DeadLock ransomware, respektive skupina za ním, našel způsob, jak udělat svoji infrastrukturu prakticky neodstavitelnou. Místo klasických domén a serverů, které lze zabavit nebo zablokovat, si adresu proxy serveru i celý svůj „leak blog“ ukládá do smart kontraktů na blockchainu Polygon. Podrobný technický rozbor zveřejnil 10. srpna Microsoft Threat Intelligence a jde o jeden z nejdetailnějších veřejných pohledů na aktivní ransomwarovou rodinu za poslední dobu.
Kdo stojí za DeadLock ransomwarem a kolik má obětí
Skupina se poprvé objevila v červenci 2025, ale dlouho zůstávala mimo hlavní pozornost. Nemá affiliate program ani klasický leak site, což jí umožnilo udržet nízký profil. První veřejně zdokumentované oběti se objevily až v květnu 2026.
K červenci 2026 zveřejnila na svém blogu přes 80 organizací, více než polovina obětí je z Evropy. Microsoft pozoroval dopady napříč IT, těžbou, dopravou a logistikou, výrobou, pohostinstvím a spotřebním zbožím, a to v Evropě, Asii, Severní i Jižní Americe a Africe. Ransomware nasazuje více skupin, včetně affiliate napojeného na Lynx a INC, takže jde spíš o model sdílené malware-as-a-service infrastruktury než o jeden uzavřený gang.
DeadLock ransomware a jeho Rust encryptor
Samotný šifrovací nástroj je napsaný v Rustu. Před spuštěním útoku si dekóduje vlastní konfiguraci uloženou v binárce pomocí XOR klíče, ve které jsou seznamy procesů a služeb k zastavení, vyloučené složky a soubory, i kompletní text ransomware note a HTML stránky pro komunikaci s obětí.
Šifrování kombinuje eliptickou křivku Curve25519 pro výměnu klíčů se streamovou šifrou XChaCha20 pro obsah souborů. Každý soubor dostává vlastní jednorázový klíč odvozený z náhodného efemérního páru klíčů, takže i teoreticky nulový nonce v šifrování metadat zůstává bezpečný, protože se nikdy neopakuje se stejným klíčem. Kryptografický návrh je podle Microsoftu solidní a bez praktické cesty k dešifrování bez privátního klíče útočníka.
U velkých souborů DeadLock nešifruje všechno. Podle velikosti souboru se šifruje jen 50, 25 nebo 10 procent dat v rozprostřených blocích, u souborů nad jeden gigabajt pak zvláštní chunkovaný režim. Cílem je co nejrychleji znepoužitelnit i databáze, obrazy virtuálních strojů nebo zálohy, aniž by šifrování celého souboru zabralo příliš času.
Zajímavostí je mechanismus, který hlídá vytížení systému. Pokud využití paměti přesáhne 29 procent nebo zátěž CPU 70 procent, dispečerské vlákno pozastaví zadávání nových souborů ke zašifrování, dokud se zátěž nesníží. Rozpracované soubory se přitom dokončí. Cílem je, aby si oběť ničeho nevšimla dřív, než je šifrování hotové.
Jak DeadLock ransomware maže stopy v systému
Před samotným šifrováním malware ukončuje bezpečnostní nástroje, zálohovací a cloud synchronizační procesy i nástroje pro vzdálený přístup, a zastavuje související služby včetně Windows Defenderu, Volume Shadow Copy nebo služeb Active Directory.
Zvlášť důkladné je mazání stop. DeadLock kombinuje tři metody najednou: klasické API pro vymazání logů Application, Security, Setup, Servicing, Eventlog, Forwarded Events, PowerShell a System, dále projde registr pod klíčem WINEVT\Channels a u každého kanálu vypne budoucí logování a přepíše oprávnění přístupu, a nakonec pomocí wevtapi.dll enumeruje i vlastní nebo aplikační logovací kanály, které nejsou v pevném seznamu. Pro forenzní analýzu je proto podezřelé už jen to, že logovací kanál náhle přestane existovat nebo zaznamenávat, i bez dalších indicií.
Po dokončení šifrování si malware vygeneruje vlastní tapetu s hláškou o zašifrované infrastruktuře a instrukcí, kde najít návod k obnově. Nakonec se sám smaže dávkovým skriptem, který opakovaně zkouší odstranit vlastní binárku, dokud se to nepodaří.
DeadLock ransomware a HTML recovery chat na blockchainu Polygon
Nejneobvyklejší částí celého balíčku je soubor RECOVERY_CHAT.html, který se ukládá do kořenů všech disků a do složky Plocha. Nejde o obyčejnou textovou poznámku, ale o plnohodnotnou webovou aplikaci běžící čistě v prohlížeči, bez jakéhokoli backendového serveru. Obsahuje šifrovaný chat, stránkovaný blog s uniklými daty i prohlížeč souborů.
