نظرة أقرب على مشفّر DeadLock المبني على Rust
تحليل تقني جديد من باحثي الأمن في SOCFortress، نُشر على Medium في أغسطس 2026، يمنح المدافعين نظرة تفصيلية على برمجية DeadLock الخبيثة، وهي عملية بدافع مالي بنت بهدوء واحدة من أكثر البنى الابتزازية مرونة التي شوهدت في الذاكرة الحديثة. يتعمق البحث في كيفية بناء مشفّر البرمجية الخبيثة، ولماذا اختارت المجموعة لغة البرمجة Rust، وكيف هندست DeadLock أنظمة الاسترداد والاتصال الخاصة بها للنجاة من عمليات إنفاذ القانون والإسقاط الأمني.
أصبحت Rust خيارًا شائعًا بشكل متزايد بين مطوري برمجيات الفدية لأنها تُترجم إلى ملفات ثنائية سريعة وآمنة من حيث الذاكرة ويصعب على محللي الأمن فك هندستها بشكل ملحوظ مقارنة بالبرمجيات الخبيثة المكتوبة بلغات أقدم مثل C أو Delphi. بالنسبة لـ DeadLock، يُترجم ذلك إلى مشفّر لا يقفل ملفات الضحايا بسرعة فحسب، بل يقاوم أيضًا النوع من التحليل الثابت الذي يعتمد عليه الباحثون عادةً لبناء توقيعات الكشف أو أدوات الاسترداد. لقد وثّقت تقارير سابقة عن المجموعة بالفعل كيف أن برمجية DeadLock الفدية تقتل Windows Defender وتعطل النسخ الاحتياطية وتمسح سجلات الأحداث قبل بدء التشفير، وهو مزيج يجرد الضحايا من خط دفاعهم الأخير ومن الأدلة الجنائية اللازمة لإعادة بناء ما حدث.
بنية استرداد لا مركزية مصممة للنجاة من عمليات الإسقاط
ما يميز DeadLock عن العديد من نظرائها في برمجيات الفدية ليس فقط المشفّر نفسه، بل البنية التحتية المحيطة به. تعتمد عمليات برمجيات الفدية التقليدية على خوادم القيادة والتحكم المركزية ومواقع التسريب وبوابات التفاوض، وكلها يمكن الاستيلاء عليها أو إغراقها أو إدراجها في القوائم السوداء بمجرد أن يحددها الباحثون. اتخذت DeadLock نهجًا مختلفًا بتوزيع أجزاء حرجة من عملياتها عبر منصات لا مركزية يصعب إغلاقها بكثير.
وجد الباحثون أن المجموعة تخزن أجزاءً من تكوين القيادة والتحكم الخاص بها مباشرة على blockchain، وهو نهج موثق في تقارير حول كيفية استخدام برمجية DeadLock الفدية لـ blockchain لتفادي عمليات الإسقاط. نظرًا لأن سجلات blockchain غير قابلة للتغيير وموزعة عبر آلاف العقد، فلا يوجد خادم واحد يمكن للمدافعين إيقافه عن العمل. يربط تحليل ذو صلة هذا السلوك تحديدًا بـ بلوكتشين Polygon، والتي استخدمتها المجموعة لتثبيت بيانات التكوين بعيدًا عن متناول عمليات إسقاط البنية التحتية التقليدية.
كما نقلت DeadLock اتصالات الضحايا بعيدًا عن بوابات التفاوض التقليدية في الويب المظلم. اعتمدت المجموعة تطبيق المراسلة المشفرة Session لمفاوضات الفدية، وهو تحول تمت تغطيته في تقارير سابقة حول كيفية إضافة برمجية DeadLock الفدية لتطبيق Session لتفادي عمليات الإسقاط. يجعل تصميم Session اللامركزي والمقاوم للبيانات الوصفية من الصعب جدًا على المحققين تتبع الاتصالات إلى المشغلين، مما يضيف طبقة أخرى من المرونة لعملية يصعب تعطيلها بالفعل.
نطاق الأضرار حتى الآن
التعقيد التقني وراء DeadLock ليس نظريًا. بحلول يوليو 2026، كانت العملية قد ارتبطت بالفعل بأكثر من 80 ضحية معروفة، وفقًا لتتبع استخبارات التهديدات المذكور إلى جانب البحث الأوسع حول المجموعة. كانت التداعيات المالية والسمعية لهذه الهجمات كبيرة. واحدة من الحوادث البارزة تضمنت شركة الأدوية الحيوية Diater، حيث اختراق برمجية DeadLock الفدية كشف سجلات تعود لعقد كامل، مما يؤكد كيف يمكن لتكتيكات الابتزاز المزدوج، سرقة البيانات قبل تشفيرها، أن تسبب ضررًا دائمًا حتى للمنظمات التي تنجح في استعادة أنظمتها.
ما يعنيه هذا بالنسبة لك
بالنسبة للمستخدمين العاديين، تُعد DeadLock تذكيرًا بأن مجموعات برمجيات الفدية أصبحت أكثر احترافًا بوتيرة سريعة. هذه ليست حالة مخترق منفرد ببرنامج تشفير بسيط؛ إنها عملية تستخدم لغات برمجة حديثة وتقنية blockchain وتطبيقات مراسلة تركز على الخصوصية لبناء ما يقرب من عمل موزع ومرن. إذا كنت تعمل في منظمة قد تستهدف، أو إذا كنت مستهلكًا قد تُجرف بياناتك الشخصية في اختراق شركة مثل اختراق Diater، فإن الخطر العملي هو نفسه: يمكن أن تُكشف البيانات المسروقة أو تُباع بغض النظر عما إذا تم دفع الفدية أم لا.
الخبر الجيد هو أن أساسيات الدفاع ضد برمجيات الفدية لم تتغير فقط لأن البنية التحتية وراءها أصبحت أكثر تطورًا. لا يزال المهاجمون بحاجة إلى موطئ قدم أولي، سواء عبر التصيد أو الوصول عن بُعد المكشوف أو البرامج غير المحدثة، قبل أن يتمكن أي مشفّر من العمل.
خلاصات قابلة للتنفيذ
حافظ على نسخ احتياطية غير متصلة بالإنترنت ومختبرة لا تستطيع برمجيات الفدية الوصول إليها أو تعطيلها عن بُعد. حافظ على تحديث أدوات حماية نقاط النهاية والتسجيل، لأن DeadLock تستهدف تحديدًا أدوات مثل Windows Defender وسجلات الأحداث لمسح آثارها. كن متشككًا في المرفقات أو الروابط غير المرغوبة، لأن الوصول الأولي لا يزال يبدأ عادةً بالهندسة الاجتماعية الأساسية. إذا تلقيت إشعارًا بأن بياناتك كانت جزءًا من اختراق مرتبط بمجموعة برمجيات فدية، فتعامل معه بجدية وراقب علامات سرقة الهوية أو إساءة استخدام بيانات الاعتماد. كما تُظهر برمجية DeadLock الفدية، فإن البقاء على اطلاع حول كيفية تطور هذه المجموعات هو أحد أكثر الخطوات العملية التي يمكن لأي شخص اتخاذها نحو حماية بياناته.
