. ويعمل ملف RECOVERY_CHAT.<UID>.html كتطبيق ذاتي الاكتفاء يضم محادثة مشفرة من الطرف إلى الطرف، ومدونة لتسريب البيانات، ومتصفحاً للملفات، من دون الاعتماد على خادم خلفي تقليدي.
تخزن DeadLock بيانات الإعدادات ومحتوى مدونة التسريب في عقود ذكية على بلوكتشين Polygon. ويستخرج التطبيق عنوان الخادم الوسيط عبر طلبات قراءة إلى نقاط RPC عامة، مع التبديل بين ست نقاط لتوفير قدر من الاستمرارية. ويستطيع المشغل تعديل عنوان الخادم الوسيط من خلال العقد الذكي من دون تغيير البنية التي يراها الضحية أو تسجيل نطاق جديد.
أما التواصل مع الضحايا فيمر عبر شبكة Session اللامركزية، التي تستخدم توجيهاً شبيهاً بالبصل وتخزيناً قائماً على مجموعات من العقد. وتُشتق هوية Session الخاصة بالضحية بصورة حتمية من بيانات تسجيل الدخول؛ لذلك تنتج البيانات نفسها زوج المفاتيح نفسه، ولا يتطلب الأمر إنشاء حساب، لكن نسيان بيانات الدخول يجعل الهوية غير قابلة للاستعادة وفق ما تعرضه واجهة المحادثة.
وتدعم صفحة الاسترداد أيضاً عرض الملفات المسربة المستضافة عبر Wasabi. ويتضمن التطبيق متصفحاً متوافقاً مع AWS S3 يحلل بيانات الاعتماد من الرابط، وينشئ طلبات موقعة بخوارزمية AWS4-HMAC-SHA256، ويولد روابط تنزيل مسبقة التوقيع.
حدود الصمود والتوصيات الدفاعية
لا تجعل هذه البنية العملية مستقلة تماماً عن البنية التقليدية. فالوصول إلى المحادثة يعتمد على الخادم الوسيط، وتحتاج الصفحة إلى نقطة RPC عامة واحدة على الأقل، بينما يمكن إزالة الصور والملفات المسربة من خدمات CDN أو Wasabi. ومع ذلك، يقل اعتماد المشغلين على خادم رسائل أو نطاق واحد، ما يعقد بعض جهود الحجب والإزالة.
توصي Microsoft بتفعيل الحماية السحابية في Microsoft Defender Antivirus أو ما يعادلها، وتشغيل EDR في وضع الحظر، وتفعيل الحماية ضد العبث، وضبط التحقيق والمعالجة التلقائيين. كما توصي بتفعيل Automatic Attack Disruption في Microsoft Defender XDR، وتطبيق Controlled Folder Access، واستخدام قواعد تقليل سطح الهجوم، ومنها حظر تشغيل الملفات التنفيذية التي لا تستوفي معايير الانتشار أو العمر أو الثقة، وحظر إنشاء العمليات الناتجة عن أوامر PSExec وWMI مع مراعاة تأثير التوافق على بعض الخوادم.
وتتعرف Microsoft Defender Antivirus على مكونات التهديد تحت الاسم Ransom:Win32/Deadlock.*، بينما قد تشير تنبيهات مثل اكتشاف سلوك فدية أو حذف النسخ الاحتياطية أو تغيير خلفية الشاشة إلى نشاط مرتبط بالعملية، مع تنبيه Microsoft إلى أن بعض هذه التنبيهات قد تنتج عن تهديدات أخرى. ويتضمن منشور Microsoft أيضاً مؤشرات اختراق واكتشافات Defender وإرشادات للتخفيف، ما يجعله مرجعاً عملياً لفرق الدفاع التي تراجع قدرة بيئاتها على مواجهة DeadLock أو عمليات فدية مشابهة.