DeadLockランサムウェア、暗号化前にWindows Defenderやバックアップ、イベントログを無効化

DeadLockは、従来型の侵入手口と、破壊されにくいよう分散化されたインフラを組み合わせた、金銭目的の新興ランサムウェアオペレーションです。

2025年7月に初めて確認されたこの攻撃は、企業データを暗号化すると同時に、窃取したデータの公開をちらつかせて脅迫する二重恐喝の手口を用います。

データ管理

この暗号化ツールの暗号化前ルーチンは、防御と復旧の両方を無力化するよう作り込まれています。

埋め込まれた設定情報をXORデコードした後、DeadLockはデフォルト言語およびUI言語の識別子を確認し、ロシア語、ウクライナ語、ベラルーシ語、複数のCIS諸国言語、またイラン、シリア、オマーン、イエメンを検知した場合は自身を削除します。

このジオフェンシング(地域制限)は攻撃者の特定につながるものではありませんが、特定地域を回避するパターンと一致しています。

管理者権限のないシステムでは、このRust製マルウェアはランダムな名前のCMDファイルを生成し、ShellExecuteWをRunAsで繰り返し呼び出すことで、UACの承認を強制的に得ようとします。

権限昇格に成功すると、SeDebugPrivilege、SeBackupPrivilege、SeRestorePrivilege、SeTakeOwnershipPrivilegeなどの関連権限が有効になります。

その後DeadLockはごみ箱を空にし、.dlock拡張子用のカスタムアイコンを登録した上で、暗号化の妨げになりそうなプロセスやサービスを停止します。

Windows DefenderのwindefendサービスやVSS、Windows Backup、Hyper-Vのコンポーネント、そしてActive Directoryサービスなどが、標的リストに含まれています。

プロセス強制終了リストには、MsMpEng、SmartScreen、クラウド同期クライアント、バックアップソフトウェア、リモートアクセスユーティリティ、PowerShell、タスクマネージャー、エクスプローラーが含まれます。

その狙いは二つあり、アプリケーションによって開かれたまま保持されているファイルを解放することと、防御側の目を欺きながらローカルの復旧手段を排除することです。

ログの破壊は特に徹底しています。このランサムウェアは、イベントログAPIを通じて、セキュリティ、システム、アプリケーション、PowerShellを含む標準的なWindowsのチャンネルを消去します。

さらにWINEVT Channelsのレジストリツリーを走査し、Enabledをゼロに設定した上で、ChannelAccessの権限を制限的なSDDL記述子に置き換えます。

Microsoft Threat Intelligenceの研究者らによると、2026年7月時点でDeadLockのブログには80件を超える被害者が名指しされており、その半数以上が欧州の組織で、IT、鉱業、物流、製造業、ホスピタリティ、消費財関連など世界各地の業種に及んでいます。

DeadLockランサムウェアの攻撃

最終段階では、wevtapi.dllを利用して、ハードコードされたチャンネル以外に登録されているチャンネルも列挙・消去し、カスタムやサードパーティ製のテレメトリも対象に含めます。

したがってインシデント対応者は、イベントチャンネルが存在しない、あるいは突然無効化されている状態を、活動の痕跡がないことの証拠としてではなく、DeadLockの重要な検知シグナルとして扱うべきです。

暗号化には、DeadLockはXChaCha20と、ファイルごとのCurve25519 ECDH、NaClのcrypto_boxによるメタデータのラッピングを組み合わせています。

各ファイルには新しい対称鍵素材と使い捨ての鍵ペアが割り当てられ、その後、被害者ごとに固有の.dlockという拡張子でリネームされます。

Microsoftは、この暗号方式の設計は堅牢であると評価しており、攻撃者の秘密鍵がなければ現実的な復旧手段は存在しないとしています。

大容量のファイルは、設定されたしきい値において512バイト単位で分散配置された部分のみが暗号化されるため、データベースやVMイメージ、バックアップに対する被害拡大が加速します。

メモリ使用率が29%を超えるか、CPU負荷が70%を超えた場合、新しいタスクの実行を一時停止するディスパッチゲートが組み込まれており、システムへの負荷を目立たなくすることで、挙動ベースの検知をすり抜けやすくしています。

暗号化後の一連の流れは、DeadLockランサムウェアを他と差別化する要素です。ローカルのRECOVERY_CHAT.<UID>.htmlアプリケーションは、Polygonのスマートコントラクトからプロキシアドレスとリークブログのコンテンツを取得し、オニオンルーティングによるSessionネットワークを通じて被害者とのやり取りを中継します。

このインターフェースでは、WasabiのS3互換サービスでホストされているファイルを表示できます。分散化によって、公開RPCエンドポイントや稼働中のプロキシ、オブジェクトストレージへの依存がなくなるわけではありませんが、ドメインの差し押さえや従来型のホスティングテイクダウンの効果を弱める結果になっています。

組織はまず、改ざん防止機能、ブロックモードでのEDR、Controlled Folder Access、そしてテスト済みの隔離されたバックアップを優先すべきです。大規模なサービス無効化、イベントログの設定変更、.dlockファイルの生成、壁紙の変更、そしてHTML復旧用の痕跡ファイルがないか調査してください。

Microsoftは、確認された展開活動を複数のグループと関連付けており、その中にはLynxおよびINCランサムウェアのエコシステムに属するアフィリエイトも含まれています。これは、DeadLockが単一の集団ではなく、アフィリエイト主導のアクセスモデルを通じて拡散している可能性を示しています。

アンチウイルス& マルウェア

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤ってアクセスやリンク化されるのを防ぐため、意図的に無害化してあります(例: [.])。再度有効な形式に戻す作業は、MISPやVirusTotal、SIEMなど管理されたスレットインテリジェンス基盤上でのみ行ってください。

2026年版Agentic SOC購入ガイドを活用する理由 主要8製品を徹底比較 – 2026年版購入ガイドをダウンロード