DeadLock Ransomware Memanfaatkan Blockchain untuk Menahan Upaya Takedown Infrastruktur

Kelompok ransomware DeadLock menggunakan infrastruktur terdesentralisasi berbasis blockchain untuk melindungi komunikasi dengan korban sekaligus mempertahankan aktivitas situs kebocoran data dari upaya takedown.

DeadLock mulai muncul pada pertengahan 2025 dan menjalankan skema double extortion, yaitu mencuri data korban dan mengenkripsi file untuk meningkatkan tekanan agar korban membayar tebusan.

Hingga Juli 2026, situs kebocoran DeadLock telah mencantumkan sekitar 80 organisasi, sebagian besar berasal dari Eropa. Korbannya berasal dari berbagai sektor, termasuk IT, pertambangan, transportasi, manufaktur, perhotelan, serta barang konsumsi.

Peneliti Microsoft menemukan bahwa ransomware tersebut telah digunakan oleh beberapa kelompok, termasuk salah satu affiliate yang sebelumnya dikaitkan dengan ekosistem ransomware Lynx dan INC.

Blockchain Digunakan untuk Menyimpan Konfigurasi

Operator DeadLock menerapkan pendekatan yang berbeda dari ransomware pada umumnya dengan memanfaatkan Polygon blockchain untuk menyimpan configuration data dan konten yang digunakan pada situs kebocoran.

Alih-alih bergantung pada URL Tor tradisional, halaman HTML yang ditampilkan kepada korban akan mengambil alamat chat proxy terbaru dengan melakukan query ke smart contract pada jaringan Polygon melalui mekanisme read-only eth_call.

Dengan cara ini, alamat infrastructure yang digunakan untuk berkomunikasi dengan korban tidak perlu ditanam secara permanen di dalam aplikasi yang digunakan oleh korban.

Jika operator ingin mengganti chat proxy, mereka dapat memperbarui informasi yang tersimpan pada blockchain tanpa harus memodifikasi aplikasi yang sudah berada di sisi korban.

Penyimpanan alamat command-and-control (C2) atau konfigurasi malware di blockchain sebenarnya bukan teknik baru bagi pelaku kejahatan siber. Namun, penggunaannya dalam operasi ransomware masih tergolong jarang.

Memanfaatkan Session dan Wasabi

DeadLock tidak hanya menggunakan Polygon untuk meningkatkan ketahanan infrastrukturnya.

Komunikasi dengan korban dilakukan melalui Session network, sebuah jaringan terdesentralisasi yang digunakan untuk mengenkripsi komunikasi.

Sementara itu, file hasil pencurian yang ditawarkan kepada korban diakses melalui layanan cloud Wasabi.

Kombinasi berbagai layanan tersebut membuat operator DeadLock tidak terlalu bergantung pada domain tradisional dan web server yang dapat ditutup oleh penegak hukum.

Arsitektur tersebut juga memungkinkan operator mengganti chat proxy tanpa perlu mengubah aplikasi yang digunakan korban.

Dengan demikian, apabila salah satu bagian dari infrastructure berhasil diblokir atau ditakedown, operator masih memiliki jalur lain untuk mempertahankan operasinya.

Ketahanan Infrastruktur Tidak Sepenuhnya Absolut

Meski menggunakan berbagai teknologi terdesentralisasi, Microsoft menilai infrastruktur DeadLock tetap memiliki sejumlah titik ketergantungan.

Komunikasi korban masih membutuhkan custom proxy agar dapat berfungsi. Selain itu, public Polygon RPC endpoint harus tetap dapat diakses untuk mengambil informasi dari blockchain.

File yang dicuri dan disimpan di Wasabi juga masih dapat dihapus atau ditindak berdasarkan mekanisme yang tersedia pada layanan tersebut.

Artinya, blockchain memang meningkatkan ketahanan operasi DeadLock terhadap upaya disruption dan takedown, tetapi tidak membuat infrastrukturnya sepenuhnya kebal terhadap tindakan penegakan hukum maupun gangguan teknis.

DeadLock Menggunakan Enkripsi XChaCha20

Selain membahas infrastructure, Microsoft juga menganalisis mekanisme enkripsi yang digunakan DeadLock.

Ransomware tersebut menggunakan XChaCha20 untuk mengenkripsi file, dengan setiap file mendapatkan encryption key yang unik.

Key tersebut kemudian dilindungi menggunakan algoritma elliptic curve Curve25519.

