マイクロソフト、DeadLockランサムウェアはサーバーダウン後も活動を継続できると警告

ランサムウェアのテイクダウンは、犯罪組織のインフラの一部を断ち切ることができます。しかしDeadLockは、そうしたインフラの一部が失われても復旧できるよう設計されています。

Microsoft Threat Intelligenceによると、このランサムウェアは分散型サービスを利用することで、個々のサーバーが遮断された後も被害者との通信手段を維持できるといいます。研究者らは2025年7月からこのRustベースのマルウェアの追跡を開始しました。

同社の分析では、こうした復旧を支える分散型サービスと、依然として攻撃対象になり得る従来型インフラの両方が明らかにされています。

分散型サービスに復旧機能を分散させるDeadLock

マイクロソフトによるDeadLockの分析では、感染したシステムに残される復旧ページの詳細が示されています。このページは、単一の固定アドレスに依存する代わりに、Polygon上のスマートコントラクトから現在のチャットプロキシを取得します。

防御側がプロキシを遮断したり停止させたりしても、攻撃者側はブロックチェーン上に保存されたアドレスを変更できます。既存の復旧ページは、差し替えられることなく再接続できるのです。

被害者との通信には暗号化チャネルを提供するSessionが使われる一方、窃取されたファイルはWasabiを通じて保存され、復旧ページを介して公開される仕組みになっています。

分散型の設計とはいえ、この攻撃キャンペーンは依然として防御側が妨害可能なインフラに依存しています。プロキシは遮断でき、Polygonへのアクセスも制限でき、外部にホストされたファイルも削除できます。したがって、こうしたランサムウェアインフラの妨害活動と同様の手法で、分散型サービスの外側に残るコンポーネントを標的にすることが可能です。

DeadLockの中核をなす、おなじみのランサムウェア戦術

2026年7月までに、同グループはリークサイト上に80件を超える侵害組織の情報を公開しました。その半数以上が欧州の組織で、被害はIT、製造業、物流、ホスピタリティ、鉱業といった業種に及んでいます。

攻撃者はまた、暗号化前にデータを窃取し、要求に応じなければ公開すると脅す二重恐喝の手口も用いています。窃取された情報は、組織が影響を受けたシステムの復旧を始めた後も、攻撃者に有利な交渉材料であり続ける可能性があります。

研究者らは、このマルウェアがセキュリティサービスやバックアップサービスを停止させられることを確認しました。またその暗号化処理は、CPUやメモリの使用率が上昇すると速度を落とし、感染したマシンの応答性を維持しやすくする仕組みになっています。大容量ファイルについては、使用不能にするまでの時間を短縮するため、部分的にのみ暗号化される場合があります。

マイクロソフトによると、DeadLockは複数のグループによって展開されています。観測されたアフィリエイトの1つは、以前LynxおよびINCランサウェアのエコシステムと関連していたことが確認されています。

サーバーのテイクダウンを見据えた対策計画

セキュリティチームは、インシデント対応中に攻撃者側のインフラが変化し得ることを織り込んでおく必要があります。検証済みのインシデント対応計画では、封じ込めの対象を被害を受けた環境に絞り、対応担当者が復旧を開始する前に侵害されたシステムやアカウントを確認できるようにしておくべきです。

対応にあたっての優先事項は次のとおりです。

• 被害を受けたエンドポイントから離れた場所でテレメトリを保全する。 DeadLockはWindowsのイベントログを消去し、以後のログ記録を無効化できるため、エンドポイントやIDに関するデータは、攻撃者が容易に改ざんできない一元管理システム上に確保しておく必要があります。
• 被害を受けたシステムを速やかに隔離する。 ネットワークセグメンテーションにより、対応担当者がどのホストやアカウントが侵害されたかを見極める間、それ以上のアクセスを制限できます。
• セキュリティ制御と復旧用コピーを保護する。 マイクロソフトは、ブロックモードでのEDR運用と改ざん防止機能の有効化を推奨しています。より広範なランサムウェア対策の一環として、信頼できるバックアップを攻撃者の手の届かない場所に保管しておきましょう。
• 復旧前にアクセス経路が排除されていることを確認する。 復旧したシステムをネットワークの信頼できる部分に再接続する前に、侵害された認証情報や永続化の仕組みを確認してください。

DeadLockのプロキシや交渉チャネルが失われたからといって、攻撃者が環境から排除されたことにはなりません。ランサムウェアからの復旧は、対応担当者が封じ込めを確認し、安全にシステムを復元できると判断した後にのみ開始すべきです。

あわせて読みたい: OpenAIのGPT-5.6-Cyberが照準を合わせる高度な脆弱性研究と、厳格に制限されたアクセスの下でのエクスプロイトテスト。