DeadLock использует блокчейн для устойчивости инфраструктуры

Microsoft описала DeadLock как ransomware-операцию, которая опирается на распределённую инфраструктуру для связи с жертвами и публикации украденных данных. По данным компании, операторы используют Session и сервисы на блокчейне, чтобы хранить и доставлять ресурсы, нужные для вымогательства, а сам шифровальщик написан на Rust. Microsoft связывает DeadLock с несколькими

группами, включая участников экосистем Lynx и INC. Первые наблюдения относятся к июлю 2025 года. К июлю 2026-го операторы опубликовали на своём сайте утечек более 80 скомпрометированных организаций, а больше половины заявленных жертв находились в Европе. Компания также указывает, что DeadLock затронул организации из ИТ, добывающей отрасли, транспорта и логистики, производства, гостиничного бизнеса и сектора потребительских товаров в Европе, Азии, Северной и Южной Америке, а

также в Африке. В атаке используется схема двойного вымогательства: данные сначала похищают, а затем угрожают опубликовать. Источник изображения: bleepingcomputer Как устроена инфраструктура DeadLock По описанию Microsoft, часть инфраструктуры DeadLock не завязана на обычные домены и серверы. Для получения адреса чата вредоносная HTML-страница обращается к смарт-контракту в сети Polygon, а посты для сайта утечек тоже хранятся в блокчейне. В этой

схеме используются два смарт-контракта: один хранит URL прокси-сервера для чата, второй — записи блога. Страница запрашивает данные через read-only eth_call к публичным Polygon RPC-узлам, причём для отказоустойчивости предусмотрен список из шести публичных RPC-эндпоинтов.

Для переписки с жертвами операторы задействуют сеть Session. Microsoft пишет, что прокси-сервер выступает посредником между браузером жертвы и swarm-узлами Session, а идентификатор жертвы выводится детерминированно из её учётных данных. Если человек забудет эти данные, восстановить идентичность нельзя. Отдельно в этой же HTML-странице есть доступ к блогу с украденными файлами. Для хранения материалов используются посты с форматированием BBCode,

галереи изображений и вложения, а для раздачи файлов — ссылки Wasabi и встроенный браузер, который умеет открывать бакеты и выдавать предварительно подписанные URL. Microsoft отмечает, что такая архитектура повышает устойчивость отдельных частей схемы к отключению, но не убирает зависимость от внешних компонентов. Для

работы всё ещё нужны публичные Polygon RPC-узлы, текущий прокси должен оставаться доступным, а файлы и изображения можно удалить с CDN или из Wasabi-хранилища. Источник изображения: bleepingcomputer Шифрование и защита от анализа Перед шифрованием DeadLock проверяет системный и пользовательский языки интерфейса и сам удаляется, если они совпадают со списком исключений.

В этот список входят, в частности, русский, украинский, белорусский, таджикский, персидский, армянский, азербайджанский, грузинский, казахский, киргизский, туркменский, сирийский, румынский для Молдовы, узбекский и арабский для Омана и Йемена. Если процесс запущен без повышенных прав, вредоносная программа пытается добиться запуска с правами

администратора через.cmd-файл и окно UAC. Когда права уже есть, она включает набор привилегий, очищает корзину на всех дисках, завершает процессы и останавливает службы, включая защитные, резервного копирования, виртуализации и часть системных компонентов. Microsoft также описывает очистку журналов событий

несколькими способами сразу: через классический API, через изменение параметров в реестре и через перечисление каналов с помощью wevtapi.dll. Для шифрования шифровальщик использует XChaCha20 и Curve25519, а ключи и метаданные для каждого файла создаются отдельно. Файлы получают расширение.dlock и

уникальный идентификатор жертвы. Для больших файлов применяется частичное шифрование блоками по 512 байт. Проверка нагрузки ограничивает использование памяти 29% и CPU 70%. Процессы и службы, мешающие шифрованию, завершаются до старта работы. После шифрования DeadLock меняет иконки зашифрованных файлов, подменяет обои рабочего стола и раскладывает две версии записки с требованиями. Текстовый файл попадает в каждую зашифрованную папку, а

HTML-файл с восстановительным чатом размещается в корневых папках дисков и на рабочих столах. В конце атаки вредоносная программа создаёт batch-файл для самоуничтожения и удаляет собственный бинарник с диска. В публикации Microsoft также приведены индикаторы компрометации и рекомендации по защите, включая cloud-delivered protection, EDR в

режиме block mode, tamper protection, automated investigation and remediation, automatic attack disruption, Controlled Folder Access и правила attack surface reduction.

DeadLock использует блокчейн для устойчивости инфраструктуры

Сообщает itzine.ru

Новость из рубрики: Технологии и Hi-Tech

Поделиться новостью: Поделиться новостью в Facebook Поделиться новостью в Twittere Поделиться новостью в VK Поделиться новостью в Pinterest Поделиться новостью в Reddit

Топ Новости Недели

14:00, 10 Июн Отчет Mastercard Cyber Pulse показывает, как укрепление цифровой устойчивости способствует экономической непрерывности Mastercard представила свой первый отчет Cyber Pulse, предлагающий комплексный взгляд на развитие ландшафта киберугроз в Восточной Европе, на Ближнем...

09:00, 20 Апр NSA использует Mythos Anthropic вопреки запрету Пентагона Национальное агентство безопасности США продолжает пользоваться Anthropic Mythos Preview, хотя Пентагон уже пометил компанию как поставщика с риском ...

