DeadLock-Ransomware nutzt Blockchain, um die Abschaltung ihrer Infrastruktur zu erschweren

DeadLock-Ransomware erschwert es Behörden und Sicherheitsteams, ihre Aktivitäten zu stören, indem wichtige Teile der Infrastruktur auf dezentrale Dienste verlagert werden. Die Gruppe nutzt Smart Contracts auf der Polygon-Blockchain, verschlüsselte Kommunikation und Cloud-Speicher, um weiterhin mit Opfern zu kommunizieren und gestohlene Daten zu veröffentlichen.

DeadLock nutzt Blockchain-basierte Infrastruktur

DeadLock-Ransomware tauchte Mitte 2025 auf und setzt auf ein doppeltes Erpressungsmodell. Die Angreifer stehlen Daten, verschlüsseln Dateien und drohen mit der Veröffentlichung der gestohlenen Informationen, wenn die Opfer nicht zahlen.

Bis Juli 2026 hatte die Leak-Seite der Gruppe 80 Organisationen aufgelistet, die meisten davon in Europa. Die Opfer stammen aus den Bereichen IT, Bergbau, Transport, Fertigung, Gastgewerbe und Konsumgüter.

Forscher haben die Verbreitung der Malware außerdem mit mehreren Gruppen in Verbindung gebracht. Ein Affiliate war zuvor in den Ransomware-Ökosystemen Lynx und INC aktiv.

Die Operation setzt inzwischen auf ein widerstandsfähigeres Infrastrukturmodell. DeadLock-Ransomware nutzt die Polygon-Blockchain, um Konfigurationsdetails und Beiträge für ihre Leak-Seite zu speichern. Dadurch verringert sich die Abhängigkeit der Gruppe von herkömmlichen Domains und zentralisierten Webservern.

Smart Contracts liefern die aktuelle Chat-Adresse

DeadLock verlässt sich bei Verhandlungen mit Opfern nicht auf eine feste Tor-Adresse. Stattdessen fragt die HTML-basierte Chat-Anwendung über eine schreibgeschützte Blockchain-Anfrage einen Smart Contract auf Polygon ab.

Der Vertrag liefert die aktuelle Adresse des Chat-Proxys zurück. Dadurch können die Betreiber ihren Kommunikationsdienst für Opfer verlagern, ohne die Anwendung ändern zu müssen, die den Opfern angezeigt wird.

Die Gruppe nutzt außerdem das dezentrale Session-Netzwerk zur Verschlüsselung ihrer Kommunikation. Gestohlene Dateien werden über den Cloud-Speicherdienst Wasabi gehostet, wodurch Opfer auf Daten zugreifen können, die die Angreifer nach eigenen Angaben gestohlen haben.

Diese Infrastruktur kann Maßnahmen gegen die Operation erschweren. Die Beschlagnahmung einer Domain oder die Abschaltung eines Servers reicht möglicherweise nicht aus, um sämtliche Teile der Operation lahmzulegen. Vollständig immun gegen Eingriffe ist DeadLock-Ransomware jedoch nicht.

Das Chat-System ist weiterhin auf einen speziell entwickelten Proxy angewiesen, während die Polygon-RPC-Endpunkte erreichbar bleiben müssen. Darüber hinaus können in der Cloud gespeicherte gestohlene Dateien weiterhin vom Hosting-Anbieter entfernt werden.

Malware verschlüsselt Dateien bei begrenzter Ressourcennutzung

Der Verschlüsselungstrojaner von DeadLock zielt auf Windows-Systeme ab. Er ist so konfiguriert, dass Systeme in der ehemaligen Sowjetunion und den GUS-Staaten sowie im Iran, in Syrien, Oman und Jemen ausgespart werden.

Bevor die Verschlüsselung beginnt, löscht die Malware Backups, beendet Virtualisierungsdienste und leert den Papierkorb. Anschließend verschlüsselt sie ausgewählte Verzeichnisse außerhalb des Systems.

Jede Datei wird mit einem individuellen XChaCha20-Schlüssel verschlüsselt. Die Malware schützt diese Schlüssel mithilfe von Curve25519-Kryptografie. Bei größeren Dateien verschlüsselt sie in Abständen 512 Byte große Blöcke, um schneller zu arbeiten und die Daten gleichzeitig weitgehend unbrauchbar zu machen.

DeadLock-Ransomware beschränkt sich auf 29 Prozent des verfügbaren Systemspeichers und 70 Prozent der CPU-Ressourcen. Dadurch können betroffene Geräte während des Angriffs weiterhin nutzbar bleiben, was die Wahrscheinlichkeit verringert, dass Nutzer die Verschlüsselungsaktivitäten sofort bemerken.

Anschließend fügt die Malware den verschlüsselten Dateien eine opferspezifische Kennung und die Dateiendung .dlock hinzu. Außerdem verändert sie Dateisymbole, hinterlässt Lösegeldforderungen im TXT-Format und ersetzt den Desktop-Hintergrund durch eine Sperrmeldung.

Angreifer fordern Zahlungen in Bitcoin oder Monero

Die Gruppe verlangt Zahlungen in Bitcoin oder Monero. Im Gegenzug verspricht sie, ein Entschlüsselungsprogramm bereitzustellen, die gestohlenen Daten zu löschen und offenzulegen, wie sie sich ursprünglich Zugang verschafft hat. Darüber hinaus bieten die Angreifer den betroffenen Organisationen Sicherheitsempfehlungen an.

Microsoft empfiehlt einen mehrschichtigen Endgeräteschutz gegen DeadLock-Ransomware. Organisationen sollten cloudbasierten Virenschutz, EDR im Blockierungsmodus, Manipulationsschutz sowie automatisierte Untersuchungs- und Abhilfemaßnahmen aktivieren.

Unternehmen sollten außerdem Controlled Folder Access einsetzen, um unbefugte Dateiänderungen einzuschränken. Regeln zur Reduzierung der Angriffsfläche können nicht vertrauenswürdige ausführbare Dateien blockieren und laterale Bewegungen über Tools wie PsExec und WMI einschränken.