Microsoft Threat Intelligence는 DeadLock 랜섬웨어에 대한 기술 분석을 발표했다. DeadLock은 피해자 환경을 암호화하고 탈취한 데이터 공개를 위협하는 금전 목적의 활동으로, 협상과 소통 및 유출 데이터 게시를 지원하기 위해 탈중앙화 아키텍처를 사용한다. Microsoft는 이 설계가 운영 인프라 일부의 중단 시도에 대한 복원력을 높일 수 있다고 판단한다. 랜섬웨어가 단일 기존 도메인이나 서버에 전적으로 의존하지 않기 때문이다.
DeadLock은 2025년 7월 처음 등장했으며, Microsoft는 여러 그룹이 이를 사용한 사실을 확인했다. 여기에는 Lynx 및 INC 랜섬웨어 생태계에 속한 공격 주체도 포함된다. 2026년 7월까지 운영자들은 DeadLock blog로 알려진 데이터 유출 사이트에 80개가 넘는 침해 조직을 게시했으며, 공개된 피해자의 절반 이상은 유럽에 있었다. 이 활동은 유럽, 아시아, 북아메리카, 남아메리카 및 아프리카의 정보기술, 광업, 운송, 물류, 제조, 숙박업, 소비재 및 기타 산업에 영향을 미친 것으로 관찰되었다.
공격 준비 및 보호 수단 비활성화
암호화기는 8바이트 키를 사용하는 XOR로 내장된 설정을 복호화한 뒤, 시스템의 기본 언어와 사용자 인터페이스 언어를 확인한다. 둘 중 하나가 제외 목록과 일치하면 랜섬웨어는 스스로 삭제되고 암호화 없이 종료된다. 이러한 동작은 구소련 국가 및 독립국가연합과 일부 중동 국가와 관련된 환경을 피하기 위해 언어 또는 국가 기반의 지오펜싱을 사용한다는 점을 시사한다.
실행 방식은 명령줄 인자와 권한 수준에 따라 달라진다. 특정 디렉터리 경로가 전달되면 랜섬웨어는 설정 단계를 건너뛰고 접근 가능한 파일을 바로 암호화한다. 반면 인자 없이, 그리고 상승된 권한 없이 실행되면 무작위 이름의 .cmd 파일을 만들고 ShellExecuteW 및 RunAs를 사용해 실행함으로써 사용자 계정 컨트롤 프롬프트를 표시하려고 한다. 사용자가 요청을 거부하면 최대 10회까지 재시도한다. 샘플에 대한 동적 분석에 따르면 상승된 권한으로 재실행하는 데 성공하지 못했으며, 이는 일부 설정 단계에서 이미 권한을 보유한 컨텍스트로 샘플을 실행해야 할 수 있음을 의미한다.
관리자 권한을 획득한 뒤 DeadLock은 SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege 및 SeSecurityPrivilege와 같은 권한을 활성화한다. 또한 모든 드라이브의 휴지통을 비우고, 암호화를 방해하거나 복구에 도움이 될 수 있는 프로세스와 서비스를 중지한다. 여기에는 Windows Defender, 백업 서비스 및 Volume Shadow Copy, 일부 Hyper-V 및 Active Directory 서비스, 그리고 보안·클라우드 백업·원격 액세스 도구가 포함된다.
또한 랜섬웨어는 이벤트 로그 채널을 비우고 향후 이벤트 기록을 비활성화하며 해당 채널에 대한 접근 권한을 제한해 침해 흔적을 지우려고 한다. 여기에는 표준 채널과 다른 애플리케이션용 사용자 지정 채널이 포함되며, 기존 및 최신 API와 레지스트리 수정을 사용한다.
속도와 시스템 응답성의 균형을 맞춘 암호화
DeadLock은 암호화 중 리소스 사용량을 제한하는 메커니즘을 사용한다. 새 파일을 암호화 스레드로 전달하기 전에 메모리와 CPU 유휴율을 모니터링하며, 메모리 사용량이 29%를 초과하거나 CPU 부하가 70%를 초과하면 전달을 일시 중지하고 사용량이 낮아지면 다시 시도한다. 이 메커니즘은 암호화가 시작된 파일을 중단하지 않고 병렬 처리를 줄여 시스템의 응답성을 유지하는 데 도움을 준다. 그 결과 컴퓨터가 멈추거나 사용량이 비정상적으로 증가해 사용자의 주의를 끌 가능성을 낮출 수 있다.
랜섬웨어는 CPU 코어 수의 두 배에 해당하는 수의 스레드를 만들어 디렉터리를 처리하고, 파일 이름에 식별자와 .dlock 확장자를 추가해 파일 이름을 변경한다. 암호화 설계는 Curve25519와 XChaCha20을 결합한다. 파일마다 서로 다른 키와 nonce를 생성한 뒤 Curve25519 키 교환을 사용해 대칭 암호화 키를 래핑한다. Microsoft에 따르면 공격자의 개인 키 없이 파일을 복호화할 수 있는 실용적인 경로는 암호화 설계에 존재하지 않는다.
