Ein genauerer Blick auf DeadLocks Rust-basierten Verschlüsseler

Eine neue technische Analyse von Sicherheitsforschern bei SOCFortress, veröffentlicht auf Medium im August 2026, gibt Verteidigern einen detaillierten Einblick in die DeadLock-Ransomware, eine finanziell motivierte Operation, die im Stillen eine der widerstandsfähigsten Erpressungsinfrastrukturen aufgebaut hat, die in jüngster Zeit gesehen wurden. Die Forschung untersucht, wie der Verschlüsseler der Malware aufgebaut ist, warum die Gruppe die Programmiersprache Rust gewählt hat und wie DeadLock seine Wiederherstellungs- und Kommunikationssysteme so konstruiert hat, dass sie Strafverfolgungs- und Sicherheits-Takedowns überleben.

Rust ist bei Ransomware-Entwicklern zunehmend beliebt geworden, weil es zu schnellen, speichersicheren Binärdateien kompiliert, die für Sicherheitsanalysten bekanntermaßen schwer zu reverse-engineeren sind als Malware, die in älteren Sprachen wie C oder Delphi geschrieben wurde. Für DeadLock bedeutet das einen Verschlüsseler, der nicht nur Opferdateien schnell sperrt, sondern auch der Art von statischer Analyse widersteht, auf die Forscher typischerweise angewiesen sind, um Erkennungssignaturen oder Wiederherstellungstools zu erstellen. Frühere Berichterstattung über die Gruppe hat bereits detailliert beschrieben, wie DeadLock-Ransomware Windows Defender tötet, Backups deaktiviert und Ereignisprotokolle löscht, bevor die Verschlüsselung überhaupt beginnt – eine Kombination, die Opfern sowohl ihre letzte Verteidigungslinie als auch die forensischen Beweise raubt, die zur Rekonstruktion des Geschehens benötigt werden.

Dezentrale Wiederherstellungsinfrastruktur, gebaut um Takedowns zu überstehen

Was DeadLock von vielen seiner Ransomware-Kollegen unterscheidet, ist nicht nur der Verschlüsseler selbst, sondern die Infrastruktur, die ihn umgibt. Traditionelle Ransomware-Operationen sind auf zentrale Command-and-Control-Server, Leak-Sites und Verhandlungsportale angewiesen, die alle beschlagnahmt, sinkholed oder blacklistet werden können, sobald Forscher sie identifizieren. DeadLock hat einen anderen Ansatz gewählt, indem es kritische Teile seiner Operation auf dezentrale Plattformen verteilt, die weit schwerer abzuschalten sind.

Forscher haben herausgefunden, dass die Gruppe Teile ihrer Command-and-Control-Konfiguration direkt auf der Blockchain speichert – ein Ansatz, der in der Berichterstattung darüber dokumentiert ist, wie DeadLock-Ransomware Blockchain nutzt, um Takedowns zu umgehen. Da Blockchain-Aufzeichnungen unveränderlich und über Tausende von Knoten verteilt sind, gibt es keinen einzelnen Server, den Verteidiger offline nehmen könnten. Eine verwandte Analyse bringt dieses Verhalten speziell mit der Polygon-Blockchain in Verbindung, die die Gruppe genutzt hat, um Konfigurationsdaten außerhalb der Reichweite konventioneller Infrastruktur-Takedowns zu verankern.

DeadLock hat auch die Kommunikation mit Opfern von traditionellen Dark-Web-Verhandlungsportalen wegverlagert. Die Gruppe hat die verschlüsselte Messaging-App Session für Lösegeldverhandlungen übernommen – eine Veränderung, die in früherer Berichterstattung darüber behandelt wurde, wie DeadLock-Ransomware die Session-App hinzufügte, um Takedowns zu umgehen. Sessons dezentrales, metadatenresistentes Design macht es Ermittlern weit schwerer, Kommunikation zu den Betreibern zurückzuverfolgen, und fügt einer ohnehin schwer zu störenden Operation eine weitere Ebene der Widerstandsfähigkeit hinzu.

Das Ausmaß des Schadens bisher

Die technische Raffinesse hinter DeadLock ist nicht theoretisch. Bis Juli 2026 war die Operation bereits mit mehr als 80 bekannten Opfern in Verbindung gebracht worden, so die Bedrohungsinformationen, die neben der breiteren Forschung über die Gruppe zitiert werden. Die finanziellen und rufschädigenden Folgen dieser Angriffe waren erheblich. Einer der bemerkenswerteren Vorfälle betraf das Biopharma-Unternehmen Diater, wo der DeadLock-Ransomware-Bruch ein Jahrzehnt an Aufzeichnungen offenlegte, was unterstreicht, wie Double-Extortion-Taktiken – Daten stehlen, bevor sie verschlüsselt werden – selbst für Organisationen, die ihre Systeme wiederherstellen können, dauerhaften Schaden verursachen können.

Was das für Sie bedeutet

Für alltägliche Nutzer ist DeadLock eine Erinnerung daran, dass Ransomware-Gruppen in rasantem Tempo professionalisieren. Das ist kein einsamer Hacker mit einem einfachen Verschlüsselungsskript; es ist eine Operation, die moderne Programmiersprachen, Blockchain-Technologie und datenschutzorientierte Messaging-Apps nutzt, um etwas aufzubauen, das eher einem widerstandsfähigen, verteilten Unternehmen ähnelt. Wenn Sie in einer Organisation arbeiten, die Ziel sein könnte, oder wenn Sie ein Verbraucher sind, dessen persönliche Daten in einem Unternehmensbruch wie dem bei Diater erfasst werden könnten, ist das praktische Risiko dasselbe: Gestohlene Daten können offengelegt oder verkauft werden, unabhängig davon, ob ein Lösegeld gezahlt wird.

Die gute Nachricht ist, dass die Grundlagen der Ransomware-Verteidigung sich nicht geändert haben, nur weil die Infrastruktur dahinter ausgefeilter geworden ist. Angreifer brauchen immer noch einen ersten Zugangspunkt, sei es durch Phishing, exponierte Fernzugriffe oder ungepatchte Software, bevor ein Verschlüsseler laufen kann.

Umsetzbare Erkenntnisse

Halten Sie offline, getestete Backups bereit, die Ransomware nicht erreichen oder remote deaktivieren kann. Halten Sie Endpoint-Schutz und Protokollierungstools aktuell, da DeadLock gezielt Tools wie Windows Defender und Ereignisprotokolle angreift, um seine Spuren zu verwischen. Seien Sie skeptisch bei unaufgeforderten Anhängen oder Links, da der Erstzugriff typischerweise immer noch mit einfachem Social Engineering beginnt. Wenn Sie eine Benachrichtigung erhalten, dass Ihre Daten in einen Bruch verwickelt waren, der mit einer Ransomware-Gruppe in Verbindung steht, nehmen Sie sie ernst und achten Sie auf Anzeichen von Identitätsdiebstahl oder missbräuchlicher Nutzung von Anmeldedaten. Wie die DeadLock-Ransomware zeigt, ist es einer der praktischsten Schritte zum Schutz Ihrer Daten, informiert zu bleiben, wie sich diese Gruppen weiterentwickeln.