DeadLock ransomware grubu, merkezi olmayan bir altyapı kullanarak kurban iletişimini ve veri sızıntı operasyonlarını kolaylaştırmak için Polygon akıllı sözleşmelerini kullanıyor. Bu, operasyonel dayanıklılığı artırmaya yönelik bir girişimdir.
Microsoft Tehdit İstihbarat ekibi, "Kurban iletişimi ve veri sızıntı operasyonları için merkezi olmayan bir altyapı kullandıklarını" belirtti. Bu altyapı, Session mesajlaşma ağı ve blockchain destekli hizmetleri birleştirerek şantaj sürecinde kullanılan kaynakları depolama ve teslimatını sağlıyor.
DeadLock ransomware ilk olarak Temmuz 2025'te tespit edildi ve çift şantaj taktiği kullanarak kurban ortamlarını şifreliyor ve sızdırılan verilerin kamuoyuna açıklanması tehdidiyle baskı yapıyor. Bu ay itibarıyla, grup 96 kurban iddia etti ve bunların çoğu İtalya, İspanya, Polonya, Türkiye ve ABD'de bulunuyor.
Singapur merkezli Group-IB, Ocak ayında yayımlanan bir analizde, grubun bilinen bir affiliate programı ile ilişkili olmaması ve veri sızıntı sitesi (DLS) eksikliği nedeniyle diğerlerinden daha düşük bir profile sahip olduğunu belirtti. Ransomware.Live'a göre, ilk kurbanlar ancak Mayıs 2026'nın sonlarında keşfedildi.
Grubun gerçekleştirdiği saldırılar, dosyaları ".dlock" uzantısıyla şifreliyor, özel bir ".ico" dosyasını diskte yazarak dosya simgelerini değiştiriyor ve kurbanın duvar kağıdını "Altyapınız DeadLocked" mesajını görüntülemesi ve fidye notunu açması için değiştiriyor.
Ransomware, seçici şifreleme modelini benimseyerek belirli dizinleri, dosya uzantılarını ve dosya adlarını şifrelemeden hariç tutuyor. Dosya şifreleme için Curve25519 eliptik-eğri kriptografisi ile XChaCha20 akış şifresini birleştiren bir melez kriptografik tasarım kullanıyor.
