Ransomwarová skupina známá jako DeadLock byla pozorována při využívání decentralizované infrastruktury k usnadnění komunikace s oběťmi a operacím s únikem dat ve snaze zlepšit svou provozní odolnost. „Její ekosystém pro obnovu kombinuje síť pro zasílání zpráv Session se službami založenými na blockchainu, které ukládají a doručují zdroje používané v průběhu vyděračského procesu,“ uvedl tým Microsoft Threat Intelligence. Technologický gigant sdělil, že ransomware nasazovalo více aktérů hrozeb, včetně affiliate skupiny pro ransomware Lynx a INC.
DeadLock byl poprvé zaznamenán v červenci 2025 a používá taktiku dvojího vydírání: šifruje prostředí obětí a vyvíjí tlak hrozbou zveřejnění exfiltrovaných dat. K tomuto měsíci si skupina nárokovala 96 obětí, přičemž většina se nachází v Itálii, Španělsku, Polsku, Turecku a USA. Útoky skupiny šifrují soubory s příponou „.dlock“, mění ikony souborů pomocí vlastního souboru „.ico“ a upravují tapetu plochy oběti tak, aby zobrazovala zprávu „Vaše infrastruktura byla DeadLocked“ a pokyn k otevření výkupné zprávy. Ransomware používá hybridní kryptografický návrh kombinující eliptickou kryptografii Curve25519 s proudovou šifrou XChaCha20.
Decentralizovaná infrastruktura obnovy
Výkupná zpráva vyzývá oběť ke stažení decentralizované, end-to-end šifrované aplikace Session, aby navázala kontakt a po sdílení dešifrované verze uzamčeného souboru jako důkazu provedla platbu v Bitcoinu nebo Moneru. Jedna verze zprávy rovněž slibuje kompromitované firmě „bezpečnostní zprávu“ s detaily o krocích, kterými se útočníci dostali do sítě, a ujišťuje, že oběti, které zaplatí, obdrží bezpečnostní doporučení a nebudou znovu terčem.
Ransomware také zahrnuje geofencing na základě jazyka či země, aby se vyhnul spuštění v prostředích spojených s bývalými sovětskými zeměmi a Společenstvím nezávislých států (SNS) i s vybranými blízkovýchodními zeměmi. Obsahuje rovněž „mechanismus škrcení podle dostupných prostředků“, který zajišťuje odezvu systému během šifrování a pozastavuje jej, když využití paměti překročí 29 % nebo zátěž CPU 70 %, přičemž ke vzdálenému ovládání napadených hostitelů spoléhá na AnyDesk. Kvůli obcházení obrany systematicky maže logy a vypíná protokolování manipulací s registrem.
Snad nejneobvyklejším aspektem je použití HTML zprávy („RECOVERY_CHAT.<UID>.html“), která se ukládá do kořenových adresářů všech disků a do všech složek Plochy. „Na rozdíl od textové zprávy je HTML zpráva plnohodnotná interaktivní webová aplikace se soběstačnou jednostránkovou aplikací, jež implementuje end-to-end šifrovaný chat, stránkovaný blog úniku dat a prohlížeč souborů, to vše bez nutnosti tradičního backendového serveru,“ uvedl Microsoft. HTML soubor odesílá a přijímá zprávy ze serveru fungujícího jako proxy, jehož detaily se získávají a spravují přístupem založeným na blockchainu.
Konkrétně kód JavaScriptu uvnitř HTML souboru komunikuje s chytrými kontrakty na Polygonu za účelem decentralizované rotace adresy proxy serveru, čímž je mění na infrastrukturu odolnou vůči cenzuře a zásahům, která operátorovi umožňuje aktualizovat URL proxy, aniž by se musel dotknout jakýchkoli domén viditelných obětem. „Toto zneužití chytrých kontraktů k doručování adres proxy je zajímavá metoda, u níž útočníci mohou doslova aplikovat nekonečné varianty této techniky,“ uvedla dříve firma Group-IB. Stránka pro obnovu poskytuje také přístup k blogu úniku dat, jehož obsah je hostován na blockchainu Polygon přes protokol Wasabi. „Tento model infrastruktury představuje významný posun oproti tradičním komunikačním kanálům ransomwaru a klade nové výzvy před snahy o jejich vyřazení,“ uzavřel Microsoft.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
