Strona wyciekowa bez serwera do przejęcia

DeadLock to operacja ransomware napisana w języku Rust, którą własni badacze bezpieczeństwa Microsoftu zaobserwowali po raz pierwszy w lipcu 2025 roku i opisali szczegółowo w technicznym wpisie na blogu opublikowanym 10 sierpnia 2026 roku. Podobnie jak większość współczesnych grup ransomware, DeadLock stosuje podwójne wymuszenie: szyfruje systemy ofiary i grozi opublikowaniem skradzionych danych, jeśli okup nie zostanie zapłacony. Microsoft zaobserwował także, że narzędzie jest wykorzystywane przez kilka grup, w tym podmiot powiązany z ekosystemami ransomware Lynx i INC, co pokazuje, że infrastruktura DeadLock jest już ponownie wykorzystywana, a nie prowadzona przez jedną zamkniętą grupę.

To, co wyróżnia DeadLock, to miejsce, w którym faktycznie znajdują się strona wyciekowa i infrastruktura negocjacyjna. Zamiast wynajmowanego serwera za dostawcą hostingu, DeadLock korzysta z dwóch inteligentnych kontraktów na blockchainie Polygon: jeden przechowuje aktualny adres proxy czatu, drugi wpisy na blogu wyciekowym. Przeglądarka odwiedzającego odczytuje oba poprzez darmowe zapytania tylko do odczytu kierowane do publicznych węzłów Polygon, bez potrzeby portfela kryptowalutowego, a operatorzy przełączają się między sześcioma różnymi publicznymi punktami dostępu, tak by żaden pojedynczy operator węzła nie mógł odciąć dostępu.

Dlaczego blockchain przetrwa dłużej niż dostawca hostingu

Konwencjonalna strona wyciekowa ransomware jest z założenia pojedynczym punktem awarii: działa na jednym serwerze, dostępnym przez konto hostingowe lub punkt wejścia Tor, a dostawca hostingu, rejestrator domen lub działanie organów ścigania może wyłączyć ją w ciągu popołudnia. Wersja DeadLock oparta na Polygon nie ma odpowiednika takiej słabości. 'Strona' to zestaw transakcji zapisanych w publicznym rejestrze, który tysiące niezależnych węzłów walidujących na całym świecie kopiują i weryfikują, a jej usunięcie oznaczałoby przepisanie historii blockchaina, od której zależą także inni, niezwiązani ze sprawą uczestnicy, co nie jest realistyczne.

Własna ocena Microsoftu dotycząca tego projektu jest jednoznaczna: architektura, jak twierdzi sama firma, prawdopodobnie zwiększa odporność infrastruktury komunikacyjnej, hostingu wycieków i negocjacji DeadLock, pozwalając operatorom wracać do działania po próbach zakłócenia przy jednoczesnym zachowaniu ciągłości dla ofiar. To godne uwagi przyznanie ze strony dostawcy, który jest najlepiej przygotowany, by to ocenić, i najwyraźniejszy jak dotąd dowód na to, że infrastruktura ransomware celowo przesuwa się w kierunku form, których operacje likwidacyjne nie mogą łatwo osiągnąć.

Session eliminuje ostatnie centralne słabe ogniwo

Nawet strona wyciekowa hostowana na blockchainie potrzebuje sposobu, by operator mógł rozmawiać z ofiarą, i to właśnie tu DeadLock zamyka swoją drugą lukę. Komunikacja między ofiarą a operatorem odbywa się przez Session, zdecentralizowany komunikator trasowany przez onion routing, zbudowany na sieci rojowej zamiast na centralnym serwerze, co daje obu stronom anonimowość bez uzależnienia od firmy, którą można by zmusić do wydania logów lub zamknięcia kont. DeadLock deterministycznie wyprowadza nawet tożsamość Session każdej ofiary z jej własnych danych logowania, więc nie jest potrzebny ani osobny krok rejestracji, ani osobny zapis.