Celá architektura stojí na třech decentralizovaných součástech.
Konfigurační data, konkrétně adresa proxy serveru a obsah blogu s uniklými daty, jsou uložená ve dvou smart kontraktech na blockchainu Polygon. HTML stránka posílá čtecí eth_call požadavky na veřejné Polygon RPC uzly, bez potřeby jakékoli peněženky. Díky tomu může operátor kdykoli změnit adresu proxy serveru úpravou smart kontraktu, aniž by musel měnit cokoli na straně oběti nebo registrovat novou doménu.
Komunikace mezi obětí a operátorem probíhá přes decentralizovanou messagingovou síť Session, která funguje na principu onion routingu a swarm uzlů. Identita oběti v Session síti se odvozuje deterministicky z jejího přihlašovacího jména a hesla zadaného v HTML aplikaci, takže při jejich zapomenutí přichází oběť o možnost obnovit komunikaci.
Samotná uniklá data jsou hostovaná přes protokol Wasabi, což je S3 kompatibilní cloudové úložiště. HTML aplikace obsahuje plnohodnotný prohlížeč souborů, který si sám generuje podepsané AWS4-HMAC-SHA256 požadavky a umožňuje procházet a stahovat jednotlivé soubory bez nutnosti provozovat vlastní webový server.
Tato kombinace znamená, že klasické zásahy proti doménám a hostingu na infrastrukturu DeadLocku nemají takový efekt jako u běžného ransomwaru. Operátor může adresu proxy serveru změnit bez zásahu do souboru, který už oběť dostala, obsah blogu přežívá na blockchainu i po zásahu proti hostingu obrázků, a komunikace je rozprostřená napříč Session sítí. Infrastruktura přesto není zcela nezávislá na okolním světě, protože stále potřebuje dostupný alespoň jeden veřejný Polygon RPC uzel a fungující proxy server.
Indikátory kompromitace DeadLock ransomwaru
Microsoft ve svém rozboru zveřejnil následující indikátory.
Hash SHA-256 vzorku encryptoru: a1fdf65020ce4a0f0940c793c6425baf8a0b994ec48b9baaf72788661a9d29f4
Domény leak site: deadlock.liveblog365.com, dlock.liveblog365.com, deadlockblog.great-site.net, deadlockblog.medianewsonline.com, a onion adresa deadblogdbdu5wprek7wa2o4ce7rnt6u6ntqeud3hzjjcveosgpsqqqd.onion
Adresy smart kontraktů na Polygonu: 0x8EF7c3e531d871D3B9D559722DE77EB1dEc19dAe pro proxy adresu a 0x757984507c82c8dA1d3969c535dB5706eEE6426C pro blog.
Co si z DeadLock ransomwaru odnést
DeadLock ransomware ukazuje, kam se posouvá odolnost ransomwarové infrastruktury vůči zásahům obránců a orgánů činných v trestním řízení. Zatímco doménu nebo server lze zabavit nebo zablokovat, veřejný blockchain jako Polygon nikdo centrálně nevypne. Pro obranu to znamená, že samotné blokování domén přestává stačit a je potřeba sledovat i chování na koncových stanicích, jako je mazání logů, změna tapety nebo neobvyklý přístup k veřejným blockchainovým RPC službám z firemní sítě.
Zdroje
Microsoft Threat Intelligence: DeadLock ransomware breaking down a Rust-based encryptor with decentralized recovery infrastructure https://www.microsoft.com/en-us/security/blog/2026/08/10/deadlock-ransomware-breaking-down-a-rust-based-encryptor-with-decentralized-recovery-infrastructure/
The Hacker News: DeadLock Ransomware Uses Polygon Smart Contracts https://thehackernews.com/2026/08/deadlock-ransomware-uses-polygon-smart.html
Indikátory kompromitace DeadLock ransomwaru
Microsoft ve svém rozboru zveřejnil následující indikátory.
Hash SHA-256 vzorku encryptoru: a1fdf65020ce4a0f0940c793c6425baf8a0b994ec48b9baaf72788661a9d29f4
Domény leak site: deadlock.liveblog365.com, dlock.liveblog365.com, deadlockblog.great-site.net, deadlockblog.medianewsonline.com, a onion adresa deadblogdbdu5wprek7wa2o4ce7rnt6u6ntqeud3hzjjcveosgpsqqqd.onion
Adresy smart kontraktů na Polygonu: 0x8EF7c3e531d871D3B9D559722DE77EB1dEc19dAe pro proxy adresu a 0x757984507c82c8dA1d3969c535dB5706eEE6426C pro blog.
