Die DeadLock Ransomware Polygon Smart-Contracts sind ein Beispiel dafür, wie sich Erpressungs-Software technisch weiterentwickelt. Sicherheitsforscher berichten, dass die Gruppe für Kommunikation, Datenleck-Bereitstellung und Verhandlungen auf eine dezentrale Infrastruktur setzt. Dadurch wird es für Ermittler und Betreiber von Gegenmaßnahmen deutlich schwerer, die Abläufe mit klassischen Shutdown-Strategien zu unterbrechen.
Im Fokus steht dabei nicht nur die Verschlüsselung der betroffenen Systeme, sondern auch der „Recovery“- und Kommunikationsbereich: Von Messaging über ein interaktives HTML-Chat-Element bis hin zur Bereitstellung von Leak-Inhalten – alles soll möglichst störungsresistent bleiben.
Warum DeadLock auf dezentrale Infrastruktur setzt
Microsoft Threat Intelligence beschreibt, dass DeadLock ein kombiniertes Ökosystem nutzt. Dazu gehört ein Messaging-Netzwerk namens Session sowie blockchain-gestützte Dienste, die Ressourcen speichern und ausliefern, die im Erpressungsprozess benötigt werden. Ziel ist eine höhere operative Resilienz: Wenn ein Teil der Infrastruktur ausfällt, sollen die Angreifer trotzdem weiter handlungsfähig bleiben.
Gleichzeitig berichten die Analysen, dass DeadLock nicht „nur“ ein einzelnes Setup verwendet. Laut den Beobachtungen wird die Ransomware von mehreren Akteuren eingesetzt, darunter auch ein Affiliate, der mit Lynx und INC-Ransomware in Verbindung gebracht wird.
DeadLock, Double Extortion und die typische Opferansprache
DeadLock wurde erstmals im Juli 2025 erkannt. Die Gruppe arbeitet mit dem Ansatz der Double Extortion: Zuerst werden Dateien in der Zielumgebung verschlüsselt. Danach erhöhen die Angreifer den Druck, indem sie damit drohen, exfiltrierte Daten öffentlich zu veröffentlichen.
Für das Vorgehen werden in den Meldungen konkrete Artefakte genannt: Dateien werden typischerweise mit der Erweiterung .dlock verschlüsselt. Zusätzlich ändern die Angreifer Symbole, indem sie eine benutzerdefinierte .ico-Datei auf das System schreiben. Außerdem wird das Wallpaper so verändert, dass die Botschaft „Your infrastructure DeadLocked“ erscheint und das Opfer aufgefordert wird, die Lösegeldnotiz zu öffnen.
Selektive Verschlüsselung und Kryptografie-Ansatz
Ein weiteres Merkmal ist ein selektives Verschlüsselungsmodell. Bestimmte Ordner, Dateierweiterungen und Dateinamen werden dabei vom Verschlüsselungsprozess ausgenommen. Auf kryptografischer Ebene setzt DeadLock auf eine hybride Konstruktion: Für die Dateiverschlüsselung wird Curve25519 (Elliptic-Curve-Kryptografie) mit dem Stream-Cipher XChaCha20 kombiniert.
Im Hintergrund ist zudem ein Mechanismus beschrieben, der die Auslastung steuern soll. Während der Verschlüsselung wird die Systemreaktionsfähigkeit offenbar durch Pausen geschützt, sobald Speicherwerte oder CPU-Last bestimmte Schwellen überschreiten.
Geofencing, Ausblendung und „Ransomware Hygiene“
Damit die Angriffe nicht in bestimmten Regionen unnötig auffällig werden, nutzt DeadLock eine Geofencing-Logik, die auf Sprache oder Land abzielt. Dadurch soll die Ausführung in Umgebungen vermieden werden, die mit Ländern verknüpft sind, die in Analysen mit ehemaligen sowjetischen Staaten oder mit dem CIS-Umfeld (Commonwealth of Independent States) in Verbindung stehen. Zusätzlich werden ausgewählte Länder im Nahen Osten ausgeschlossen.
Für die Abwehrumgehung und zur Reduzierung forensischer Spuren wird außerdem berichtet, dass Logs systematisch gelöscht werden. Ein Teil geschieht über Manipulationen in der Registry, um zukünftige Ereignisse weniger wahrscheinlich aufzuzeichnen.
Störungsresistente Erpressung: Session und die HTML-Recovery
In der Lösegeldnotiz wird das Opfer aufgefordert, Kontakt über die dezentrale, Ende-zu-Ende-verschlüsselte Messaging-App namens Session aufzunehmen. Laut Beschreibung sollen Opfer nach dem Teilen einer entschlüsselten Datei eine Bitcoin- oder Monero-Zahlung leisten.
Eine besonders auffällige Variante der Notiz setzt jedoch auf HTML: Es wird eine interaktive Seite namens „RECOVERY_CHAT.<UID>.html“ in die Wurzelverzeichnisse aller Laufwerke und in Desktop-Ordner abgelegt. Anders als eine reine Textnotiz ist die Seite eine Single-Page-Anwendung, die Ende-zu-Ende verschlüsseltes Chatten, einen paginierten Leak-Blog und einen Dateibrowser enthält – ohne einen klassischen Backend-Server auszuführen.