Ma to znaczenie, ponieważ infrastruktura czatu była historycznie jednym z niewielu miejsc, w których organy ścigania mogły działać. Kanały Telegram i hostowane na Tor serwery czatu używane przez inne grupy ransomware mają centralnych operatorów lub scentralizowany hosting, które można poddać presji, przejąć lub zablokować. Session nie ma żadnego z tych elementów. W połączeniu ze stroną wyciekową na Polygon, DeadLock w praktyce wyeliminował oba scentralizowane punkty styku, na których opierały się wcześniejsze operacje likwidacyjne wobec grup ransomware.

Szyfrowanie w Rust i szybko rosnąca lista ofiar

Sam szyfrator jest zbudowany kompetentnie, nie tylko otaczająca go infrastruktura. DeadLock jest napisany w języku Rust i wykorzystuje hybrydowy projekt łączący kryptografię krzywych eliptycznych Curve25519 z szyfrem strumieniowym XChaCha20, generując unikalną, ulotną parę kluczy dla każdego pojedynczego pliku. Zaszyfrowane pliki otrzymują rozszerzenie .dlock. Samo w sobie nie jest to nic egzotycznego, ale w połączeniu ze zdecentralizowaną infrastrukturą dostarczania i negocjacji eliminuje typowy łatwy cel, możliwy do przejęcia serwer lub możliwy do zablokowania kanał czatu, na którym zespoły reagowania opierały się w poprzednich przypadkach.

Lista ofiar rośnie szybko. Microsoft naliczył ponad 80 organizacji opublikowanych na stronie wyciekowej DeadLock do lipca 2026 roku, ponad połowę z nich w Europie, obejmujących technologie informacyjne, górnictwo, transport i logistykę, przemysł wytwórczy, hotelarstwo i dobra konsumpcyjne, wśród innych sektorów, w Europie, Azji, Ameryce Północnej, Ameryce Południowej i Afryce. Odrębna analiza techniczna serwisu The Hacker News podaje wyższą liczbę, blisko 96, z największymi koncentracjami we Włoszech, Hiszpanii, Polsce, Turcji i Stanach Zjednoczonych, a różnica ta wynika prawdopodobnie z momentu i metody liczenia, a nie ze sprzeczności.

Co się zmienia w reagowaniu na incydenty dla właścicieli firm przemysłowych

Przemysł wytwórczy znajduje się bezpośrednio wśród sektorów ofiar wymienianych przez Microsoft, a dla polskich właścicieli nie jest to szczegół bez znaczenia, zwłaszcza że The Hacker News wymienia Polskę wśród krajów z największą koncentracją ofiar DeadLock. Podsektory przemysłowe, w tym producenci maszyn, elektroniki i części motoryzacyjnych, są klasyfikowane jako podmioty ważne na mocy unijnej dyrektywy NIS2, co oznacza, że obowiązki zgłaszania incydentów oraz minimalny poziom zarządzania ryzykiem cybernetycznym obowiązują już przed wystąpieniem ataku. Incydent w stylu DeadLock to dokładnie scenariusz, dla którego napisano przemysłowy zakres NIS2.

Praktyczna zmiana dotyczy tego, jak dużą wagę plan reagowania na incydenty powinien przypisywać marginesowi negocjacyjnemu w porównaniu z gotowością kopii zapasowych. Plany oparte na założeniu, że 'możemy doprowadzić do zamknięcia strony wyciekowej' albo że 'organy ścigania mogą zakłócić ich komunikację', zakładały możliwy do przejęcia serwer i możliwy do zablokowania kanał czatu, a DeadLock nie ma żadnego z nich. Nie oznacza to, że negocjacje są bezużyteczne, ale oznacza, że siatka bezpieczeństwa, czyste, przetestowane kopie zapasowe offline wraz z przećwiczonym procesem odzyskiwania, musi teraz dźwigać większy ciężar niż wcześniej, ponieważ opcja przerwania działania, na której zespoły reagowania historycznie polegały, nie jest już wiarygodnie dostępna wobec tego operatora.

Czytaj dalej: CVSS 9.6: luka uderzyła w load balancery 792 razy  |  Autonomiczne agenty AI zaatakowały rząd Tajwanu