Microsoft Threat Intelligenceは、DeadLockランサムウェアについて技術分析を公開しました。これは金銭目的の活動であり、被害者の環境の暗号化と、盗み出したデータを公開すると脅迫する行為を組み合わせ、交渉、通信、流出情報の公開を支援するために分散型アーキテクチャを使用しています。Microsoftは、この設計により、運用インフラの一部が妨害の試みに対してより高い耐性を持つ可能性があると見ています。これは、ランサムウェアが単一のドメインや従来型サーバーに全面的に依存していないためです。
DeadLockは2025年7月に初めて登場し、Microsoftは、LynxおよびINCランサムウェアのエコシステムに属する組織を含む複数のグループによる使用を確認しました。2026年7月までに、運用者はDeadLock blogとして知られるデータ流出サイトで、侵害した80を超える組織を公開していました。公表された被害者の半数以上は欧州に所在していました。この活動は、情報技術、鉱業、運輸、物流、製造、ホスピタリティ、消費財などの各分野の組織に影響を及ぼしていることが確認されており、地域は欧州、アジア、北米、南米、アフリカに及びます。
攻撃の準備と防御手段の無効化
暗号化プログラムは、8バイトの鍵を使用してXORで埋め込まれた設定を復号し、その後、システムの既定の言語とユーザーインターフェイス言語を確認します。いずれかが除外リストと一致した場合、ランサムウェアは自身を削除して終了し、暗号化を行いません。この挙動は、旧ソ連諸国および独立国家共同体に関連する環境に加え、一部の中東諸国を回避するため、言語または国に基づくジオフェンシングを使用していることを示しています。
実行方法は、コマンドライン引数と権限レベルに応じて変化します。特定のディレクトリパスが渡された場合、ランサムウェアは準備手順を省略し、アクセス可能なファイルの暗号化に直接移行します。一方、引数なしで、かつ昇格された権限なしに実行された場合、ランダムな名前の.cmdファイルを作成し、ShellExecuteWとRunAsを使用して実行することで、ユーザーアカウント制御のプロンプトを表示しようとします。ユーザーが要求を拒否した場合は、最大10回まで再試行します。サンプルの動的分析によれば、昇格された権限での再起動には成功しませんでした。これは、準備手順の一部で、あらかじめ権限を持つコンテキストからサンプルを実行する必要がある可能性を意味します。
管理者権限を取得すると、DeadLockはSeDebugPrivilege、SeRestorePrivilege、SeBackupPrivilege、SeTakeOwnershipPrivilege、SeAuditPrivilege、SeSecurityPrivilegeなどの特権を有効化します。また、すべてのドライブのごみ箱を空にし、暗号化を妨げたり復旧を支援したりする可能性のあるプロセスやサービスを停止します。対象にはWindows Defender、バックアップサービス、Volume Shadow Copy、一部のHyper-VおよびActive Directoryサービス、さらにセキュリティ、クラウドバックアップ、リモートアクセスの各ツールが含まれます。
さらにランサムウェアは、イベントログチャネルを消去し、今後のイベント記録を無効化し、アクセス権を制限することで、侵害の痕跡を消そうとします。これには標準チャネルだけでなく、他のアプリケーション向けにカスタマイズされたチャネルも含まれ、従来型および最新のAPIとレジストリの変更が使用されます。
速度とシステム応答性のバランスを取る暗号化
DeadLockは、暗号化中のリソース消費を制限する仕組みを使用します。新しいファイルを暗号化スレッドに送る前にメモリ使用率とプロセッサーのアイドル率を監視し、メモリ使用率が29%を超えるか、プロセッサー負荷が70%を超えると送信を一時停止し、使用率が低下した時点で再試行します。この仕組みは暗号化を開始したファイルを中断するものではなく、並列処理の度合いを下げてシステムの応答性を維持するのに役立ちます。そのため、コンピューターのフリーズや異常なリソース消費によってユーザーの注意を引く可能性を低減できます。
ランサムウェアは、プロセッサーのコア数の2倍に相当する数のスレッドを作成してディレクトリを処理し、ファイル名に識別子と.dlock拡張子を追加してファイルを改名します。その暗号化設計はCurve25519とXChaCha20を組み合わせており、ファイルごとに異なる鍵とnonceを生成した後、Curve25519の鍵交換を使用して対称暗号化鍵をラップします。Microsoftによれば、この暗号化設計には、攻撃者の秘密鍵なしにファイルを復号する実用的な手段はありません。
