Microsoft Threat Intelligence hat eine technische Analyse der DeadLock-Ransomware vorgelegt. Dabei handelt es sich um eine finanziell motivierte Operation, die die Verschlüsselung der Umgebungen von Opfern mit der Drohung kombiniert, gestohlene Daten zu veröffentlichen, und eine dezentrale Infrastruktur zur Unterstützung von Verhandlungen, Kommunikation und Veröffentlichung von Leaks nutzt. Microsoft ist der Ansicht, dass dieses Design die Widerstandsfähigkeit von Teilen der operativen Infrastruktur gegenüber Unterbrechungsversuchen erhöhen kann, da die Malware nicht vollständig von einer einzelnen herkömmlichen Domain oder einem einzelnen Server abhängt.
DeadLock trat erstmals im Juli 2025 auf. Microsoft beobachtete ihren Einsatz durch mehrere Gruppen, darunter eine mit den Ransomware-Ökosystemen Lynx und INC verbundene Gruppe. Bis Juli 2026 hatten die Betreiber mehr als 80 kompromittierte Organisationen auf der als DeadLock blog bekannten Daten-Leak-Website veröffentlicht; mehr als die Hälfte der öffentlich bekannten Opfer befand sich in Europa. Die Operation betraf Organisationen in den Bereichen Informationstechnologie, Bergbau, Transport, Logistik, Fertigung, Gastgewerbe, Konsumgüter und weiteren Branchen in Europa, Asien, Nordamerika, Südamerika und Afrika.
Vorbereitung des Angriffs und Deaktivierung von Schutzmaßnahmen
Der Verschlüsseler entschlüsselt eingebettete Konfigurationen zunächst mit XOR und einem 8 Byte langen Schlüssel und überprüft anschließend die Standardsprache sowie die Benutzeroberflächensprache des Systems. Stimmt eine davon mit einer Ausschlussliste überein, löscht die Malware sich selbst und beendet sich ohne Verschlüsselung. Dieses Verhalten deutet auf ein sprach- oder länderbasiertes Geofencing hin, um Umgebungen zu vermeiden, die mit den ehemaligen Sowjetstaaten und der Gemeinschaft Unabhängiger Staaten sowie einigen Ländern des Nahen Ostens verbunden sind.
Die Ausführungsweise variiert abhängig von den Befehlszeilenparametern und der Berechtigungsstufe. Wird ein bestimmter Verzeichnispfad übergeben, überspringt die Malware die Einrichtungsschritte und geht direkt zur Verschlüsselung zugänglicher Dateien über. Wird sie dagegen ohne Parameter und ohne erhöhte Berechtigungen ausgeführt, versucht sie, eine zufällig benannte .cmd-Datei zu erstellen und sie mithilfe von ShellExecuteW und RunAs auszuführen, um eine Eingabeaufforderung der Benutzerkontensteuerung anzuzeigen. Wird die Anfrage abgelehnt, wird dies bis zu 10-mal wiederholt. Laut der dynamischen Analyse des Samples war der Neustart mit erhöhten Berechtigungen nicht erfolgreich. Das bedeutet, dass einige Einrichtungsschritte möglicherweise die Ausführung des Samples aus einem bereits privilegierten Kontext erfordern.
Nachdem sie Administratorrechte erlangt hat, aktiviert DeadLock Berechtigungen wie SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege und SeSecurityPrivilege. Außerdem leert sie den Papierkorb auf allen Laufwerken und beendet Prozesse und Dienste, die die Verschlüsselung behindern oder die Wiederherstellung unterstützen könnten. Dazu gehören Windows Defender, Backup- und Volume-Shadow-Copy-Dienste, einige Hyper-V- und Active-Directory-Dienste sowie Schutz-, Cloud-Backup- und Fernzugriffstools.
Die Malware versucht, Spuren der Kompromittierung zu beseitigen, indem sie Ereignisprotokollkanäle leert, die zukünftige Ereignisprotokollierung deaktiviert und den Zugriff darauf einschränkt. Dies betrifft sowohl Standardkanäle als auch benutzerdefinierte Kanäle anderer Anwendungen. Dafür verwendet sie herkömmliche und moderne Programmierschnittstellen sowie Änderungen an der Registrierung.
Verschlüsselung mit einem Gleichgewicht zwischen Geschwindigkeit und Systemreaktion
DeadLock nutzt einen Mechanismus zur Begrenzung des Ressourcenverbrauchs während der Verschlüsselung. Vor der Übergabe jeder neuen Datei an die Verschlüsselungsthreads überwacht sie den Arbeitsspeicher und den Prozentsatz der Prozessorleerlaufzeit. Die Übergabe wird vorübergehend angehalten, wenn die Speichernutzung 29 % oder die Prozessorlast 70 % überschreitet, und bei sinkender Auslastung erneut versucht. Dieser Mechanismus unterbricht keine bereits begonnenen Dateiverschlüsselungen, sondern verringert die Parallelität und trägt dazu bei, dass das System reaktionsfähig bleibt. Dadurch kann die Wahrscheinlichkeit sinken, dass der Benutzer aufgrund eines eingefrorenen Geräts oder eines ungewöhnlich hohen Ressourcenverbrauchs aufmerksam wird.