10:00, 20 Май Как Apple использует бракованные чипы в своих устройствах Apple использует в своих более доступных устройствах чипы, которые не полностью соответствуют стандартам флагманских продуктов. Такой подход позволяе...

13:00, 20 Июн Политолог Дудчак: Польша использует метание Киевом орденов себе на пользу Для сторонних наблюдателей это, безусловно, забавное зрелище – наблюдать, как ссорятся две русофобские элиты, но на глобальный расклад эта комедия се...

Meta* использует по-настоящему умных сотрудников для обучения ИИ на фоне многотысячных сокращений 06:00, 27 Май Meta* использует «по-настоящему умных» сотрудников для обучения ИИ на фоне многотысячных сокращений Цукерберг считает, что средний уровень квалификации сотрудников Meta* значительно выше, чем у людей, которых можно найти через аутсорсинговые каналы....

12:00, 02 Июн 99% остались довольны: Xiaomi не только выпускает современные кондиционеры, но и использует вакуумную цифровую очистку Суть сервиса заключается в цифровом контроле процесса вакуумной Xiaomi сообщила о масштабных результатах сервиса вакуумной цифровой очистки кондицион...

03:00, 28 Июл Nvidia создала процессор, который теперь ускоряет создание новых процессоров. Компания рассказала, как использует CPU Vera Прирост до 50%Компания Nvidia рассказала о том, как её процессор Vera, созданный в том числе для ИИ-ускорителей Vera Rubin, теперь помогает ещё быстр...

14:00, 13 Июл ВС РФ нанесли удары по объектам топливной инфраструктуры боевиков ВСУ Вооруженные силы России нанесли удары по объектам топливно-энергетической и транспортной инфраструктуры, используемым ВСУ, а также по складам горюче-...

20:00, 10 Авг В Брянской области продолжится обновление коммунальной инфраструктуры В России при участии Фонда развития территорий обновили более 4,3 тыс. объектов ЖКХ. Это и котельные, и очистные сооружения, и водопроводные станции ...

03:00, 29 Июн В Венесуэле из-за землетрясения повреждены более 2,5 тысяч объектов инфраструктуры В Венесуэле число объектов, поврежденных или уничтоженных в результате мощного землетрясения, достигло 2501. Об этом в ходе брифинга сообщил спикер Н...

20:00, 05 Июн Курский регион получит деньги на обновление инфраструктуры пассажироперевозок Курской области из федерального центра переведут крупный транш на обновление сферы общественного транспорта. Однако, по словам председателя Правитель...

19:00, 16 Июн Курские вузы получат 3,5 млрд рублей на обновление инфраструктуры До 2030 года на ремонт и модернизацию объектов высшего образования Курской области планируется направить около 3,5 млрд рублей из федерального бюджет...

15:00, 17 Июл ФБР ищет ИИ-суперкомпьютеры с ускорителями Nvidia и Google TPU для защищённой инфраструктуры Бюро рассматривает закупку систем для обучения и запуска больших языковых моделей, анализа данных и компьютерного зрения в государственных вычислител...

12:00, 06 Июн Google заключит со SpaceX сделку на $920 млн в месяц за облачные вычисления для ИИ-инфраструктуры Компания будет арендовать мощности с десятками тысяч GPU в дата-центрах SpaceX, чтобы покрыть растущий спрос на сервисы Gemini Enterprise на фоне мас...

15:00, 06 Июл Micron расширит производство HBM-памяти в Японии за $9,2 млрд на фоне бума ИИ-инфраструктуры Компания инвестирует в расширение фабрики в Хиросиме при поддержке японского правительства, усиливая конкуренцию на рынке высокоскоростной памяти для...

12:00, 06 Июн Google заключит со SpaceX ещё одну сделку: $920 млн в месяц за облачные вычисления для ИИ-инфраструктуры Компания будет арендовать мощности с десятками тысяч GPU в дата-центрах SpaceX, чтобы покрыть растущий спрос на сервисы Gemini Enterprise на фоне мас...

13:00, 01 Авг ИИ ушёл в бега: модели Claude самовольно взломали инфраструктуры сторонних организаций Компания Anthropic признала серьезный сбой: флагманские языковые модели Claude оказались за пределами изолированной среды и получили доступ к инфраст...

17:00, 03 Июн Сигнал подаёт само небо: как геофизики РАН оценивают риски для инфраструктуры по северному сиянию Северное сияние — это не только повод для красивых фотографий. Ученые нашли способ использовать его как природный детектор, предупреждающий об угрозе...

02:00, 05 Июн В России запущено серийное производство отечественного процессора «Байкал-М2» для критической информационной инфраструктуры Холдинг «Росэлектроника» (входит в госкорпорацию «Ростех») 4 июня 2026 года официально объявил о начале серийного выпуска микропроцессоров «Байкал-М2...

21:00, 05 Июл Екимов о велоспорте России: «Ждем развития дополнительной инфраструктуры. У нас любительский спорт уже в 4 раза обогнал профессиональный, и правильно делают» Трехкратный олимпийский чемпион, первый вице-президент Федерации велоспорта России Вячеслав Екимов рассказал, с какими проблемами в стране сталкивает...

02:00, 21 Июн Amazon начала внутреннюю проверку сотрудников, выступивших против расширения ИИ-центров обработки данных и призвавших к регулированию инфраструктуры ИИ Инженеров компании, давших показания в городском совете Сиэтла о рисках стремительного строительства дата-центров, проверяют на нарушение корпоративн...