Een lekpagina zonder server om in beslag te nemen

DeadLock is een in Rust geschreven ransomware-operatie die Microsofts eigen beveiligingsonderzoekers voor het eerst waarnamen in juli 2025 en uitgebreid beschreven in een technische blog die op 10 augustus 2026 werd gepubliceerd. Zoals de meeste moderne ransomwaregroepen past DeadLock dubbele afpersing toe: het versleutelt de systemen van een slachtoffer en dreigt gestolen gegevens te publiceren als er niet wordt betaald. Microsoft heeft ook waargenomen dat de tool wordt ingezet door meerdere groepen, waaronder een partner met banden met de ransomware-ecosystemen Lynx en INC, wat aantoont dat de infrastructuur van DeadLock al wordt hergebruikt in plaats van door een enkele gesloten groep te worden gedraaid.

Wat DeadLock onderscheidt, is waar de lekpagina en de onderhandelingsinfrastructuur daadwerkelijk staan. In plaats van een gehuurde server achter een hostingprovider gebruikt DeadLock twee smart contracts op de Polygon-blockchain: het ene slaat het huidige adres van de chatproxy op, het andere de berichten van de lekblog. De browser van een bezoeker leest beide uit via gratis alleen-lezen verzoeken aan publieke Polygon-nodes, zonder dat een cryptowallet nodig is, en de operators wisselen tussen zes verschillende publieke endpoints zodat geen enkele nodebeheerder de toegang kan afsluiten.

Waarom een blockchain langer standhoudt dan een hostingprovider

Een conventionele ransomware-lekpagina is naar ontwerp een enkel storingspunt: hij staat op een server, bereikbaar via een hostingaccount of een Tor-toegangspunt, en een hostingprovider, registrar of opsporingsactie kan hem in een middag offline halen. De op Polygon gebaseerde versie van DeadLock heeft geen vergelijkbaar zwak punt. De 'site' is een reeks transacties die zijn vastgelegd in een openbaar register en die duizenden onafhankelijke validatorknooppunten wereldwijd kopiëren en controleren, en het verwijderen ervan zou betekenen dat blockchain-geschiedenis wordt herschreven waarvan ook andere, niet-betrokken deelnemers afhankelijk zijn, wat niet realistisch is.

Microsofts eigen inschatting van het ontwerp is direct: de architectuur verhoogt, in de woorden van het bedrijf, waarschijnlijk de veerkracht van de communicatie-, lekhosting- en onderhandelingsinfrastructuur van DeadLock, waardoor de operators zich kunnen herstellen van verstoringspogingen terwijl de continuïteit voor slachtoffers behouden blijft. Dat is een opmerkelijke erkenning van de leverancier die het best geplaatst is om dit te beoordelen, en het is tot nu toe het duidelijkste bewijs dat ransomware-infrastructuur bewust evolueert naar vormen die ontmantelingsoperaties niet gemakkelijk kunnen bereiken.

Session sluit de laatste centrale zwakke plek

Zelfs een op blockchain gehoste lekpagina heeft een manier nodig waarop de operator met het slachtoffer kan praten, en dat is waar DeadLock zijn tweede gat dicht. De communicatie tussen slachtoffer en operator verloopt via Session, een gedecentraliseerde, via onion routing geleide messenger die op een zwermnetwerk is gebouwd in plaats van op een centrale server, wat beide partijen anonimiteit geeft zonder dat een van beide afhankelijk is van een bedrijf dat gedwongen kan worden logs af te geven of accounts te sluiten. DeadLock leidt zelfs de Session-identiteit van elk slachtoffer deterministisch af uit diens eigen inloggegevens, zodat geen aparte registratiestap en geen apart record nodig zijn.

Dit is van belang omdat chatinfrastructuur historisch een van de weinige plekken was waar opsporingsdiensten konden ingrijpen. Telegram-kanalen en op Tor gehoste chatservers die andere ransomwaregroepen gebruiken, hebben centrale beheerders of centrale hosting die onder druk gezet, in beslag genomen of geblokkeerd kunnen worden. Session heeft geen van beide. In combinatie met de lekpagina op Polygon heeft DeadLock in de praktijk beide centrale aanknopingspunten weggenomen waarop eerdere ontmantelingsacties tegen ransomwaregroepen steunden.

Rust-versleuteling en een snelgroeiende slachtofferlijst

Ook de encryptor zelf is vakkundig gebouwd, niet alleen de infrastructuur eromheen. DeadLock is geschreven in Rust en gebruikt een hybride ontwerp dat Curve25519 elliptische-curvecryptografie combineert met de XChaCha20-streamcipher, waarbij voor elk afzonderlijk bestand een uniek, kortstondig sleutelpaar wordt gegenereerd. Versleutelde bestanden krijgen de extensie .dlock. Op zich is niets hiervan exotisch, maar in combinatie met gedecentraliseerde aflever- en onderhandelingsinfrastructuur verdwijnt precies het gebruikelijke zachte doelwit, een in beslag te nemen server of een blokkeerbaar chatkanaal, waarop responders in eerdere zaken leunden.

De slachtofferlijst groeit snel. Microsoft telde tot juli 2026 meer dan 80 organisaties die op de lekpagina van DeadLock waren gepubliceerd, meer dan de helft daarvan in Europa, verspreid over informatietechnologie, mijnbouw, transport en logistiek, productie, horeca en consumentengoederen, naast andere sectoren, verspreid over Europa, Azië, Noord-Amerika, Zuid-Amerika en Afrika. Een aparte technische analyse van het medium The Hacker News komt op een hoger aantal uit, rond de 96, met de zwaarste concentraties in Italië, Spanje, Polen, Turkije en de Verenigde Staten, een verschil dat waarschijnlijk eerder door timing en telmethode wordt verklaard dan door een tegenstrijdigheid.

Wat er verandert voor de incidentrespons van productiebedrijven

Productie staat rechtstreeks tussen de slachtoffersectoren die Microsoft noemt, en dat is voor Europese eigenaren geen bijzaak, zeker niet in Nederland waar de maakindustrie een substantieel deel van de export voor zijn rekening neemt. Productiesubsectoren, waaronder fabrikanten van machines, elektronica en voertuigonderdelen, zijn onder de EU-richtlijn NIS2 geclassificeerd als belangrijke entiteiten, wat betekent dat meldplichten voor incidenten en een minimumniveau van cyberrisicobeheer al gelden voordat een aanval plaatsvindt. Een incident in de stijl van DeadLock is precies het scenario waarvoor het productiebereik van NIS2 is geschreven.

De praktische verschuiving zit in hoeveel gewicht een incidentresponsplan moet geven aan onderhandelingsruimte tegenover back-upgereedheid. Plannen die zijn gebouwd op het idee dat 'we de lekpagina kunnen laten sluiten' of dat 'opsporingsdiensten hun communicatie kunnen verstoren' gingen uit van een in beslag te nemen server en een blokkeerbaar chatkanaal, en DeadLock heeft geen van beide. Dat maakt onderhandelen niet nutteloos, maar het betekent wel dat het vangnet, schone, geteste, offline back-ups samen met een ingeoefend herstelproces, meer gewicht moet dragen dan voorheen, omdat de onderbrekingsoptie waarop responders historisch rekenden tegen deze actor niet meer betrouwbaar beschikbaar is.

Lees hierna: CVSS 9.6-lek trof load balancers 792 keer  |  Autonome AI-agenten vielen Taiwans overheid aan