เจาะลึก Encryptor ที่ใช้ Rust ของ DeadLock

การวิเคราะห์ทางเทคนิคใหม่จากนักวิจัยด้านความปลอดภัยที่ SOCFortress ซึ่งเผยแพร่บน Medium ในเดือนสิงหาคม 2026 กำลังให้ข้อมูลเชิงลึกแก่ผู้ป้องกันเกี่ยวกับแรนซัมแวร์ DeadLock ซึ่งเป็นการดำเนินงานที่ขับเคลื่อนด้วยผลประโยชน์ทางการเงินที่ได้สร้างโครงสร้างพื้นฐานการขู่กรรโชกที่ยืดหยุ่นที่สุดแห่งหนึ่งในความทรงจำที่ผ่านมา งานวิจัยนี้เจาะลึกถึงวิธีที่ encryptor ของมัลแวร์ถูกสร้างขึ้น เหตุผลที่กลุ่มเลือกภาษาโปรแกรม Rust และวิธีที่ DeadLock ออกแบบระบบการกู้คืนและการสื่อสารเพื่อเอาชีวิตรอดจากการปราบปรามของหน่วยงานบังคับใช้กฎหมายและการโจมตีทางความปลอดภัย

Rust กลายเป็นตัวเลือกที่ได้รับความนิยมเพิ่มขึ้นในหมู่นักพัฒนาแรนซัมแวร์ เนื่องจากมันคอมไพล์เป็นไบนารีที่เร็วและปลอดภัยต่อหน่วยความจำ ซึ่งเป็นที่รู้จักกันดีว่ายากต่อการ reverse engineer โดยนักวิเคราะห์ความปลอดภัย เมื่อเทียบกับมัลแวร์ที่เขียนด้วยภาษาเก่าๆ เช่น C หรือ Delphi สำหรับ DeadLock สิ่งนี้แปลเป็น encryptor ที่ไม่เพียงแต่ล็อกไฟล์ของเหยื่อได้อย่างรวดเร็ว แต่ยังต้านทานการวิเคราะห์แบบ static ที่นักวิจัยมักใช้เพื่อสร้างลายเซ็นการตรวจจับหรือเครื่องมือกู้คืน รายงานก่อนหน้านี้เกี่ยวกับกลุ่มนี้ได้ให้รายละเอียดแล้วว่า แรนซัมแวร์ DeadLock ปิดเกม Windows Defender ปิดการสำรองข้อมูล และล้างบันทึกเหตุการณ์ ก่อนที่การเข้ารหัสจะเริ่มต้น ซึ่งเป็นการรวมกันที่ทำให้เหยื่อสูญเสียทั้งแนวป้องกันสุดท้ายและหลักฐานทางนิติวิทยาศาสตร์ที่จำเป็นในการสร้างเหตุการณ์ที่เกิดขึ้นขึ้นมาใหม่

โครงสร้างพื้นฐานการกู้คืนแบบกระจายศูนย์ที่สร้างขึ้นเพื่อเอาชีวิตรอดจากการปราบปราม

สิ่งที่ทำให้ DeadLock แตกต่างจากแรนซัมแวร์รุ่นเดียวกันหลายตัวไม่ใช่แค่ตัว encryptor เอง แต่รวมถึงโครงสร้างพื้นฐานที่ห่อหุ้มมันไว้ การดำเนินงานแรนซัมแวร์แบบดั้งเดิมต้องพึ่งพาเซิร์ฟเวอร์ควบคุมและสั่งการแบบรวมศูนย์ ไซต์รั่วไหล และพอร์ทัลการเจรจา ซึ่งทั้งหมดนี้สามารถถูกยึด sinkhole หรือขึ้นบัญชีดำได้เมื่อนักวิจัยระบุตัวตนได้ DeadLock ได้ใช้แนวทางที่แตกต่างออกไปโดยการกระจายส่วนสำคัญของการดำเนินงานไปยังแพลตฟอร์มแบบกระจายศูนย์ที่ยากต่อการปิดตัวลงมาก

นักวิจัยพบว่ากลุ่มจัดเก็บส่วนหนึ่งของการกำหนดค่าควบคุมและสั่งการโดยตรงบน blockchain ซึ่งเป็นแนวทางที่ได้รับการบันทึกไว้ในรายงานว่า แรนซัมแวร์ DeadLock ใช้ blockchain เพื่อหลบเลี่ยงการปราบปราม เนื่องจากบันทึก blockchain ไม่สามารถเปลี่ยนแปลงได้และกระจายอยู่ทั่วโหนดนับพัน จึงไม่มีเซิร์ฟเวอร์เดียวที่ผู้ป้องกันจะปิดได้ การวิเคราะห์ที่เกี่ยวข้องระบุพฤติกรรมนี้กับ blockchain Polygon โดยเฉพาะ ซึ่งกลุ่มใช้เพื่อยึดข้อมูลการกำหนดค่าให้อยู่เหนือการเข้าถึงของการปราบปรามโครงสร้างพื้นฐานแบบดั้งเดิม

