Microsoft zufolge markiert DeadLock mit seinem Kommunikations- und Leak-Modell eine auffällige Weiterentwicklung gegenüber klassischen Ransomware-Kanälen. Die HTML-Notiz mit dem Namen „RECOVERY_CHAT.<UID>.html“ wird in allen Stammverzeichnissen der Laufwerke und auf allen Desktop-Ordnern abgelegt. Anders als eine reine Textdatei ist sie laut Microsoft eine vollständige interaktive Webanwendung: eine eigenständige Einzelseiten-Anwendung mit Ende-zu-Ende-verschlüsseltem Chat, einem seitenweise aufgebauten Datenleck-Blog und einem Dateibrowser – ohne klassischen Backend-Server.
Wie Group-IB bereits in einer früheren Analyse hervorhob, soll diese HTML-Datei den direkten Kontakt zwischen DeadLock und dem Opfer ermöglichen, ohne dass die Session-App zwingend installiert werden muss. Nachrichten werden über einen Server gesendet und empfangen, der als Proxy arbeitet. Dessen Details werden blockchain-basiert abgerufen und verwaltet. Konkret nutzt der in der HTML-Datei enthaltene JavaScript-Code laut Microsoft Polygon-Smart-Contracts, um Proxy-Server-Adressen dezentral zu rotieren. Dadurch können die Betreiber die Proxy-URL aktualisieren, ohne opferseitig sichtbare Domains anzufassen oder neue Domains zu registrieren. Group-IB bezeichnete den Einsatz von Smart Contracts zur Auslieferung von Proxy-Adressen als interessante Methode, bei der Angreifer „buchstäblich unendlich viele Varianten dieser Technik“ anwenden könnten.
Auch der Datenleck-Blog ist nach Angaben von Microsoft ungewöhnlich umgesetzt. Seine Inhalte werden auf der Polygon-Blockchain gehostet und über das Wasabi-Protokoll zugänglich gemacht, sodass sich durchsuchbarer Zugriff auf geleakte Dateien ohne den Betrieb eines Webservers bereitstellen lässt. Microsoft sieht in diesem Infrastrukturmodell neue Hürden für Abschaltungsversuche. Die Architektur erhöhe wahrscheinlich die Widerstandsfähigkeit von Teilen der Kommunikations-, Leak-Hosting- und Verhandlungsinfrastruktur und helfe den DeadLock-Betreibern, Störmaßnahmen zu überstehen und den Kontakt zu Opfern aufrechtzuerhalten.
Technisch verschlüsselt DeadLock Dateien mit der Endung „.dlock“, ersetzt Dateisymbole durch eine benutzerdefinierte „.ico“-Datei auf dem Datenträger und ändert den Desktop-Hintergrund auf die Meldung „Ihre Infrastruktur ist DeadLocked“, verbunden mit dem Hinweis, die Lösegeldforderung zu öffnen. Die Schadsoftware arbeitet mit selektiver Verschlüsselung und schließt bestimmte Verzeichnisse, Dateiendungen und Dateinamen aus. Für die Dateiverschlüsselung verwendet sie laut Microsoft ein hybrides kryptografisches Design aus Curve25519-Elliptic-Curve-Kryptografie und der Stromchiffre XChaCha20.
Die Lösegeldnotiz fordert Opfer auf, Session herunterzuladen und nach Vorlage einer entschlüsselten Version einer gesperrten Datei als Nachweis in Bitcoin oder Monero zu zahlen. Eine Version der Notiz verspricht dem kompromittierten Unternehmen zudem einen „Sicherheitsbericht“, der die Schritte der Angreifer beim Eindringen ins Netzwerk beschreibt. Ferner heißt es dort, zahlende Opfer erhielten Sicherheitsempfehlungen zur Verhinderung künftiger Angriffe sowie die Zusicherung, künftig nicht erneut angegriffen zu werden.
DeadLock setzt außerdem auf Geo-Fencing nach Sprache oder Land und vermeidet die Ausführung in Umgebungen, die mit Ländern der ehemaligen Sowjetunion und der Gemeinschaft Unabhängiger Staaten sowie mit ausgewählten Ländern des Nahen Ostens verbunden sind. Hinzu kommt ein „ressourcenbewusster Drosselungsmechanismus“, der die Reaktionsfähigkeit des Systems während der Verschlüsselung erhalten soll: Bei einer Speicherauslastung von mehr als 29 Prozent oder einer CPU-Last von mehr als 70 Prozent pausiert der Prozess. Für die Fernsteuerung kompromittierter Systeme wird AnyDesk genutzt.
Zur Abwehr von Analysen und zur Verringerung forensischer Spuren löscht die Malware systematisch Protokolle und deaktiviert die Protokollierung durch Registry-Manipulationen. Die Windows-Version verwendet ein PowerShell-Skript, um nicht freigegebene Dienste zu stoppen und ihre automatische Ausführung nach einem Neustart zu verhindern. Dasselbe Skript löscht Volume Shadow Copies und entfernt sich anschließend selbst. Nach erfolgreicher Verschlüsselung erzeugt die Schadsoftware abschließend ein Batch-Skript, das die eigene Binärdatei vom Datenträger löscht und sich dann ebenfalls entfernt.
Group-IB hatte DeadLock in einer im Januar veröffentlichten Analyse als vergleichsweise unauffällig beschrieben. Das Unternehmen führte das darauf zurück, dass die Gruppe mit keinem bekannten Affiliate-Programm verbunden sei und keine klassische Datenleck-Seite betreibe. Nach Angaben von Ransomware.Live wurde die erste Gruppe von Opfern erst Ende Mai 2026 entdeckt.