DeadLock يوزع طريق التفاوض كي لا ينتهي بسقوط موقع واحد

الخلاصة

• تصف Microsoft DeadLock بأنه نشاط فدية ناشئ بدافع مالي يستخدم بنية لامركزية في الاتصال والتسريب.
• يجمع مسار الاستعادة شبكة Session وخدمات مدعومة بسلسلة الكتل لحفظ موارد الابتزاز وتسليمها.
• رصدت Microsoft نشر DeadLock من جماعات عدة، منها جهة تابعة مرتبطة بمنظومتي Lynx وINC.
• ظهر أول مرة في يوليو 2025 ويستخدم الابتزاز المزدوج بالتشفير والتهديد بنشر البيانات المسروقة.
• نشر المشغلون أكثر من 80 منظمة حتى يوليو 2026، أكثر من نصفها في أوروبا؛ وهي ادعاءات موقع التسريب لا تعداداً مستقلاً.
• نشرت Microsoft مؤشرات وكشف Defender وتخفيفات، ولم تقل إن التوزيع يجعل النشاط محصناً من التعطيل.

الاستعادة جزء من تصميم الهجوم

بعد التشفير يحتاج المهاجم إلى إرسال تعليمات وإثبات سرقة والتفاوض وتسليم موارد. يبني DeadLock هذه الوظائف كمسار منفصل لا كصفحة هامشية بجوار البرمجية.

لذلك قد يفرض إغلاق نطاق تكلفة من دون إنهاء العلاقة مع الضحية. يجب قياس التعطيل على الوظائف الباقية وسرعة الاستبدال.

Session تنقل الحوار بعيداً عن بوابة مركزية

تقول Microsoft إن الاتصال بالضحايا يجري عبر Session. يقل اعتماد التفاوض بذلك على حساب مركزي أو خادم ويب واحد، وقد يستمر بعد حجب الواجهة العامة.

ينبغي لفرق الاستجابة حفظ الآثار والتحقق من هوية الرسائل وربطها بزمن التنفيذ والتسريب. اختفاء عنوان لا يثبت انتهاء الاتصال.

خدمات سلسلة الكتل تحمل موارد الابتزاز

تُستخدم خدمات مدعومة بسلسلة الكتل للتخزين والتسليم. وترى Microsoft أن الجمع بينها يزيد المرونة على الأرجح؛ هذا لا يعني ضمان التوفر ولا أن كل الأجزاء لامركزية.

يساعد فصل أدوار الرسائل والتخزين والنشر والدفع والاستضافة العادية على اكتشاف مزودين أو هويات مشتركة. التوزيع يعيد ترتيب نقاط الضعف ولا يمحوها.

الأداة الواحدة قد تخدم جهات تابعة عدة

ظهر DeadLock مع جماعات مختلفة، ومن بينها جهة مرتبطة بمنظومتي Lynx وINC. يمكن للكود والوصول والتفاوض أن تنتقل بين علاقات تشغيلية متعددة.

لذلك يجب فصل كاتب الأداة عن المنفذ ومشغل البنية والتابع عند الإسناد. اسم العائلة لا يثبت قائداً واحداً لكل عملية.

قائمة الضحايا سجل ادعاءات

كان الموقع يعرض أكثر من 80 منظمة في يوليو 2026، وأكثر من نصفها أوروبية. رصدت Microsoft هذه المنشورات ولم تقدمها كتعداد مستقل كامل ومؤكد.

قد تبالغ مواقع التسريب أو تكرر أو تحذف. تقيس القائمة النطاق الذي يدعيه المشغل؛ أما الضرر والتسريب المؤكدان فيحتاجان إلى أدلة من الضحية أو التحقيق.

الاستبعاد الجغرافي ليس إثبات جنسية

تضبط أداة Rust استهلاك الموارد وتحاول رفع الصلاحية وتوقف الخدمات والعمليات وتعطل سجلات الأحداث وتوفر مسارات تشفير متعددة. كما تستبعد لغات أو بلداناً.

تشمل القائمة بيئات سوفيتية سابقة ومرتبطة برابطة الدول وبعض المناطق الشرق أوسطية. هذا سلوك لعينة قد يكون حذراً أو خداعاً أو إرثاً، لا دليلاً على جنسية المشغل.

ربط الجهاز الداخلي بالخدمات الخارجية

تفيد المؤشرات وكشوف Defender في البحث عن التنفيذ، ويجب جمعها مع مراقبة الامتيازات وخروج البيانات وإيقاف الخدمات وسلامة السجلات والوصول البعيد.

تصل الاستجابة الكاملة بين الدخول والسرقة والتشفير والاتصال وتسليم الموارد وإعادة الاستخدام. العمل المنسق على عدة تبعيات أكثر أثراً من إسقاط واجهة واحدة كل مرة.

المصادر

• Microsoft Threat Intelligence، تحليل DeadLock