DeadLockは、ファイルサイズに基づく暗号化ポリシーも適用します。大きなファイルは、512バイトのブロックを一定間隔で分散させて部分的に暗号化される場合があります。これにより、処理に必要な時間を短縮しながらファイルを使用不能にします。暗号化後、ランサムウェアは復号処理に必要なデータ、一時公開鍵、ファイル用のランダム識別子、使用された暗号化方式を示すインジケーターを含む構造化された末尾を追加します。
分散型の復旧アーキテクチャ
ランサムウェアは、暗号化されたディレクトリ内にテキスト形式の身代金要求メモを作成し、さらにドライブのルートとデスクトップフォルダーにHTMLファイルを配置します。RECOVERY_CHAT.<UID>.htmlファイルは、従来型のバックエンドサーバーに依存せず、エンドツーエンドで暗号化されたチャット、データ流出ブログ、ファイルブラウザーを備えた自己完結型アプリケーションとして機能します。
DeadLockは、設定データと流出ブログのコンテンツをPolygonブロックチェーン上のスマートコントラクトに保存します。アプリケーションは、公開RPCエンドポイントへの読み取りリクエストを通じてプロキシサーバーのアドレスを取得し、継続性を確保するために6つのエンドポイントを切り替えます。運用者は、被害者が見るインフラストラクチャを変更したり新しいドメインを登録したりせずに、スマートコントラクトを通じてプロキシサーバーのアドレスを変更できます。
被害者との通信は、分散型のSessionネットワークを経由します。このネットワークは、オニオンルーティングに似た方式と、ノード群に基づくストレージを使用します。被害者のSession IDはログイン情報から決定論的に導出されるため、同じデータからは同じ鍵ペアが生成され、アカウントを作成する必要はありません。ただし、ログイン情報を忘れると、チャットインターフェイスが示すとおり、そのIDを復元できなくなります。
復旧ページは、Wasabiでホストされた流出ファイルの表示にも対応しています。アプリケーションにはAWS S3互換のブラウザーが組み込まれており、リンクから認証情報を解析し、AWS4-HMAC-SHA256アルゴリズムで署名されたリクエストを作成し、署名付きダウンロードURLを生成します。
耐性の限界と防御に関する推奨事項
このアーキテクチャによって、運用が従来型インフラから完全に独立するわけではありません。チャットへのアクセスはプロキシサーバーに依存し、ページには少なくとも1つの公開RPCエンドポイントが必要です。また、流出した画像やファイルはCDNまたはWasabiのサービスから削除できる可能性があります。それでも、運用者が単一のメッセージサーバーやドメインに依存する度合いは低下するため、一部のブロックおよび削除の取り組みは複雑になります。
Microsoftは、Microsoft Defender Antivirusまたは同等の製品でクラウドによる保護を有効にし、EDRをブロックモードで実行し、改ざん防止を有効にし、自動調査と自動修復を設定することを推奨しています。また、Microsoft Defender XDRでAutomatic Attack Disruptionを有効にし、Controlled Folder Accessを適用し、攻撃面の縮小ルールを使用することも推奨しています。これには、普及度、経過期間、信頼性の基準を満たさない実行ファイルの実行をブロックすることや、互換性への影響を一部のサーバーで考慮しつつ、PSExecおよびWMIコマンドによって生成されるプロセスの作成をブロックすることが含まれます。
Microsoft Defender Antivirusは、脅威のコンポーネントをRansom:Win32/Deadlock.*という名称で検出します。一方、ランサムウェアの挙動の検出、バックアップの削除、壁紙の変更などのアラートは、このプロセスに関連する活動を示している可能性があります。ただしMicrosoftは、これらのアラートの一部が他の脅威によって引き起こされる場合もあると注意喚起しています。Microsoftの投稿には、侵害の痕跡、Defenderによる検出、緩和策に関するガイダンスも含まれており、環境がDeadLockや類似のランサムウェア攻撃に対処できる能力を検証する防御チームにとって実用的な参考資料となっています。