Thought Leadership
Die Ransomware-Gruppe DeadLock speichert Teile ihrer Erpressungsinfrastruktur in Polygon-Smart-Contracts, was Takedown-Maßnahmen laut Microsoft erschwert.
Die aus Singapur stammende Sicherheitsfirma Group-IB hatte die ungewöhnliche Technik bereits im Januar 2026 erstmals öffentlich beschrieben, Microsoft Threat Intelligence veröffentlichte am 10. August eine eigene, tiefergehende technische Analyse. DeadLock wurde demnach erstmals im Juli 2025 beobachtet und setzt auf klassische Doppelerpressung, bei der Opfersysteme verschlüsselt und gleichzeitig mit der Veröffentlichung zuvor gestohlener Daten gedroht wird. Die Gruppe verzichtet dabei bewusst auf ein bekanntes Partnerprogramm sowie eine klassische Leak-Website, wodurch sie bislang vergleichsweise unauffällig blieb. Nach Angaben der Plattform Ransomware.Live hat DeadLock inzwischen 96 Opfer für sich reklamiert, hauptsächlich in Italien, Spanien, Polen, der Türkei und den USA. Microsoft beobachtete den Einsatz der Ransomware zudem bei mehreren unterschiedlichen Angreifern, darunter auch bei einem Partner der Ransomware-Familien Lynx und INC.
HTML-Datei als eigenständige Kommunikationsanwendung
Technisch besonders auffällig ist eine nach der Verschlüsselung in jedem Stammverzeichnis und auf dem Desktop abgelegte Datei mit dem Namen RECOVERY_CHAT.<UID>.html. Anders als eine gewöhnliche Lösegeldforderung handelt es sich dabei laut Microsoft um eine vollständige, in sich geschlossene Webanwendung, die verschlüsselten Chat, einen paginierten Leak-Blog sowie einen Dateibrowser bereitstellt, ganz ohne klassischen Backend-Server. Diese Datei dient als Alternative zur separat angebotenen Möglichkeit, über den dezentralen, Ende-zu-Ende-verschlüsselten Messenger Session direkt mit den Angreifern in Kontakt zu treten und eine Zahlung in Bitcoin oder Monero zu leisten.
Die eigentliche Innovation liegt in der Art, wie die HTML-Datei die Adresse des jeweils aktuellen Proxy-Servers ermittelt: Über in die Datei eingebetteten JavaScript-Code fragt sie einen Polygon-Smart-Contract ab, der die aktuell gültige Proxy-Adresse enthält. Da solche lesenden Abfragen keine eigentliche Blockchain-Transaktion auslösen und damit keine Gebühren verursachen, lässt sich die Adresse für die Angreifer beliebig oft und praktisch kostenlos aktualisieren, ohne jemals eine für Verteidiger sichtbare Domain registrieren oder anfassen zu müssen. Ein zweiter Smart Contract liefert auf dieselbe Weise die Inhalte des Leak-Blogs, dessen eigentliche Dateien über das dezentrale Speicherprotokoll Wasabi bereitgestellt werden. Group-IB kommentierte die Technik seinerzeit so:
„Dieser Missbrauch von Smart Contracts zur Verteilung von Proxy-Adressen ist eine interessante Methode, bei der Angreifer buchstäblich unendlich viele Varianten dieser Technik anwenden können.“
Group-IB
Weitere technische Merkmale der Ransomware
Für die eigentliche Dateiverschlüsselung kombiniert DeadLock die elliptische Kurvenkryptografie Curve25519 mit der Stromchiffre XChaCha20 und verschlüsselte Dateien erhalten die Endung .dlock. Die Schadsoftware verändert zudem das Desktophintergrundbild mit der Meldung „Your infrastructure DeadLocked“ und nutzt eine ressourcenbewusste Drosselung, die die Verschlüsselung pausiert, sobald die Arbeitsspeicherauslastung 29 Prozent oder die Prozessorlast 70 Prozent übersteigt, um die Systemreaktionsfähigkeit während des Angriffs zu erhalten. Für den Fernzugriff auf kompromittierte Systeme setzen die Angreifer auf das Werkzeug AnyDesk. Zusätzlich verfügt die Ransomware über eine sprach- beziehungsweise länderbasierte Geofencing-Funktion, die eine Ausführung in Umgebungen verhindert, die mit der ehemaligen Sowjetunion, der Gemeinschaft Unabhängiger Staaten sowie ausgewählten Ländern des Nahen Ostens in Verbindung stehen.
Microsoft ordnet die Architektur trotz ihrer Widerstandsfähigkeit nicht als unangreifbar ein: Auch die genutzten Proxy-Server und zugehörige Infrastruktur blieben grundsätzliche Abhängigkeiten, zudem ließen sich etwa Bilder und Dateien weiterhin aus dem Wasabi-Cloud-Speicher entfernen. Dennoch stelle die Möglichkeit, die Proxy-Adresse direkt über die Blockchain zu aktualisieren, kombiniert mit der dezentralen Kommunikation über Session, sicher, dass die Störung einer einzelnen Komponente die eigentliche Erpressungsinfrastruktur weitgehend intakt lasse. Microsoft erklärte dazu: „Diese Infrastruktur stellt eine bedeutsame Weiterentwicklung gegenüber klassischen Kommunikationskanälen von Ransomware dar und stellt neue Herausforderungen für Takedown-Bemühungen dar.“
(red)
