DeadLockランサムウェア、分散型インフラとブロックチェーン技術で恐喝基盤の耐障害性を強化

要点

• ランサムウェアグループ「DeadLock」が、テイクダウンや法執行機関による妨害を回避するため、ブロックチェーンや分散型メッセージングを活用した恐喝基盤を運用していることが明らかになった。
• 被害者の端末に生成されるHTMLファイルは単一ページアプリケーション（SPA）として動作し、外部サーバーなしで暗号化チャットやデータ漏洩ブログ機能を提供する。
• 暗号化処理には楕円曲線暗号「Curve25519」とストリーム暗号「XChaCha20」のハイブリッド方式を採用し、システム負荷を検知して暗号化を一時停止する機能を備える。
• これまでに米国、イタリア、スペイン、ポーランド、トルコなどを中心に96件の組織が標的となっており、複数の攻撃者グループによって展開されている。

---

米Microsoftの脅威インテリジェンスチーム（Microsoft Threat Intelligence）は2026年8月10日、暗号資産ネットワークなどの分散型インフラを組み合わせて活動するランサムウェア「DeadLock」の分析結果を公表した。復旧交渉や漏洩データの公開プロセスにおいて従来の単一サーバーに依存しない構造を構築し、インフラの停止や差し押さえへの耐性を高めているという。

DeadLockは複数の脅威アクターによって実環境への展開が行われており、過去に「Lynx」や「INC」といった他のランサムウェアに関与していたアフィリエイト（攻撃実行者）による利用も確認されている。

低プロファイルを保ちながら96組織へ被害を拡大

DeadLockは2025年7月に初めて観測されたランサムウェアで、システム内のファイルを暗号化するだけでなく、機密データを外部へ窃取して公開を盾に金銭を要求する「二重恐喝（Double Extortion）」の手口をとる。

脅威情報追跡プラットフォーム「Ransomware.Live」の集計によると、同グループによる被害はイタリア、スペイン、ポーランド、トルコ、米国などを中心に累計96件に達している。セキュリティ企業Group-IBが2026年1月に公開した分析によると、DeadLockは一般的なランサムウェアのような公開データ漏洩サイト（DLS）を当初運用せず、公のアフィリエイトプログラムも持たなかったため、他の著名なグループと比べて目立たない状態を維持してきた。最初のまとまった被害が外部から認知されたのも、2026年5月下旬以降だったという。

サーバー不要で動くHTML型の対話インフラ

DeadLockの最大の特徴とされているのが、侵害した端末上に生成する身代金要求ファイル（ランサムノート）の構造だ。テキスト形式のファイルに加え、ドライブのルートディレクトリやデスクトップ上に「RECOVERY_CHAT.<UID>.html」というHTMLファイルを配置する。

Microsoftによると、このHTMLファイルは単なる文書ではなく、独立した対話型Webアプリケーション（SPA：単一のWebページで動的に画面を切り替える構成）として設計されている。外部のWebサーバーを介することなく、被害者のブラウザ上でエンドツーエンド暗号化チャット、複数ページで構成されるデータ漏洩ブログ、ファイルブラウザーの各機能を完結して提供する。

また、HTMLファイルを用いない連絡手段としては、分散型の暗号化メッセージングアプリ「Session」の導入を要求する。被害者に対してファイル1件のテスト復号を提示した上で、ビットコイン（Bitcoin）またはモネロ（Monero）での身代金支払いを求める。要求ノート内では、侵入経路をまとめた「セキュリティレポート」の提供や、支払いに応じた組織に対する再攻撃防止の保証などを謳う記述も確認されている。

システム負荷を監視する暗号化エンジン

攻撃を実行するバイナリはプログラミング言語Rustで記述されており、特定のディレクトリやファイル形式を除外しながら選択的に暗号化を実行する。暗号化処理には、鍵交換を行う楕円曲線暗号「Curve25519」と高速なストリーム暗号「XChaCha20」を組み合わせたハイブリッド暗号設計が用いられている。

暗号化が施されたファイルには「.dlock」という拡張子が付与され、システム内のアイコンファイルが書き換えられるほか、デスクトップの壁紙が「Your infrastructure DeadLocked」というメッセージに差し替えられる。

さらに、暗号化処理中に端末の応答性が極端に低下して管理者に察知されるのを防ぐため、リソース監視機能が組み込まれている。端末のメモリ使用率が29%を超えるか、CPU負荷が70%を超えた場合には自動的に暗号化処理を一時停止し、閾値を下回るまで待機する仕組みだ。攻撃者は侵害した端末の遠隔操作にリモートデスクトップソフトウェア「AnyDesk」を使用している。

痕跡消去と標的の地域制限

DeadLockは防御回避やフォレンジック調査の妨害を目的とした自己隠蔽処理も徹底している。Windows環境向けの実装では、PowerShellスクリプトを用いて事前に許可リストに登録されていないサービスを停止させ、OS再起動後の自動実行を無効化する。あわせて、バックアップ復元を防ぐためにボリュームシャドウコピーを削除し、実行したスクリプト自身を消去する。

イベントログの消去やレジストリ操作によるログ記録機能の無効化も行われ、暗号化がすべて完了した最終段階では、別途生成したバッチスクリプトを介してランサムウェア自身の実行ファイルをディスク上から完全に削除する。

なお、同マルウェアには地域制限（ジオフェンシング）機能が実装されており、旧ソビエト連邦諸国や独立国家共同体（CIS）加盟国、および一部の中東諸国に関連する言語・システム環境が検出された場合には、処理を実行せずに終了する設計となっている。