Microsoft beschreibt, dass die HTML-Seite als Alternative zur Session-App dient. Die Seite kommuniziert mit einem Server, der als Proxy fungiert. Die Details zu diesem Proxy werden offenbar über eine blockchainbasierte Vorgehensweise bereitgestellt und verwaltet.
DeadLock Ransomware Polygon: Proxy-Rotation über Smart Contracts
Der zentrale technische Knackpunkt ist die Nutzung von Polygon Smart Contracts. In der Analyse wird beschrieben, dass JavaScript innerhalb der HTML-Seite mit Polygon-Contracts interagiert, um die Adressen von Proxy-Servern dezentral rotiert zu bekommen. So lassen sich Proxy-URLs aktualisieren, ohne dass Angreifer an opferseitigen Domains oder an Domain-Registrierungen „anfassen“ müssen.
Aus Sicht von Group-IB ist das ein bemerkenswerter Mechanismus: Smart Contracts ermöglichen, dass Angreifer „unendlich viele Varianten“ einer solchen Infrastrukturtechnik erzeugen können. Praktisch bedeutet das: Selbst wenn ein Proxy oder eine konkrete Adresse unterbrochen wird, kann der Betreiber die Verweise relativ schnell austauschen, ohne dass die Opferkommunikation komplett zum Erliegen kommt.
Microsoft ordnet das als Weiterentwicklung klassischer Ransomware-Kommunikationswege ein. Die Architektur erhöht demnach die Wahrscheinlichkeit, dass Teile der Kommunikation, der Leak-Hosting- und der Verhandlungs-Infrastruktur trotz Störungen wiederhergestellt werden können.
Leak-Blog auf Polygon und der Wasabi-Ansatz
Auch für die Veröffentlichung von erbeuteten Daten wird berichtet, dass DeadLock auf einen blockchainbasierten Ansatz setzt. Die HTML-Seite bietet Zugriff auf einen Datenleck-Blog, dessen Inhalte auf der Polygon-Blockchain gehostet sein sollen. Dadurch können die geleakten Inhalte offenbar browsbar bereitgestellt werden, ohne einen traditionellen Webserver betreiben zu müssen.
Erwähnt wird dabei der Wasabi-Protokollbezug, der als Grundlage genutzt wird, um Inhalte bereitzustellen, ohne einen klassischen Server im üblichen Sinn zu verwenden. Für Verteidiger erhöht auch das die Hürde: Statt nur eine konkrete Server-IP zu blockieren, müssen unterschiedliche dezentrale oder blockchainnahe Komponenten berücksichtigt werden.
Ransomware-Implementation im Detail: Dienste, Shadow Copies und Selbstlöschung
Auf Windows-Seite wird eine PowerShell-Komponente beschrieben, die Dienste stoppt, die nicht in einer Allowlist aufgeführt sind. Zusätzlich soll verhindert werden, dass diese Dienste nach einem Neustart wieder automatisch starten.
Im Verlauf werden außerdem Volume Shadow Copies gelöscht, was die Wiederherstellung über Snapshots erschweren kann. Danach werden weitere Spurenbereinigungen durchgeführt: Das Malware-Setup löscht sein eigenes Binärmaterial und nutzt dabei Batch-Skripte, um sich nach erfolgreicher Verschlüsselung von der Platte zu entfernen.
Diese „Cleanup“-Schritte sind im Gesamtbild relevant, weil sie die forensische Untersuchung zusätzlich verlangsamen und die Zeit bis zur Analyse verkürzen können.
Opferzahlen und zeitlicher Verlauf
Zum aktuellen Stand der Berichte hat die Gruppe 96 Opfer beansprucht. In den Meldungen werden als Hauptregionen Italien, Spanien, Polen, Türkiye und die USA genannt. Gleichzeitig wird darauf hingewiesen, dass DeadLock in einigen Phasen ein relativ niedriges Profil gezeigt haben soll.
Ein Grund dafür könnte sein, dass die Gruppe in den Analysen nicht mit bekannten Affiliate-Programmen in Verbindung gebracht wird und kein klassisches Datenleck-Portal (DLS) im üblichen Sinne betrieben wurde. Laut Ransomware.Live wurde die erste Opfergruppe zudem erst Ende Mai 2026 entdeckt.
Was diese Architektur für die Verteidigung bedeutet
Die DeadLock Ransomware Polygon-Strategie zeigt, dass Gegenmaßnahmen nicht nur auf das Blockieren einzelner Domains oder Server beschränkt sein können. Wenn Proxy-Adressen per Smart Contracts rotieren und Leak-Inhalte ohne klassischen Serverzugriff angeboten werden, müssen Sicherheitsteams und Betreiber von Schutzmaßnahmen breiter denken.
Praktisch heißt das: Neben Netzwerk-Schutz und Incident Response gewinnt die frühzeitige Erkennung von Initialzugriffen und die schnelle Eindämmung an Bedeutung. Außerdem sollten Teams Annahmen über „abschaltbare“ Kommunikationskanäle regelmäßig überprüfen, sobald dezentrale Architekturen im Spiel sind.
Am Ende bleibt entscheidend, wie schnell Organisationen Anomalien bemerken und reagieren. Je früher die Angriffssequenz unterbrochen wird, desto geringer ist die Wahrscheinlichkeit, dass DeadLock die Kombination aus Verschlüsselung und Erpressung zu Ende bringt.
Quelle: https://thehackernews.com/2026/08/deadlock-ransomware-uses-polygon-smart.html
