DeadLock nutzt Polygon, um Ransomware schwerer stoppbar zu machen

Doppelte Erpressung mit 96 Opfern

DeadLock ist eine Ransomware, die erstmals im Juli 2025 entdeckt wurde. Die Gruppe verschlüsselt Windows-Umgebungen und droht damit, gestohlene Daten zu veröffentlichen.

Im laufenden Monat hat sie 96 Opfer für sich beansprucht, vor allem in Italien, Spanien, Polen, der Türkei und den USA. Die erste Fallserie wurde erst Ende Mai 2026 identifiziert.

Microsoft Threat Intelligence beobachtete die Malware im Einsatz durch mehrere Akteure, darunter mit Lynx und INC Ransomware verbundene Affiliates. Eine im Januar veröffentlichte Analyse beschrieb DeadLock als vergleichsweise weniger exponiert als andere Gruppen: Es gab keine bekannten Verbindungen zu Affiliate-Programmen, außerdem nutzte die Gruppe keine herkömmliche öffentliche Leak-Site.

Funktionsweise der Malware auf Windows-Systemen

Verschlüsselte Dateien erhalten die Erweiterung .dlock. Außerdem ersetzt DeadLock die Dateisymbole durch angepasste .ico-Dateien und ändert den Desktop-Hintergrund mit der Meldung „Your infrastructure DeadLocked“.

Für die Verschlüsselung kommen Curve25519 und XChaCha20 zum Einsatz. Sie wird jedoch nicht wahllos auf alle Dateien angewendet: Die Malware schließt bestimmte Verzeichnisse, Erweiterungen und Dateinamen aus. Um die Sichtbarkeit des Angriffs zu verringern, begrenzt sie den Ressourcenverbrauch und beendet ihre Aktivitäten bei mehr als 29 % Speicherauslastung oder 70 % CPU-Auslastung.

Die Windows-Variante kann PowerShell verwenden, um:

• nicht autorisierte Dienste zu stoppen;
• deren Neustart zu verhindern;
• Volume Shadow Copies zu löschen;
• das verwendete Skript zu entfernen.

DeadLock verändert außerdem die Windows-Registry, um die Ereignisprotokollierung zu deaktivieren, und löscht vorhandene Logs. Nach der Verschlüsselung löscht eine Batch-Datei das Ransomware-Binary und entfernt anschließend sich selbst.

AnyDesk wurde als Werkzeug zur Fernsteuerung kompromittierter Hosts beobachtet. Konkrete betroffene Softwareversionen wurden nicht genannt.

Chat, Verhandlungen und Leaks auf Polygon

Das auffälligste Merkmal ist die dezentrale Infrastruktur. Die Malware legt in den Stammverzeichnissen der Laufwerke und auf den Desktops die Datei RECOVERY_CHAT.<UID>.html ab.

Dabei handelt es sich um eine eigenständige Webanwendung mit:

• einem interaktiven Ende-zu-Ende-verschlüsselten Chat;
• einem paginierten Blog zur Veröffentlichung gestohlener Daten;
• einem Dateibrowser;
• keinem herkömmlichen Backend, das dem Opfer direkt offensteht.

Der eingebettete JavaScript-Code interagiert mit Smart Contracts im Polygon-Netzwerk, um die Adressen der Proxyserver abzurufen und zu rotieren. Die Betreiber können dadurch URLs ändern, ohne die bei den Opfern angezeigten Domains oder deren DNS-Einträge aktualisieren zu müssen.

Auch der für die Datenleaks verwendete Blog ist auf der Polygon-Blockchain gehostet und wird über die Recovery-Seite geladen. Diese Architektur erschwert Zensurmaßnahmen, Takedowns und die Sperrung von Domains.

Die Lösegeldforderung verlangt die Kommunikation über Session und fordert Bitcoin oder Monero. Vor der Zahlung können die Betreiber den Besitz des Entschlüsselungsschlüssels nachweisen, indem sie eine Datei entschlüsselt zurücksenden. Einige Lösegeldforderungen versprechen außerdem einen technischen Bericht über den Eindringversuch sowie Empfehlungen zur Vermeidung weiterer Angriffe.

Nützliche Indikatoren für die Reaktion

Konkrete Patches oder Abwehrmaßnahmen wurden nicht genannt. Zu den relevanten Suchindikatoren gehören:

• Dateien mit der Erweiterung .dlock;
• ungewöhnliche .ico-Dateien und der Hintergrund „Your infrastructure DeadLocked“;
• RECOVERY_CHAT.<UID>.html;
• verdächtige PowerShell-Ausführungen;
• das Löschen von Volume Shadow Copies;
• Registry-Änderungen zur Deaktivierung der Protokollierung;
• unerwartete Nutzung von AnyDesk;
• das Löschen von Binaries nach der Verschlüsselung.

Die Auswirkungen sind erheblich: Neben der Nichtverfügbarkeit von Dateien kann der Angriff sensible Daten offenlegen, für die Wiederherstellung wichtige Kopien zerstören und die für die forensische Analyse verfügbaren Spuren reduzieren. Die Dezentralisierung macht die Ransomware nicht unverwundbar, ermöglicht jedoch, die Kommunikation auch nach der Sperrung herkömmlicher Server oder Domains leichter aufrechtzuerhalten.