Ransomware-Betreiber haben schon immer nach Wegen gesucht, ihre Infrastruktur am Leben zu halten, selbst nachdem Sicherheitsforscher und Strafverfolgungsbehörden beginnen, sie zu zerschlagen. Das jüngste Beispiel stammt von einer Gruppe namens DeadLock, die ihre Nutzung der Polygon-Blockchain ausgeweitet und die datenschutzorientierte Messenger-App Session in ihr Erpressungs-Toolkit aufgenommen hat. Die Kombination aus Ransomware, Blockchain und verschlüsselten Kommunikationswerkzeugen macht es den Verteidigern erheblich schwerer, die Operationen der Gruppe zu stören, und signalisiert einen allgemeineren Wandel, wie Cyberkriminelle legitime Datenschutztechnologie für illegitime Zwecke umfunktionieren.

Wie DeadLock seine Infrastruktur auf Polygon-Smart-Contracts verbirgt

Der Kerninnovation von DeadLock besteht darin, Teile seiner Command-and-Control-Konfiguration direkt auf der Polygon-Blockchain zu speichern, einem dezentralen Netzwerk, das normalerweise für legitime Anwendungen wie dezentrale Finanzen und digitale Sammlerstücke genutzt wird. Da Blockchain-Daten auf Tausenden unabhängiger Knoten verteilt sind und nicht auf einem einzelnen Server liegen, gibt es keine zentrale Stelle, die Polizei oder Hosting-Provider beschlagnahmen könnten, um die Operation stillzulegen. Selbst wenn ein Zugangspunkt zum Smart Contract gesperrt wird, bleiben die zugrunde liegenden Daten in der Chain bestehen und können von überall im Netzwerk abgerufen werden.

Das ist keine völlig neue Taktik der Gruppe. Frühere vpn.social-Berichterstattung über DeadLocks Polygon-basiertes Setup beschrieb bereits, wie die Bande begann, mit der Speicherung von C2-Konfigurationsdaten auf der Blockchain zu experimentieren, um Abschaltversuchen zu widerstehen. Was sich seither geändert hat, ist der Umfang: DeadLock hostet jetzt auch Leak-Inhalte – die gestohlenen Daten, mit deren Veröffentlichung gedroht wird, falls Opfer nicht zahlen – über Blockchain-gestützte Infrastruktur, wodurch die Abhängigkeit von herkömmlichem Webhosting, das gemeldet und entfernt werden kann, weiter sinkt.

Warum Session und Blockchain-Leak-Sites Takedowns von Strafverfolgungsbehörden widerstehen

Neben seiner Blockchain-Infrastruktur setzt DeadLock nun Session ein, eine verschlüsselte Messenger-App, die mit Blick auf Dezentralisierung und Metadatenschutz entwickelt wurde. Session wurde geschaffen, um normalen Nutzern eine Kommunikationsmöglichkeit zu bieten, bei der kein zentraler Server protokolliert, wer mit wem gesprochen hat – eine legitime und wertvolle Privatsphäre-Funktion für Journalisten, Aktivisten und alle, die sich vor Überwachung sorgen. In den Händen von DeadLock wird dasselbe Design zu einem Werkzeug für die Verhandlung von Lösegeldzahlungen und die Koordination von Erpressung, ohne die zentralisierten Kommunikationsspuren zu hinterlassen, auf die Ermittler normalerweise angewiesen sind.

Herkömmliche Ransomware-Leak-Sites sitzen auf Servern, die beschlagnahmt werden können, sobald ihr Hosting-Provider oder ihre IP-Adresse identifiziert ist. Blockchain-gehostete Inhalte umgehen das vollständig. Es gibt keinen einzelnen Webhoster, dem man eine Anordnung zustellen kann, und keinen einzelnen Server, den man offline nehmen kann. Zusammen mit verschlüsselter, dezentraler Kommunikation für die Opferansprache hat DeadLock praktisch alle Angriffspunkte beseitigt, die Strafverfolgungsbehörden und Incident-Response-Teams bisher genutzt haben, um Ransomware-Operationen während eines Angriffs zu unterbrechen.

Das zweischneidige Schwert: Datenschutz-Tools als Schutzschild und Waffe

Bemerkenswert an dieser Geschichte ist nicht, dass DeadLock neue Angriffstechniken erfunden hat, sondern dass die Gruppe Werkzeuge umfunktioniert, die für gute Zwecke geschaffen wurden. Polygon existiert, um transparente, dezentrale Anwendungen zu unterstützen. Session existiert, um die privaten Gespräche normaler Menschen vor Überwachung und Zensur zu schützen. Keine der Technologien wurde mit einem kriminellen Missbrauch im Hinterkopf entworfen, doch beide bieten genau die Widerstandsfähigkeit, die Ransomware-Gruppen anstreben.

