Microsoft Threat Intelligence hat eine technische Analyse der DeadLock-Ransomware veröffentlicht. Dabei handelt es sich um eine finanziell motivierte Operation, die die Verschlüsselung der Umgebungen von Opfern mit der Drohung kombiniert, gestohlene Daten zu veröffentlichen, und eine dezentrale Architektur nutzt, um Verhandlungen, Kommunikation und die Veröffentlichung von Leaks zu unterstützen. Microsoft zufolge könnte dieses Design die Widerstandsfähigkeit von Teilen der Betriebsinfrastruktur gegenüber Störungsversuchen erhöhen, da die Malware nicht vollständig von einer einzelnen herkömmlichen Domain oder einem einzelnen Server abhängt.
DeadLock tauchte erstmals im Juli 2025 auf. Microsoft beobachtete ihren Einsatz durch mehrere Gruppen, darunter eine Gruppierung aus dem Umfeld der Ransomware-Familien Lynx und INC. Bis Juli 2026 hatten die Betreiber mehr als 80 kompromittierte Organisationen auf der als DeadLock blog bekannten Leak-Website veröffentlicht. Mehr als die Hälfte der genannten Opfer befand sich in Europa. Die Operation betraf Organisationen aus den Bereichen Informationstechnologie, Bergbau, Transport, Logistik, Fertigung, Gastgewerbe, Konsumgüter und weiteren Sektoren in Europa, Asien, Nordamerika, Südamerika und Afrika.
Vorbereitung des Angriffs und Deaktivierung von Schutzmaßnahmen
Der Verschlüsseler entschlüsselt eingebettete Konfigurationen zunächst mit XOR und einem 8-Byte-Schlüssel und überprüft anschließend die Standardsprache sowie die Benutzeroberflächensprache des Systems. Stimmt eine der beiden Sprachen mit einer Ausschlussliste überein, löscht sich die Malware selbst und beendet sich ohne Verschlüsselung. Dieses Verhalten deutet auf ein sprach- oder länderbasiertes Geofencing hin, um Umgebungen zu vermeiden, die mit den Ländern der ehemaligen Sowjetunion und der Gemeinschaft Unabhängiger Staaten sowie einigen Ländern des Nahen Ostens verbunden sind.
Der Ausführungsmechanismus variiert abhängig von den Befehlszeilenparametern und der Berechtigungsstufe. Wird ein bestimmter Verzeichnispfad übergeben, überspringt die Malware die Einrichtungsschritte und geht direkt zur Verschlüsselung zugänglicher Dateien über. Wird sie dagegen ohne Parameter und ohne erhöhte Berechtigungen ausgeführt, versucht sie, eine zufällig benannte .cmd-Datei zu erstellen und sie mit ShellExecuteW und RunAs auszuführen, um eine Eingabeaufforderung der Benutzerkontensteuerung anzuzeigen. Wird die Anfrage abgelehnt, wird dies bis zu 10-mal wiederholt. Der dynamischen Analyse des Samples zufolge war der Neustart mit erhöhten Berechtigungen nicht erfolgreich. Das bedeutet, dass einige Einrichtungsschritte möglicherweise die Ausführung des Samples aus einem bereits privilegierten Kontext erfordern.
Nachdem DeadLock Administratorrechte erhalten hat, aktiviert sie Privilegien wie SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege und SeSecurityPrivilege. Außerdem leert sie den Papierkorb auf allen Laufwerken und beendet Prozesse und Dienste, die die Verschlüsselung behindern oder die Wiederherstellung unterstützen könnten, darunter Windows Defender, Backup-Dienste und Volume Shadow Copy sowie einige Hyper-V- und Active-Directory-Dienste, Schutz- und Cloud-Backup-Tools sowie Lösungen für den Fernzugriff.
Die Malware versucht, Spuren des Eindringens zu beseitigen, indem sie Ereignisprotokollkanäle leert, die künftige Ereignisprotokollierung deaktiviert und den Zugriff auf diese Kanäle beschränkt. Dies umfasst Standardkanäle und benutzerdefinierte Kanäle anderer Anwendungen und erfolgt über herkömmliche und moderne Programmierschnittstellen sowie Änderungen an der Registrierung.
Verschlüsselung mit ausgewogenem Verhältnis zwischen Geschwindigkeit und Systemreaktion
DeadLock nutzt einen Mechanismus zur Begrenzung des Ressourcenverbrauchs während der Verschlüsselung. Vor der Übergabe jeder neuen Datei an die Verschlüsselungsthreads überwacht sie den Arbeitsspeicher und die Leerlaufquote des Prozessors. Die Übergabe wird vorübergehend angehalten, wenn die Speicherauslastung 29 % oder die Prozessorlast 70 % überschreitet, und bei sinkender Auslastung erneut versucht. Der Mechanismus unterbricht keine bereits begonnenen Verschlüsselungen, sondern reduziert die Parallelität und trägt dazu bei, dass das System reaktionsfähig bleibt. Dadurch kann die Wahrscheinlichkeit sinken, dass der Benutzer aufgrund eines eingefrorenen Geräts oder eines ungewöhnlich hohen Ressourcenverbrauchs aufmerksam wird.