DeadLock ยังได้ย้ายการสื่อสารกับเหยื่อออกจากพอร์ทัลการเจรจาบน dark web แบบดั้งเดิม กลุ่มได้นำแอปส่งข้อความเข้ารหัส Session มาใช้สำหรับการเจรจาค่าไถ่ ซึ่งเป็นการเปลี่ยนแปลงที่ครอบคลุมในรายงานก่อนหน้านี้เกี่ยวกับวิธีการที่ แรนซัมแวร์ DeadLock เพิ่มแอป Session เพื่อหลบเลี่ยงการปราบปราม การออกแบบแบบกระจายศูนย์และต้านทาน metadata ของ Session ทำให้ผู้สืบสวนติดตามการสื่อสารกลับไปยังผู้ปฏิบัติการได้ยากขึ้นมาก ซึ่งเพิ่มชั้นความยืดหยุ่นอีกชั้นให้กับการดำเนินงานที่ยากต่อการขัดขวางอยู่แล้ว

ขอบเขตความเสียหายจนถึงตอนนี้

ความซับซ้อนทางเทคนิคเบื้องหลัง DeadLock ไม่ใช่เรื่องเชิงทฤษฎี ภายในเดือนกรกฎาคม 2026 การดำเนินงานนี้เชื่อมโยงกับเหยื่อที่รู้จักแล้วกว่า 80 ราย ตามการติดตามข่าวกรองภัยคุกคามที่อ้างอิงควบคู่ไปกับการวิจัยในวงกว้างเกี่ยวกับกลุ่มนี้ ผลกระทบทางการเงินและชื่อเสียงจากการโจมตีเหล่านี้มีนัยสำคัญ เหตุการณ์ที่โดดเด่นที่สุดเหตุการณ์หนึ่งเกี่ยวข้องกับบริษัทเภสัชชีวภาพ Diater ซึ่ง การละเมิดข้อมูลของแรนซัมแวร์ DeadLock เปิดเผยข้อมูลที่บันทึกไว้กว่าทศวรรษ โดยเน้นย้ำว่ากลวิธีขู่กรรโชกสองชั้น การขโมยข้อมูลก่อนการเข้ารหัส อาจก่อให้เกิดอันตรายระยะยาวแม้สำหรับองค์กรที่สามารถกู้คืนระบบได้

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับผู้ใช้ทั่วไป DeadLock เป็นเครื่องเตือนใจว่ากลุ่มแรนซัมแวร์กำลังพัฒนาความเป็นมืออาชีพอย่างรวดเร็ว นี่ไม่ใช่แฮกเกอร์เดี่ยวที่มีสคริปต์การเข้ารหัสง่ายๆ แต่มันคือการดำเนินงานที่ใช้ภาษาโปรแกรมสมัยใหม่ เทคโนโลยี blockchain และแอปส่งข้อความที่เน้นความเป็นส่วนตัวเพื่อสร้างสิ่งที่ใกล้เคียงกับธุรกิจแบบกระจายศูนย์ที่ยืดหยุ่น หากคุณทำงานในองค์กรที่อาจตกเป็นเป้าหมาย หรือหากคุณเป็นผู้บริโภคที่ข้อมูลส่วนบุคคลอาจถูกกวาดเข้าไปในการละเมิดข้อมูลของบริษัทเช่นกรณี Diater ความเสี่ยงเชิงปฏิบัติจะเหมือนกัน: ข้อมูลที่ถูกขโมยอาจถูกเปิดเผยหรือขายได้ไม่ว่าค่าไถ่จะถูกจ่ายหรือไม่

ข่าวดีคือพื้นฐานของการป้องกันแรนซัมแวร์ไม่ได้เปลี่ยนไปเพียงเพราะโครงสร้างพื้นฐานเบื้องหลังมันซับซ้อนขึ้น ผู้โจมตียังคงต้องการจุดเริ่มต้นแรก ไม่ว่าจะผ่านฟิชชิ่ง การเข้าถึงระยะไกลที่เปิดเผย หรือซอฟต์แวร์ที่ไม่ได้รับการแพตช์ ก่อนที่ encryptor ใดๆ จะทำงานได้

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

รักษาการสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบซึ่งแรนซัมแวร์ไม่สามารถเข้าถึงหรือปิดการใช้งานจากระยะไกลได้ อัปเดตเครื่องมือป้องกันปลายทางและการบันทึกให้ทันสมัยอยู่เสมอ เนื่องจาก DeadLock มุ่งเป้าไปที่เครื่องมือเช่น Windows Defender และบันทึกเหตุการณ์โดยเฉพาะเพื่อลบร่องรอย จงสงสัยไฟล์แนบหรือลิงก์ที่ไม่ได้รับการร้องขอ เนื่องจากการเข้าถึงครั้งแรกยังคงเริ่มต้นด้วยวิศวกรรมสังคมพื้นฐาน หากคุณได้รับการแจ้งเตือนว่าข้อมูลของคุณเกี่ยวข้องกับการละเมิดข้อมูลที่เชื่อมโยงกับกลุ่มแรนซัมแวร์ ให้ถือเรื่องนี้อย่างจริงจังและติดตามสัญญาณของการโจรกรรมข้อมูลส่วนบุคคลหรือการใช้ข้อมูลประจำตัวในทางที่ผิด ดังที่แรนซัมแวร์ DeadLock แสดงให้เห็น การรับทราบข้อมูลเกี่ยวกับวิวัฒนาการของกลุ่มเหล่านี้เป็นหนึ่งในขั้นตอนที่ปฏิบัติได้จริงที่สุดที่ทุกคนสามารถทำได้เพื่อปกป้องข้อมูลของตน