要約

  • Microsoft は DeadLock を、通信と漏えい活動に分散型基盤を使う新興の金銭目的ランサムウェア活動と説明した。
  • 復旧の仕組みは Session と、恐喝資源を保存・配信するブロックチェーン基盤のサービスを組み合わせる。
  • Microsoft は Lynx および INC のエコシステムに関連するアフィリエイトを含む複数集団による利用を観測した。
  • 2025年7月に初観測され、暗号化と窃取データ公開の脅しを組み合わせる二重恐喝を行う。
  • 2026年7月時点の漏えいサイトには80超の組織が掲載され、半数超が欧州だったが、運営者の主張である。
  • Microsoft は指標、Defender 検知、緩和策を示したが、分散していることは妨害不能を意味しない。

攻撃後の連絡経路まで事前に設計する

暗号化だけでは身代金交渉は成立しない。攻撃者は連絡を維持し、窃取の証拠や指示、復旧用資源を届ける必要がある。DeadLock はこの後半工程を独立した基盤として組んでいる。

そのため、公開サイト一つの停止は成果であっても終了条件ではない。残る機能と代替経路を確認しなければ妨害効果を測れない。

Session が通常の交渉ポータルを置き換える

Microsoft によると被害者通信には Session が使われる。一つの中央管理アカウントやウェブサーバーへの依存が小さくなり、通信を別の場所へ移す余地が生まれる。

対応側は端末とネットワークの痕跡を保全し、メッセージの真正性を検証する必要がある。一つの URL 遮断をもって接触が終わったとは判断できない。

恐喝資源はブロックチェーン基盤へ置かれる

資源の保管・配信にはブロックチェーンに支えられたサービスも使われる。Microsoft は組み合わせによって一部基盤の耐久性が高まる可能性を指摘するが、恒久的な可用性を保証してはいない。

メッセージ、保管、漏えい公開、支払い、通常ホスティングを役割別に描けば、共通の識別子や事業者、切替点を探せる。

複数アフィリエイトが帰属を複雑にする

DeadLock は複数集団に配備され、Lynx と INC のエコシステムに関連するアフィリエイトも含まれる。共通ツールが複数の侵入者や交渉担当者に渡る構造だ。

マルウェア名だけで全事案を一組織へ帰属させるべきではない。アクセス、配備、基盤運営をそれぞれの確度で評価する必要がある。

80超という数は掲載実績である

2026年7月までに80を超える組織が掲載され、欧州が半数を超えた。Microsoft が観測したのはサイト上の主張であり、独立確認済みの完全な被害統計ではない。

漏えいサイトは重複、欠落、誇張を含み得る。活動範囲の手掛かりにはなるが、侵害と被害の確認は各組織や調査主体に依存する。

地域除外は運営者の国籍証明にならない

Rust 製暗号化ツールは資源に応じて処理を調整し、権限昇格、サービス・プロセス停止、イベントログ妨害、複数暗号化経路を使う。言語・国による除外も行う。

旧ソ連・CIS 関連環境と一部中東ロケールを除く動作は、解析サンプルの性質だ。戦略、偽装、再利用の可能性があり、国籍を断定できない。

検知を恐喝全体の調査へ広げる

Microsoft の指標と Defender 検知は、端末上の挙動を探す入口になる。特権、外部送信、サービス停止、ログの完全性、遠隔アクセスも同じ時間軸に置くべきだ。

初期侵入、持ち出し、暗号化、連絡、資源配信、アフィリエイト再利用を結べば、複数の依存点へ協調して働きかけられる。

情報源