DeadLock은 파일 크기에 따른 암호화 정책도 적용한다. 대용량 파일은 512바이트 블록을 일정한 간격으로 배치해 부분적으로 암호화할 수 있으며, 이로써 파일을 사용할 수 없게 만들면서 작업에 필요한 시간을 줄인다. 암호화 후 랜섬웨어는 복호화에 필요한 데이터, 임시 공개 키, 파일의 무작위 식별자 및 사용된 암호화 방식을 지정하는 지표를 포함한 구조화된 꼬리 데이터를 추가한다.
탈중앙화 복구 아키텍처
랜섬웨어는 암호화된 디렉터리에 텍스트 형식의 랜섬 노트를 남기며, 드라이브 루트와 데스크톱 폴더에는 HTML 파일을 생성한다. RECOVERY_CHAT.<UID>.html 파일은 기존 백엔드 서버에 의존하지 않고 종단 간 암호화 채팅, 데이터 유출 블로그 및 파일 브라우저를 포함하는 독립형 애플리케이션으로 작동한다.
DeadLock은 Polygon 블록체인의 스마트 계약에 설정 데이터와 유출 블로그 콘텐츠를 저장한다. 애플리케이션은 공개 RPC 엔드포인트에 읽기 요청을 보내 중계 서버 주소를 가져오며, 일정 수준의 지속성을 확보하기 위해 6개 엔드포인트 사이를 전환한다. 운영자는 피해자가 보는 구조를 변경하거나 새 도메인을 등록하지 않고 스마트 계약을 통해 중계 서버 주소를 변경할 수 있다.
피해자와의 소통은 탈중앙화된 Session 네트워크를 통해 이루어진다. Session 네트워크는 양파 라우팅과 노드 그룹 기반 저장 방식을 사용한다. 피해자의 Session ID는 로그인 데이터에서 결정론적으로 파생되므로 동일한 데이터는 동일한 키 쌍을 생성한다. 계정을 만들 필요는 없지만, 로그인 데이터를 잊으면 채팅 인터페이스에 표시되는 내용에 따라 ID를 복구할 수 없다.
복구 페이지는 Wasabi를 통해 호스팅되는 유출 파일의 표시도 지원한다. 애플리케이션에는 AWS S3와 호환되는 브라우저가 포함되어 있으며, 링크에서 자격 증명을 분석하고 AWS4-HMAC-SHA256 알고리즘으로 서명된 요청을 생성한 뒤 미리 서명된 다운로드 링크를 만든다.
복원력의 한계와 방어 권고
이 아키텍처가 운영을 기존 인프라와 완전히 독립적으로 만들지는 않는다. 채팅에 접근하려면 중계 서버가 필요하고, 페이지에는 최소 하나의 공개 RPC 엔드포인트가 필요하며, 유출된 이미지와 파일은 CDN 또는 Wasabi 서비스에서 제거할 수 있다. 그럼에도 운영자는 단일 메시지 서버나 도메인에 대한 의존성을 줄이므로 일부 차단 및 제거 작업이 더 어려워진다.
Microsoft는 Microsoft Defender Antivirus 또는 이에 상응하는 제품에서 클라우드 기반 보호를 활성화하고, EDR을 차단 모드로 실행하며, 변조 방지를 활성화하고, 자동 조사 및 복구를 구성할 것을 권고한다. 또한 Microsoft Defender XDR에서 Automatic Attack Disruption을 활성화하고, Controlled Folder Access를 적용하며, 공격 표면 감소 규칙을 사용할 것을 권고한다. 여기에는 확산성, 사용 기간 또는 신뢰도 기준을 충족하지 않는 실행 파일의 실행을 차단하는 규칙과 PSExec 및 WMI 명령으로 생성되는 프로세스를 차단하는 규칙이 포함된다. 일부 서버에 미치는 호환성 영향을 고려해야 한다.
Microsoft Defender Antivirus는 위협 구성 요소를 Ransom:Win32/Deadlock.*이라는 이름으로 식별하며, 랜섬웨어 행위 감지, 백업 삭제 또는 바탕 화면 배경 변경과 같은 경고는 해당 작업과 관련된 활동을 나타낼 수 있습니다. 다만 Microsoft는 이러한 경고 중 일부가 다른 위협으로 인해 발생할 수도 있다고 경고합니다. Microsoft의 게시물에는 침해 지표와 Defender 탐지 정보, 완화 지침도 포함되어 있어, 자체 환경이 DeadLock 또는 유사한 랜섬웨어 작업에 대응할 수 있는 역량을 검토하는 방어 팀에 실용적인 참고 자료가 됩니다.