DeadLock использует блокчейн для устойчивости инфраструктуры

Microsoft описала DeadLock как ransomware-операцию, которая опирается на распределённую инфраструктуру для связи с жертвами и публикации украденных данных. По данным компании, операторы используют Session и сервисы на блокчейне, чтобы хранить и доставлять ресурсы, нужные для вымогательства, а сам шифровальщик написан на Rust. Microsoft связывает DeadLock с несколькими группами, включая участников

экосистем Lynx и INC. Первые наблюдения относятся к июлю 2025 года. К июлю 2026-го операторы опубликовали на своём сайте утечек более 80 скомпрометированных организаций, а больше половины заявленных жертв находились в Европе. Компания также указывает, что DeadLock затронул организации из ИТ, добывающей отрасли, транспорта и

логистики, производства, гостиничного бизнеса и сектора потребительских товаров в Европе, Азии, Северной и Южной Америке, а также в Африке. В атаке используется схема двойного вымогательства: данные сначала похищают, а затем угрожают опубликовать. Источник изображения:

bleepingcomputer Как устроена инфраструктура DeadLock По описанию Microsoft, часть инфраструктуры DeadLock не завязана на обычные домены и серверы. Для получения адреса чата вредоносная HTML-страница обращается к смарт-контракту в сети Polygon, а посты для сайта утечек

тоже хранятся в блокчейне. В этой схеме используются два смарт-контракта: один хранит URL прокси-сервера для чата, второй — записи блога. Страница запрашивает данные через read-only eth_call к публичным Polygon RPC-узлам, причём для отказоустойчивости предусмотрен список из шести публичных RPC-эндпоинтов. Для переписки с жертвами операторы задействуют сеть Session.

Microsoft пишет, что прокси-сервер выступает посредником между браузером жертвы и swarm-узлами Session, а идентификатор жертвы выводится детерминированно из её учётных данных. Если человек забудет эти данные, восстановить идентичность нельзя. Отдельно в этой же HTML-странице есть доступ к блогу с украденными файлами. Для хранения материалов используются посты с форматированием BBCode, галереи изображений и вложения, а для раздачи файлов — ссылки Wasabi и

встроенный браузер, который умеет открывать бакеты и выдавать предварительно подписанные URL. Microsoft отмечает, что такая архитектура повышает устойчивость отдельных частей схемы к отключению, но не убирает зависимость от внешних компонентов. Для работы всё ещё

нужны публичные Polygon RPC-узлы, текущий прокси должен оставаться доступным, а файлы и изображения можно удалить с CDN или из Wasabi-хранилища. Источник изображения: bleepingcomputer Шифрование и защита от анализа Перед шифрованием DeadLock проверяет системный и

пользовательский языки интерфейса и сам удаляется, если они совпадают со списком исключений. В этот список входят, в частности, русский, украинский, белорусский, таджикский, персидский, армянский, азербайджанский, грузинский, казахский, киргизский, туркменский, сирийский, румынский для Молдовы, узбекский и арабский для Омана и Йемена. Если процесс запущен без повышенных прав, вредоносная программа пытается добиться запуска с

правами администратора через.cmd-файл и окно UAC. Когда права уже есть, она включает набор привилегий, очищает корзину на всех дисках, завершает процессы и останавливает службы, включая защитные, резервного копирования, виртуализации и часть системных компонентов. Microsoft также описывает очистку журналов событий несколькими способами сразу: через классический API, через изменение параметров в реестре и через перечисление каналов с

помощью wevtapi.dll. Для шифрования шифровальщик использует XChaCha20 и Curve25519, а ключи и метаданные для каждого файла создаются отдельно. Файлы получают расширение.dlock и уникальный идентификатор жертвы. Для больших файлов применяется частичное шифрование блоками по 512 байт. Проверка нагрузки ограничивает использование памяти 29% и CPU 70%. Процессы и службы, мешающие шифрованию,

завершаются до старта работы. После шифрования DeadLock меняет иконки зашифрованных файлов, подменяет обои рабочего стола и раскладывает две версии записки с требованиями. Текстовый файл попадает в каждую зашифрованную папку, а HTML-файл с восстановительным чатом размещается в корневых папках дисков и на рабочих столах. В конце атаки вредоносная программа создаёт batch-файл для самоуничтожения и удаляет собственный бинарник с

диска. В публикации Microsoft также приведены индикаторы компрометации и рекомендации по защите, включая cloud-delivered protection, EDR в режиме block mode, tamper protection, automated investigation and remediation, automatic attack disruption, Controlled Folder Access и

правила attack surface reduction.

Сообщает itzine.ru

 

Новость из рубрики: Технологии и Hi-Tech

 

Поделиться новостью:

 

Топ Новости Недели

• Полное и подробное руководство по выбору смартфонов и мобильных телефонов: как разобраться в характеристиках, технологиях и функциях, чтобы найти идеальное устройство для работы, общения и развлечений...
• Как выбрать идеальный мобильный телефон в современном мире: подробное руководство по характеристикам, технологиям, функциям и грамотному подбору смартфона под любые задачи и стиль жизни...
• Искусство выбора зеркал для современного интерьера: как создать стильное пространство, визуально расширить помещение и подчеркнуть индивидуальность дизайна с помощью отражающих поверхностей...
• Полное руководство по выбору пленки для сада: современные материалы, защита растений, создание идеального микроклимата и повышение урожайности на вашем участке...
• Современный подход к выводу из запоя на дому: этапы медицинской помощи, особенности лечения в домашних условиях и комплексное восстановление физического и психологического состояния...
• Полное руководство по вызову нарколога на дом: как проходит медицинская помощь, детоксикация организма, стабилизация состояния и дальнейшее восстановление при зависимости...
• Как проходит профессиональный вывод из запоя на дому: безопасная медицинская помощь, детоксикация организма, психологическая поддержка и дальнейшее восстановление пациента...
• Комплексный медицинский подход к выводу из запоя в стационаре: этапы лечения, восстановление организма, психологическая поддержка и долгосрочная реабилитация...
• Полное руководство по сдаче тестов в университете имени С.Ю. Витте: как устроена система контроля знаний, особенности онлайн-экзаменов, подготовка студентов и современные образовательные технологии...
• Почему слухи про слив базы Семяныч неактуальны...