Sebelum proses enkripsi dimulai, malware melakukan sejumlah tindakan untuk mempersiapkan sistem Windows.

DeadLock dapat menghapus backup, menghentikan proses virtualisasi, serta mengosongkan Recycle Bin. Langkah tersebut bertujuan mengurangi kemungkinan korban memulihkan data menggunakan mekanisme recovery yang tersedia pada sistem.

Ransomware kemudian mengenkripsi direktori tertentu yang bukan merupakan bagian dari direktori sistem.

Penggunaan CPU dan RAM Dibuat Terbatas

DeadLock dirancang agar proses enkripsi tidak langsung membuat komputer korban sepenuhnya tidak dapat digunakan.

Ransomware tersebut dapat menggunakan hingga 29% memory dan sekitar 70% CPU yang tersedia.

Pembatasan ini memungkinkan korban tetap menggunakan komputer selama proses enkripsi berlangsung tanpa mengalami penurunan performa yang terlalu drastis.

Untuk file berukuran besar, DeadLock juga menggunakan teknik intermittent encryption. Data dienkripsi dalam blok berukuran 512 byte sehingga proses enkripsi dapat berlangsung lebih cepat, sementara file tetap dibuat sebagian besar tidak dapat dipulihkan tanpa decryptor.

Teknik tersebut memungkinkan ransomware menyelesaikan proses enkripsi dengan lebih efisien dibandingkan mengenkripsi setiap bagian file secara penuh.

File Diubah dan Sistem Ditandai sebagai Terkunci

Setelah dienkripsi, file korban diberi nama baru yang mengandung identifier khusus untuk korban dan menggunakan ekstensi .dlock.

DeadLock juga mengubah icon file serta membuat ransom note dalam format TXT.

Selain itu, wallpaper desktop korban diganti untuk menunjukkan bahwa sistem telah dikunci oleh ransomware.

Perubahan tersebut berfungsi sebagai pemberitahuan visual bahwa proses enkripsi telah selesai atau sedang berlangsung dan korban harus mengikuti instruksi operator untuk mendapatkan kembali akses ke data.

Ransom Diminta dalam Bitcoin atau Monero

Operator DeadLock meminta pembayaran ransom menggunakan Bitcoin atau Monero.

Sebagai imbalan atas pembayaran, attacker menawarkan decryptor untuk memulihkan file korban.

Selain decryptor, operator juga menjanjikan penghapusan data yang telah dicuri. Mereka juga menawarkan informasi mengenai initial access vector yang digunakan dalam serangan serta sejumlah rekomendasi keamanan.

Model tersebut menunjukkan bahwa DeadLock menggabungkan pemerasan berbasis enkripsi dengan ancaman publikasi data hasil pencurian.

DeadLock Menghindari Sejumlah Wilayah

Menariknya, ransomware DeadLock memiliki konfigurasi untuk menghindari sistem yang berada di sejumlah wilayah tertentu.

Target yang dikecualikan mencakup negara-negara di kawasan bekas Uni Soviet dan Commonwealth of Independent States (CIS).

Selain kawasan tersebut, konfigurasi DeadLock juga mengecualikan Iran, Suriah, Oman, dan Yaman.

Pengaturan semacam ini merupakan karakteristik yang dapat ditemukan pada sejumlah operasi ransomware, di mana malware sengaja menghindari eksekusi terhadap sistem di wilayah tertentu.

Cara Melindungi Sistem dari DeadLock

Untuk menghadapi ancaman DeadLock, Microsoft merekomendasikan organisasi memperkuat perlindungan endpoint dengan sejumlah mekanisme keamanan.

Perlindungan antivirus berbasis cloud, Endpoint Detection and Response (EDR) dalam block mode, tamper protection, automated investigation and remediation, serta automatic attack disruption disarankan untuk diaktifkan.

Organisasi juga disarankan menggunakan Controlled Folder Access untuk membatasi perubahan file yang tidak sah.

Selain itu, attack surface reduction rules dapat digunakan untuk memblokir executable yang tidak tepercaya serta membatasi teknik lateral movement melalui PsExec dan WMI.

Pendekatan tersebut penting karena perlindungan terhadap ransomware tidak cukup hanya mengandalkan kemampuan antivirus mendeteksi file berbahaya. Pembatasan eksekusi, pengendalian perubahan file, pencegahan lateral movement, serta kemampuan mendeteksi aktivitas mencurigakan secara otomatis dapat membantu menghentikan serangan sebelum proses enkripsi dan pencurian data berkembang lebih jauh.

Sumber: Microsoft