Microsoft beschreibt bei DeadLock einen Ansatz, der im Ransomware-Umfeld bislang selten ist. Statt eine herkömmliche Tor-Adresse fest zu hinterlegen, ruft die HTML-Seite die aktuelle Adresse des Chat-Proxys ab, indem sie über einen nur lesenden eth_call einen Smart Contract auf der Polygon-Blockchain abfragt. Das erlaubt es den Betreibern, den Chat-Proxy auszutauschen, ohne die opferseitige Anwendung ändern zu müssen.
Dass Kommando-und-Kontroll-Adressen aus der Blockchain bezogen werden, ist laut Microsoft unter Cyberkriminellen inzwischen verbreitet, bei Ransomware aber noch ungewöhnlich. Zusätzlich verwendet DeadLock das dezentrale Session-Netzwerk, um die Kommunikation mit Opfern zu verschlüsseln. Gestohlene Dateien werden über den Cloud-Dienst Wasabi bereitgestellt.
Nach Einschätzung von Microsoft verringert diese Architektur die Abhängigkeit von klassischen Domains und Webservern, die von Strafverfolgungsbehörden abgeschaltet werden können. Vollständig störungsresistent ist die Infrastruktur aber nicht: Die Kommunikation ist weiterhin auf einen speziell angepassten Proxy angewiesen, öffentliche Polygon-RPC-Endpunkte müssen erreichbar bleiben, und auf Wasabi gehostete Dateien lassen sich entfernen.
Der Bericht geht auch auf die Funktionsweise der Verschlüsselung ein. Die Malware ist so konfiguriert, dass sie Länder der ehemaligen Sowjetunion und die Region der Gemeinschaft Unabhängiger Staaten sowie Iran, Syrien, Oman und Jemen meidet. Auf Windows-Systemen bereitet der Locker den Host vor, indem er Sicherungen löscht, Virtualisierung stoppt und den Papierkorb leert.
Anschließend verschlüsselt DeadLock ausgewählte Nicht-System-Verzeichnisse mit individuellen XChaCha20-Schlüsseln pro Datei, die mit der elliptischen Kurve Curve25519 abgesichert werden. Um den Vorgang zu beschleunigen, werden größere Dateien abschnittsweise mit 512-Byte-Blöcken verschlüsselt, sollen dadurch aber laut Bericht weiterhin größtenteils nicht wiederherstellbar bleiben.
Die Schadsoftware ist darauf ausgelegt, bis zu 29 Prozent des verfügbaren Arbeitsspeichers und 70 Prozent der CPU-Ressourcen zu nutzen. Dadurch könne das Opfer den Rechner während der Verschlüsselung weiterverwenden, ohne größere Leistungseinbußen zu bemerken. Verschlüsselte Daten erhalten eine opferspezifische Kennung und die Erweiterung “.dlock”. Zudem werden Symbole geändert, TXT-Lösegeldnoten abgelegt und der Desktop-Hintergrund ausgetauscht, um anzuzeigen, dass das System gesperrt wurde.
Für die Entschlüsselung verlangen die Angreifer Zahlungen in Bitcoin oder Monero. Im Gegenzug stellen sie laut Microsoft einen Decryptor, das Versprechen zur Löschung der gestohlenen Daten, Angaben zum ursprünglichen Zugriffsvektor und eine Reihe von Sicherheitsempfehlungen in Aussicht.
Zur Abwehr von DeadLock empfiehlt Microsoft unter anderem cloudbasierte Antivirus-Funktionen, EDR im Sperrmodus, Manipulationsschutz sowie automatisierte Untersuchung und Bereinigung. Organisationen sollten außerdem unautorisierte Dateiänderungen mit Controlled Folder Access einschränken und Regeln zur Reduzierung der Angriffsfläche aktivieren, um nicht vertrauenswürdige ausführbare Dateien sowie seitliche Bewegung über PsExec und WMI zu blockieren.
Microsoft verweist in diesem Zusammenhang auch auf den Blue Report 2026. Demnach können allgemeine Präventionswerte verdecken, was nach dem ersten Zugriff geschieht; nutzen Angreifer bereits gültige Zugangsdaten, sinke die Wirksamkeit der Prävention deutlich. Der Bericht misst Abwehrmaßnahmen Technik für Technik auf Basis von 338 Millionen Simulationen in Produktionsumgebungen von Kunden.