Zusammenfassung

  • Microsoft beschreibt DeadLock als aufkommende finanziell motivierte Ransomware-Operation mit dezentralen Kommunikations- und Leak-Komponenten.
  • Das Wiederherstellungsökosystem verbindet Session mit blockchain-gestützten Diensten zur Speicherung und Ausgabe von Erpressungsressourcen.
  • Mehrere Gruppen setzten DeadLock ein, darunter laut Microsoft ein Affiliate aus den Ökosystemen Lynx und INC.
  • Seit der ersten Beobachtung im Juli 2025 kombiniert die Operation Verschlüsselung und die Drohung mit gestohlenen Daten.
  • Bis Juli 2026 standen mehr als 80 Organisationen auf der Leak-Seite, mehr als die Hälfte in Europa; das sind Betreiberbehauptungen.
  • Microsoft veröffentlicht Indikatoren, Defender-Erkennungen und Minderungen, ohne verteilte Infrastruktur für unzerstörbar zu erklären.

Die Wiederherstellung gehört zum Angriffssystem

Verschlüsselung erzeugt den Schaden, doch Erpressung benötigt Kommunikation, Belege, Anweisungen und Ressourcen. DeadLock behandelt diese spätere Strecke als eigene Infrastruktur.

Wer nur die Leak-Seite entfernt, kann Kosten verursachen, muss aber prüfen, ob Kontakt und Lieferung weiterlaufen. Wirkung entsteht erst über mehrere Funktionen hinweg.

Session löst die Verhandlung vom Webportal

Microsoft beobachtet Session als Opferkanal. Damit hängt die Kommunikation weniger von einem zentralen Konto oder einer einzelnen klassischen Website ab.

Incident-Response-Teams sollten Nachrichtenartefakte sichern, Absender prüfen und sie mit Endpoint-Ereignissen verbinden. Eine blockierte Adresse ist kein Beleg für das Ende der Verhandlung.

Blockchain-gestützte Dienste schaffen Ersatzwege

Weitere Dienste speichern und liefern Erpressungsressourcen auf blockchain-gestützter Grundlage. Microsoft bewertet die Kombination als wahrscheinlich widerstandsfähiger, nicht als dauerhaft verfügbar oder unangreifbar.

Eine Rollenkarte für Nachricht, Speicher, Leak, Zahlung und gewöhnliches Hosting kann gemeinsame Anbieter und Identitäten sichtbar machen. Verteilung verändert Abhängigkeiten, beseitigt sie aber nicht.

Affiliates trennen Werkzeug und Betreiber

DeadLock wurde von mehreren Gruppen eingesetzt, einschließlich eines Affiliates mit Verbindungen zu Lynx und INC. Malware, Zugang und Verhandlungsdienste können zwischen Beteiligten geteilt werden.

Attribution sollte Code, Eindringenden, Infrastrukturbetreiber und Affiliate getrennt bewerten. Ein Familienname belegt keine zentrale Führung aller Fälle.

Mehr als 80 Einträge sind keine bestätigte Statistik

Die Betreiber listeten bis Juli 2026 mehr als 80 Organisationen; über die Hälfte lag in Europa. Microsoft hat diese Angaben beobachtet, aber nicht als vollständige, unabhängig verifizierte Opferzählung ausgegeben.

Leak-Seiten können übertreiben, wiederholen oder verschweigen. Bestätigte Exfiltration und Auswirkungen benötigen Aussagen der Betroffenen oder Ermittlungsbelege.

Geofencing verrät keine sichere Herkunft

Der Rust-Verschlüsseler drosselt ressourcenabhängig, versucht Rechteausweitung, beendet Dienste und Prozesse, stört Ereignisprotokolle und bietet mehrere Verschlüsselungswege. Er nutzt außerdem Sprach- oder Länderfilter.

Ausnahmen für frühere sowjetische und GUS-nahe Umgebungen sowie ausgewählte nahöstliche Lokalisierungen beschreiben Sample-Verhalten. Sie können Strategie, Täuschung oder übernommenen Code widerspiegeln und beweisen keine Nationalität.

Abwehr verbindet Endpoint und äußere Dienste

Microsoft-Indikatoren und Defender-Erkennungen sollten mit Kontrollen für Privilegien, Datenabfluss, Dienststopp, Log-Integrität und Fernzugriff kombiniert werden.

Eine Untersuchung muss Zugang, Diebstahl, Verschlüsselung, Kommunikation, Ressourcenausgabe und Affiliate-Nutzung verbinden. Koordinierte Eingriffe über mehrere Abhängigkeiten versprechen mehr als wiederholte Einzelabschaltungen.

Quellen