요약

  • Microsoft는 DeadLock을 분산 인프라에 일부 의존하는, 금전적 동기의 신흥 랜섬웨어 작전으로 평가했습니다.
  • 복구 생태계는 Session 메신저와 블록체인 기반 서비스를 결합해 갈취 자원을 저장·전달합니다.
  • Microsoft에 따르면 여러 그룹이 DeadLock을 배치했으며, 그중 하나는 Lynx 및 INC 생태계와 연계된 계열 조직입니다.
  • 2025년 7월 처음 관측된 이 체계는 암호화와 유출된 데이터 공개 위협을 결합합니다.
  • 2026년 7월 기준 유출 사이트에 80개 이상 조직이 올라 있었고 절반 이상이 유럽 소재였으며, 이는 운영자의 주장입니다.
  • 침해 지표(IOC), Defender 탐지 규칙, 완화 조치가 공개되었으나, 이 분산 구조가 무적이라는 뜻은 아닙니다.

갈취의 지속 가능성은 사전에 설계된다

암호화 이후 운영자는 통신 채널을 유지하고, 증거를 제시하고, 지침을 전달하고, 협상을 진행해야 합니다. DeadLock은 이러한 기능을 악성 코드 옆에 놓인 단순한 페이지가 아니라 하나의 아키텍처로 다룹니다.

이 설계는 단일 도메인 차단의 효과를 덜 결정적으로 만듭니다. 약점을 제거하지는 못하지만, 조치의 영향을 평가하기 전에 각 서비스의 기능을 이해하도록 요구합니다.

Session이 협상 채널을 옮긴다

Microsoft는 피해자와의 소통에 Session이 사용되는 것을 관측했습니다. 협상은 더 이상 전통적인 웹 포털이나 중앙 호스팅 계정에 전적으로 의존하지 않습니다.

대응팀은 단말을 보호하면서 유용한 흔적을 식별하고 보존해야 합니다. 주소 하나를 차단했다고 접촉이 끝났다고 단정할 수 없습니다.

자원은 블록체인 기반 서비스를 통해 유통된다

블록체인 기반 서비스도 갈취 자원을 저장·전달하는 데 사용됩니다. Microsoft는 이 조합이 아마도 복원력을 높인다고 판단합니다. 이는 가용성 보장이나 조정된 대응에 대한 면역을 의미하지 않습니다.

저장, 공개, 메신저, 결제, 전통적 호스팅을 지도화하면 공통 의존성을 찾을 수 있습니다. 분산 구조는 압박을 이동시킬 수 있지만 없애지는 못합니다.

멀웨어 이름이 단일 조직을 가리키지는 않는다

DeadLock은 여러 그룹의 손에서 관측되었으며, 그중에는 Lynx 및 INC 환경과 연계된 계열 조직도 있습니다. 동일한 암호화기와 공유 인프라는 여러 계열 관계를 넘나들 수 있습니다.

따라서 귀속 분석은 코드 작성자, 접근권 보유자, 배포자, 서비스 운영자를 구분해야 합니다. 모든 사건을 단일 조직 아래 묶는 것은 공개된 근거를 넘어서는 판단입니다.

80개 조직명은 주장 목록이다

Microsoft의 관측에 따르면 해당 사이트에는 2026년 7월 80개 이상 조직이 표시되었고, 절반 이상이 유럽에 있었습니다. 이 목록은 운영자의 선언적 활동을 측정할 뿐, 독립적이고 완전한 집계는 아닙니다.

주장은 논쟁 중이거나, 중복이거나, 불완전할 수 있습니다. 주장은 가능한 범위를 시사할 뿐이며, 확정된 피해는 피해자 측 자료나 조사 결과가 필요합니다.

지역 필터링은 여권이 아니다

Rust로 작성된 암호화기는 자원에 맞춰 부하를 조정하고, 권한 상승을 시도하고, 서비스와 프로세스를 중단시키고, 로그를 방해하며, 여러 암호화 모드를 제공합니다. 특정 언어나 국가도 제외합니다.

제외 목록은 구소련 지역, CIS 관련 환경, 중동 일부 지역에 걸쳐 있습니다. 이는 샘플의 행동을 묘사할 뿐, 운영자의 국적을 확정하지 않습니다.

침해 단말과 외부 서비스를 연결하라

Microsoft의 침해 지표와 탐지 규칙은 권한 감시, 유출 탐지, 서비스 중단, 로그 무결성 모니터링과 결합해야 합니다. 목표는 단순히 바이너리를 식별하는 것이 아닙니다.

완전한 대응은 초기 접근, 유출, 암호화, 접촉, 자원 전달, 계열 조직의 재사용을 하나로 연결합니다. 여러 지점에 대한 중단 조치가 지속 효과를 낼 수 있는 수준은 바로 이 규모입니다.

출처