Die Malware erstellt Threads zur Verarbeitung von Verzeichnissen in einer Anzahl, die dem Doppelten der Prozessorkernzahl entspricht, und benennt Dateien um, indem sie eine Kennung und die Erweiterung .dlock hinzufügt. Ihr Verschlüsselungsdesign kombiniert Curve25519 und XChaCha20. Für jede Datei werden ein anderer Schlüssel und eine andere Nonce erzeugt; anschließend wird ein Curve25519-Schlüsselaustausch verwendet, um den symmetrischen Verschlüsselungsschlüssel zu verpacken. Microsoft zufolge bietet das kryptografische Design keinen praktikablen Weg, Dateien ohne den privaten Schlüssel des Angreifers zu entschlüsseln.
DeadLock wendet außerdem eine von der Dateigröße abhängige Verschlüsselungsrichtlinie an. Große Dateien können teilweise über 512 Byte große, über Zeitintervalle verteilte Blöcke verschlüsselt werden, wodurch die Datei unbrauchbar wird und zugleich die für den Vorgang erforderliche Zeit sinkt. Nach der Verschlüsselung fügt die Malware einen strukturierten Trailer hinzu, der die für die Entschlüsselung erforderlichen Daten, den temporären öffentlichen Schlüssel, eine zufällige Datei-ID und Indikatoren für die verwendete Verschlüsselungsmethode enthält.
Dezentrale Wiederherstellungsarchitektur
Die Malware legt Textdateien mit Lösegeldforderungen in den verschlüsselten Verzeichnissen sowie HTML-Dateien in den Stammverzeichnissen der Laufwerke und in Desktop-Ordnern ab. Die Datei RECOVERY_CHAT.<UID>.html fungiert als eigenständige Anwendung mit Ende-zu-Ende-verschlüsseltem Chat, einem Datenleck-Blog und einem Dateibrowser, ohne auf einen herkömmlichen Backend-Server angewiesen zu sein.
DeadLock speichert Konfigurationsdaten und den Inhalt des Leak-Blogs in Smart Contracts auf der Polygon-Blockchain. Die Anwendung ermittelt die Adresse des Relay-Servers durch Leseanfragen an öffentliche RPC-Endpunkte und wechselt dabei zwischen sechs Endpunkten, um ein gewisses Maß an Ausfallsicherheit zu gewährleisten. Der Betreiber kann die Adresse des Relay-Servers über den Smart Contract ändern, ohne die von den Opfern wahrgenommene Infrastruktur zu ändern oder eine neue Domain zu registrieren.
Die Kommunikation mit den Opfern erfolgt über das dezentrale Session-Netzwerk, das onionähnliches Routing und eine auf Knotengruppen basierende Speicherung verwendet. Die Session-Identität des Opfers wird deterministisch aus den Anmeldedaten abgeleitet. Daher erzeugen dieselben Daten dasselbe Schlüsselpaar, und die Erstellung eines Kontos ist nicht erforderlich. Werden die Anmeldedaten jedoch vergessen, ist die Identität gemäß der Chat-Oberfläche nicht wiederherstellbar.
Die Wiederherstellungsseite unterstützt außerdem die Anzeige von über Wasabi gehosteten geleakten Dateien. Die Anwendung enthält einen mit AWS S3 kompatiblen Browser, der die Zugangsdaten aus dem Link analysiert, mit AWS4-HMAC-SHA256 signierte Anfragen erstellt und vorab signierte Download-Links generiert.
Grenzen der Widerstandsfähigkeit und Empfehlungen zur Abwehr
Diese Architektur macht die Operation nicht vollständig unabhängig von herkömmlicher Infrastruktur. Der Zugriff auf den Chat hängt vom Relay-Server ab, die Seite benötigt mindestens einen öffentlichen RPC-Endpunkt, und geleakte Bilder und Dateien können von CDN-Diensten oder Wasabi entfernt werden. Dennoch verringert sich die Abhängigkeit der Betreiber von einem einzelnen Nachrichtenserver oder einer einzelnen Domain, was bestimmte Blockierungs- und Entfernungsmaßnahmen erschwert.
Microsoft empfiehlt, den cloudbasierten Schutz in Microsoft Defender Antivirus oder einer entsprechenden Lösung zu aktivieren, EDR im Blockierungsmodus zu betreiben, den Manipulationsschutz zu aktivieren und die automatische Untersuchung und Behebung zu konfigurieren. Außerdem empfiehlt Microsoft, Automatic Attack Disruption in Microsoft Defender XDR zu aktivieren, Controlled Folder Access einzusetzen und Regeln zur Verringerung der Angriffsfläche zu verwenden. Dazu gehören das Blockieren der Ausführung von ausführbaren Dateien, die bestimmte Kriterien hinsichtlich Verbreitung, Alter oder Vertrauenswürdigkeit nicht erfüllen, sowie das Blockieren der Erstellung von Prozessen, die aus PSExec- und WMI-Befehlen hervorgehen, wobei die Auswirkungen auf die Kompatibilität einiger Server berücksichtigt werden sollten.
Microsoft Defender Antivirus, tehdit bileşenlerini Ransom:Win32/Deadlock.* adı altında tanır; fidye yazılımı davranışı algılandı, yedeklerin silinmesi veya masaüstü arka planının değiştirilmesi gibi uyarılar ise süreçle ilişkili etkinliğe işaret edebilir. Microsoft, bu uyarıların bazılarının başka tehditlerden kaynaklanabileceği konusunda uyarır. Microsoft'un gönderisinde ayrıca güvenlik ihlali göstergeleri, Defender algılamaları ve azaltma yönergeleri de yer alır; bu da gönderiyi, ortamlarının DeadLock'a veya benzer fidye yazılımı operasyonlarına karşı koyma kapasitesini değerlendiren savunma ekipleri için pratik bir başvuru kaynağı hâline getirir.