Es ist dieselbe Spannung, die sich durch die gesamte Privacy- und Sicherheitswelt zieht: Dieselbe Verschlüsselung, die die Nachrichten eines Dissidenten vor einem autoritären Staat schützt, schützt auch die Lösegeldverhandlungen eines Kriminellen vor Ermittlern. Das ist kein Argument gegen Datenschutztechnologie an sich, aber es ist eine Erinnerung daran, dass Dezentralisierung und starke Verschlüsselung die Kalkulation für Verteidiger verändern. Auf Abschaltungen basierende Störstrategien, die gegen herkömmliche Ransomware-Infrastruktur recht gut funktioniert haben, sind weit weniger wirksam gegen Operationen, die nicht mehr auf zentralisierte Server angewiesen sind.

Was Unternehmen tun können, um Erpressungsresistenz aufzubauen

Da es nun viel schwieriger ist, DeadLocks Infrastruktur im Nachhinein zu stören, verlagert sich der praktische Schwerpunkt zurück auf Prävention und Vorbereitung. Unternehmen sollten davon ausgehen, dass die Abschaltung einer Leak-Site oder die Blockierung eines Kommunikationskanals den Erpressungsversuch wahrscheinlich nicht aufhalten wird, sobald eine Ransomware-Gruppe Daten gestohlen und den Kontakt aufgenommen hat. Das macht starke Backup-Strategien, Netzwerksegmentierung und die schnelle Erkennung von Eindringversuchen, bevor Daten abfließen, noch wichtiger, als sie es ohnehin schon waren.

Incident-Response-Pläne sollten auch die Möglichkeit berücksichtigen, dass eine Leak-Site nicht einfach gemeldet und entfernt werden kann. Rechtsberatung, Kommunikationsteams und technische Einsatzkräfte brauchen ein gemeinsames Verständnis darüber, wie vorzugehen ist, wenn die Infrastruktur des Angreifers über herkömmliche Kanäle praktisch unaufhaltbar ist.

Was das für Sie bedeutet

Für einzelne Nutzer sind DeadLocks Taktiken eine gute Erinnerung daran, dass die Tools, die Ihre eigene Privatsphäre schützen – verschlüsselte Messenger, dezentrale Dienste und Blockchain-Technologie – von Natur aus neutral sind. Ihr Wert hängt ganz davon ab, wer sie verwendet und warum. Sie müssen Datenschutztools nicht meiden, nur weil Kriminelle sie ebenfalls nutzen; Sie müssen lediglich verstehen, dass die Widerstandsfähigkeit dieser Werkzeuge in beide Richtungen wirkt. Insbesondere für Unternehmen unterstreicht der Fall DeadLock, dass es zunehmend unrealistisch wird, Ransomware-, Blockchain- und verschlüsselte Kommunikationsinfrastruktur nach Beginn eines Angriffs zu stoppen, was den Druck auf die Prävention erhöht.

Wichtigste Erkenntnisse

  • Gehen Sie davon aus, dass Leak-Sites und Verhandlungskanäle moderner Ransomware-Gruppen sich nicht durch Meldungen oder Abschaltaufforderungen entfernen lassen.
  • Investieren Sie in Angriffserkennung und Netzwerküberwachung, um Angriffe zu erkennen, bevor Daten abfließen, da die Störmöglichkeiten nach einem Vorfall schrumpfen.
  • Halten Sie offline gespeicherte und getestete Backups vor, damit Lösegeldforderungen ihre Hebelkraft verlieren, unabhängig davon, wie widerstandsfähig die Infrastruktur des Angreifers ist.
  • Überprüfen Sie Ihre Incident-Response-Pläne und stellen Sie sicher, dass sie dezentrale und Blockchain-gehostete Erpressungsinfrastruktur berücksichtigen, nicht nur herkömmliche web-basierte Leak-Sites.

Die Entwicklung von DeadLock zeigt, dass es im Kampf gegen Ransomware nicht mehr nur um schnellere Abschaltungen geht. Da Gruppen zunehmend auf dezentrale und verschlüsselte Infrastruktur setzen, muss Resilienz lange vor dem Erpressungsstadium eines Angriffs beginnen.