Die Malware erstellt Threads zur Verarbeitung von Verzeichnissen, deren Anzahl dem Zweifachen der Zahl der Prozessorkerne entspricht, und benennt Dateien durch Hinzufügen einer Kennung und der Erweiterung .dlock um. Ihr Verschlüsselungsdesign kombiniert Curve25519 und XChaCha20: Für jede Datei werden ein anderer Schlüssel und eine andere Nonce erzeugt, anschließend wird ein Curve25519-Schlüsselaustausch verwendet, um den symmetrischen Verschlüsselungsschlüssel zu kapseln. Laut Microsoft bietet das kryptografische Design keinen praktikablen Weg, Dateien ohne den privaten Schlüssel des Angreifers zu entschlüsseln.
DeadLock wendet außerdem eine von der Dateigröße abhängige Verschlüsselungsrichtlinie an. Große Dateien können teilweise über Blöcke von 512 Byte verschlüsselt werden, die über verschiedene Positionen verteilt sind. Dadurch wird die Datei unbrauchbar, während der für den Vorgang erforderliche Zeitaufwand sinkt. Nach der Verschlüsselung fügt die Malware einen strukturierten Anhang hinzu, der die für die Entschlüsselung erforderlichen Daten, den temporären öffentlichen Schlüssel, eine zufällige Datei-ID und Hinweise auf die verwendete Verschlüsselungsmethode enthält.
Dezentrale Wiederherstellungsinfrastruktur
Die Malware legt Text-Lösegeldforderungen in den verschlüsselten Verzeichnissen ab sowie HTML-Dateien in den Stammverzeichnissen der Laufwerke und in Desktop-Ordnern. Die Datei RECOVERY_CHAT.<UID>.html fungiert als eigenständige Anwendung mit Ende-zu-Ende-verschlüsseltem Chat, Daten-Leak-Blog und Dateibrowser, ohne auf ein herkömmliches Backend angewiesen zu sein.
DeadLock speichert Konfigurationsdaten und den Inhalt des Leak-Blogs in Smart Contracts auf der Polygon-Blockchain. Die Anwendung ruft die Adresse des Relay-Servers über Leseanfragen an öffentliche RPC-Endpunkte ab und wechselt dabei zwischen sechs Endpunkten, um ein gewisses Maß an Ausfallsicherheit zu gewährleisten. Der Betreiber kann die Adresse des Relay-Servers über den Smart Contract ändern, ohne die von den Opfern wahrgenommene Infrastruktur zu ändern oder eine neue Domain zu registrieren.
Die Kommunikation mit den Opfern erfolgt über das dezentrale Session-Netzwerk, das zwiebelähnliches Routing und eine auf Gruppen von Knoten basierende Speicherung verwendet. Die Session-Identität des Opfers wird deterministisch aus den Anmeldedaten abgeleitet. Daher erzeugen dieselben Daten dasselbe Schlüsselpaar, und die Erstellung eines Kontos ist nicht erforderlich. Das Vergessen der Anmeldedaten macht die Identität jedoch gemäß der Darstellung der Chat-Oberfläche nicht wiederherstellbar.
Die Wiederherstellungsseite unterstützt außerdem die Anzeige von über Wasabi gehosteten geleakten Dateien. Die Anwendung enthält einen mit AWS S3 kompatiblen Browser, der die Zugangsdaten aus dem Link analysiert, mit AWS4-HMAC-SHA256 signierte Anfragen erstellt und vorab signierte Download-Links generiert.
Grenzen der Widerstandsfähigkeit und Abwehrmaßnahmen
Diese Infrastruktur macht die Operation nicht vollständig unabhängig von herkömmlicher Infrastruktur. Der Zugriff auf den Chat hängt vom Relay-Server ab, und die Seite benötigt mindestens einen öffentlichen RPC-Endpunkt. Außerdem können geleakte Bilder und Dateien aus CDN- oder Wasabi-Diensten entfernt werden. Dennoch sind die Betreiber weniger auf einen einzelnen Nachrichtenserver oder eine einzelne Domain angewiesen, wodurch bestimmte Blockierungs- und Entfernungmaßnahmen erschwert werden.
Microsoft empfiehlt, den Cloud-Schutz in Microsoft Defender Antivirus oder einer entsprechenden Lösung zu aktivieren, EDR im Blockierungsmodus zu betreiben, den Manipulationsschutz zu aktivieren und automatische Untersuchung und Behebung zu konfigurieren. Außerdem empfiehlt Microsoft, Automatic Attack Disruption in Microsoft Defender XDR zu aktivieren, Controlled Folder Access einzusetzen und Regeln zur Verringerung der Angriffsfläche zu verwenden. Dazu gehören das Blockieren der Ausführung von ausführbaren Dateien, die bestimmte Kriterien hinsichtlich Verbreitung, Alter oder Vertrauenswürdigkeit nicht erfüllen, sowie das Blockieren der Erstellung von Prozessen durch PSExec- und WMI-Befehle, wobei die Auswirkungen auf die Kompatibilität bestimmter Server berücksichtigt werden sollten.
Microsoft Defender Antivirus erkennt die Bedrohungskomponenten unter dem Namen Ransom:Win32/Deadlock.*, während Warnungen wie die Erkennung von Erpressungsverhalten, das Löschen von Sicherungskopien oder das Ändern des Desktop-Hintergrunds auf Aktivitäten im Zusammenhang mit dem Vorgang hinweisen können. Microsoft weist jedoch darauf hin, dass einige dieser Warnungen auch durch andere Bedrohungen ausgelöst werden können. Der Microsoft-Beitrag enthält außerdem Kompromittierungsindikatoren, Defender-Erkennungen und Hinweise zur Eindämmung, wodurch er zu einer praktischen Referenz für Verteidigungsteams wird, die die Fähigkeit ihrer Umgebungen zur Abwehr von DeadLock oder ähnlichen Erpressungsvorgängen überprüfen.