Bliższe spojrzenie na szyfrator DeadLock oparty na Rust

Nowa analiza techniczna opublikowana przez badaczy bezpieczeństwa z SOCFortress na Medium w sierpniu 2026 roku daje obrońcom szczegółowy wgląd w ransomware DeadLock, operację motywowaną finansowo, która po cichu zbudowała jedną z bardziej odpornych infrastruktur wymuszeń, jakie widziano w ostatnim czasie. Badania zagłębiają się w to, jak zbudowany jest szyfrator złośliwego oprogramowania, dlaczego grupa wybrała język programowania Rust oraz jak DeadLock zaprojektował swoje systemy odzyskiwania i komunikacji, aby przetrwać działania organów ścigania i ataki na infrastrukturę ze strony specjalistów ds. bezpieczeństwa.

Rust stał się coraz popularniejszym wyborem wśród twórców ransomware, ponieważ kompiluje się do szybkich, bezpiecznych pamięciowo plików binarnych, które są notorycznie trudne do analizy odwrotnej dla analityków bezpieczeństwa w porównaniu ze złośliwym oprogramowaniem napisanym w starszych językach, takich jak C czy Delphi. Dla DeadLock przekłada się to na szyfrator, który nie tylko szybko blokuje pliki ofiar, ale także opiera się tego rodzaju analizie statycznej, na której badacze zwykle polegają, aby tworzyć sygnatury wykrywania lub narzędzia do odzyskiwania danych. Wcześniejsze raporty na temat grupy już szczegółowo opisały, jak ransomware DeadLock zabija Windows Defender, wyłącza kopie zapasowe i czyści dzienniki zdarzeń zanim rozpocznie się szyfrowanie, co jest kombinacją, która pozbawia ofiary zarówno ostatniej linii obrony, jak i dowodów kryminalistycznych potrzebnych do zrekonstruowania tego, co się wydarzyło.

Zdecentralizowana infrastruktura odzyskiwania zaprojektowana, aby przetrwać ataki

To, co odróżnia DeadLock od wielu innych grup ransomware, to nie tylko sam szyfrator, ale otaczająca go infrastruktura. Tradycyjne operacje ransomware opierają się na scentralizowanych serwerach dowodzenia i kontroli, stronach z wyciekami danych oraz portalach negocjacyjnych, z których wszystkie mogą zostać przejęte, zneutralizowane lub wpisane na czarną listę, gdy tylko badacze je zidentyfikują. DeadLock przyjął inne podejście, rozpraszając kluczowe części swojej operacji na zdecentralizowanych platformach, które są znacznie trudniejsze do zamknięcia.

Badacze odkryli, że grupa przechowuje części swojej konfiguracji dowodzenia i kontroli bezpośrednio w blockchainie, co jest podejściem udokumentowanym w raportach na temat tego, jak ransomware DeadLock wykorzystuje blockchain do unikania działań wymierzonych w infrastrukturę. Ponieważ zapisy w blockchainie są niezmienne i rozproszone na tysiącach węzłów, nie ma pojedynczego serwera, który obrońcy mogliby wyłączyć. Powiązana analiza konkretnie łączy to zachowanie z blockchainem Polygon, którego grupa użyła do zakotwiczenia danych konfiguracyjnych poza zasięgiem konwencjonalnych działań wymierzonych w infrastrukturę.

DeadLock przeniósł również komunikację z ofiarami z dala od tradycyjnych portali negocjacyjnych w ciemnej sieci. Grupa przyjęła zaszyfrowaną aplikację do przesyłania wiadomości Session do negocjacji okupu, co jest zmianą opisaną we wcześniejszych doniesieniach o tym, jak ransomware DeadLock dodał aplikację Session, aby unikać działań wymierzonych w infrastrukturę. Zdecentralizowana konstrukcja Session odporna na metadane sprawia, że znacznie trudniej jest śledczym prześledzić komunikację z powrotem do operatorów, dodając kolejną warstwę odporności już i tak trudnej do zakłócenia operacji.

Skala szkód do tej pory

Zaawansowanie techniczne stojące za DeadLock nie jest teoretyczne. Do lipca 2026 roku operację powiązano już z ponad 80 znanymi ofiarami, zgodnie z danymi wywiadu o zagrożeniach cytowanymi obok szerszych badań nad grupą. Skutki finansowe i reputacyjne tych ataków były znaczące. Jednym z bardziej godnych uwagi incydentów była firma biofarmaceutyczna Diater, gdzie naruszenie ransomware DeadLock ujawniło dekadę dokumentacji, co podkreśla, jak taktyka podwójnego wymuszenia, czyli kradzież danych przed ich zaszyfrowaniem, może wyrządzić trwałe szkody nawet organizacjom, którym uda się odzyskać swoje systemy.

Co to oznacza dla Ciebie

Dla zwykłych użytkowników DeadLock jest przypomnieniem, że grupy ransomware profesjonalizują się w szybkim tempie. To nie jest samotny haker z prostym skryptem szyfrującym; to operacja wykorzystująca nowoczesne języki programowania, technologię blockchain i aplikacje do przesyłania wiadomości skoncentrowane na prywatności, aby zbudować coś bliższego odpornemu, rozproszonemu biznesowi. Jeśli pracujesz w organizacji, która może być celem ataku, lub jeśli jesteś konsumentem, którego dane osobowe mogą zostać wychwycone w naruszeniu korporacyjnym, takim jak to w Diater, praktyczne ryzyko jest takie samo: skradzione dane mogą zostać ujawnione lub sprzedane niezależnie od tego, czy okup zostanie zapłacony.

Dobra wiadomość jest taka, że podstawy obrony przed ransomware nie zmieniły się tylko dlatego, że infrastruktura za nim stojąca stała się bardziej zaawansowana. Atakujący wciąż potrzebują początkowego punktu zaczepienia, czy to poprzez phishing, odsłonięty zdalny dostęp, czy niezałatane oprogramowanie, zanim jakikolwiek szyfrator będzie mógł zadziałać.

Praktyczne wnioski

Utrzymuj offline'owe, przetestowane kopie zapasowe, do których ransomware nie ma dostępu i których nie może zdalnie wyłączyć. Aktualizuj narzędzia ochrony punktów końcowych i rejestrowania, ponieważ DeadLock konkretnie celuje w narzędzia takie jak Windows Defender i dzienniki zdarzeń, aby zatrzeć ślady. Podchodź sceptycznie do nieproszonych załączników lub linków, ponieważ początkowy dostęp nadal zwykle zaczyna się od podstawowej inżynierii społecznej. Jeśli otrzymasz powiadomienie, że Twoje dane zostały objęte naruszeniem powiązanym z grupą ransomware, traktuj to poważnie i monitoruj oznaki kradzieży tożsamości lub nadużycia danych uwierzytelniających. Jak pokazuje ransomware DeadLock, pozostawanie poinformowanym o tym, jak ewoluują te grupy, jest jednym z najbardziej praktycznych kroków, jakie każdy może podjąć, aby chronić swoje dane.