DeadLock 勒索病毒解密与数据恢复

DeadLock 于 2025 年 7 月被首次公开记录，最早样本可追溯到 2025 年 6 月底。公开研究未发现它与老牌家族存在改名或代码继承关系，应按新团伙对待。它头一年几乎不曝光，直到 2026 年 6 月才上线泄露站——ZeroFox 于 6 月 16 日首次观察到时，站上已积压约 80 家受害者。

2026 年 8 月微软与 Group-IB 先后发布详细分析。最受关注的不是加密算法，而是「去中心化勒索基础设施」：C2 代理地址写入 Polygon 智能合约并可轮换，泄露站文章由第二个合约提供，谈判走 Session 通讯，窃取数据挂在 Wasabi 对象存储上，传统的域名封禁与服务器下架很难一次性打断。

受害规模：泄露站累计公开的受害单位在 2026 年 9 月初达到约 101 家（第三方勒索监测平台统计），超过一半位于欧洲，行业分布以制造业最为集中，另涉及 IT、矿业、运输等。需要说明的是，泄露站自 2026 年 8 月下旬起未见新增公开条目，clearnet 域名一度无法解析，但尚无执法查封或团伙关停的公开信息，仍应按活跃威胁对待。

微软的分析指出它并非公开招募附属的 RaaS，但已被多个团伙投放，包括同时活跃于 Lynx、INC 生态的攻击者。目前没有公开报告确认其针对中国大陆企业的定向攻击，也未见国内厂商发布中文分析。

后缀：加密文件在原名后追加「受害者 ID + .dlock」，ID 是一串短十六进制字符、同一环境内统一，如 report.xlsx 变为 report.xlsx.F8C6A8.dlock。公开样本中出现的是 6 位，但微软报告中该字段被打码，不同批次是否等长尚无定论，识别时以「原名 + 一段十六进制 + .dlock」这一结构为准。

勒索信：早期样本投放 READ ME.[ID].txt；当前版本投放 HOW_RECOVER.[ID].txt 与 RECOVERY_CHAT.[ID].html。后者是自带界面的谈判客户端，含「Blog」标签页，内容直接从 Polygon 合约读取，并引导受害者安装 Session 联系。公开披露的样本中未见邮箱联系方式。

图标与桌面：加密器把内嵌的图标文件写入 C:\ProgramData[ID].ico，并在注册表中把它注册为 .dlock 扩展名的默认图标，因此全盘加密文件会显示同一个自定义图标，辨识度很高；桌面壁纸同时被替换为告知文件已被加密和窃取、要求联系攻击者的提示页（各报告未给出统一的壁纸文字，不宜据此比对）。

其他迹象：常见 AnyDesk 被静默安装、RDP 与 RemoteRegistry 被启用；事件日志通道被逐个清空并在注册表中禁用；加密完成后加密器会生成批处理删除自身，现场往往找不到加密器主体。

需要先说清楚的一点：DeadLock 的初始入口至今没有公开定论。Group-IB 明确表示初始访问途径未知，微软的分析也未披露；事件响应侧只观察到攻击者使用了有效的远程访问账号，但凭据从何而来（钓鱼、爆破、信息窃取木马日志还是初始访问经纪人）没有任何公开报告予以确认。因此不要按某一种入口来做排查，应当把全部远程访问面一并核查。

已被公开记录的入侵后行为如下，整体特征是手工操作、节奏偏慢——目前记录最完整的一起事件中，从攻陷到投放加密器约 5 天：

• 以有效账号登录：使用被攻陷的远程桌面与域账号进入，行为在日志中接近正常管理员；
• 持久化：把 fDenyTSConnections 置 0 并放行 3389 入站规则以启用远程桌面，启动 RemoteRegistry 服务，同时静默安装 AnyDesk（自动启动、关闭更新、设置无人值守访问密码）作为第二条远控通道；
• 内网侦察：用 nltest 定位域控、net localgroup /domain 查特权组、quser 看活动会话、ping 摸可达主机，全部依赖系统自带命令；
• 横向移动：以远程桌面和 MMC 管理控制台手工操作为主，而非脚本化批量推送；
• 对抗终端防护：有事件分析报告记录到 BYOVD 手法，即加载带合法签名的易受攻击驱动，从内核态结束终端防护进程。该细节目前只见于单一厂商的事件分析，微软与 Group-IB 的公开报告未予佐证，具体驱动与漏洞编号此处不引用；
• 数据外传：攻击者宣称先窃取后加密，并以泄露站公开相要挟；但截至目前没有公开报告确认其使用的外传工具或落地存储，现场必须靠自己的流量与日志证据来判定是否真的发生外传。

样本带有语言/区域开关：检测到俄语、乌克兰语、白俄罗斯语、哈萨克语、乌兹别克语等独联体及前苏联语言，以及波斯语、叙利亚语等，另含阿曼、也门，即立即自删除并退出，不执行加密。这类开关通常指向运营方所在区域。

算法：当前版本用 Rust 编写。文件内容以 XChaCha20 加密，每个文件一把一次性密钥；该密钥再由一次性 Curve25519 临时密钥对与攻击者公钥做 ECDH，用派生出的密钥封装后连同元数据写入文件，无公开可利用缺陷。

分级间歇加密：按文件大小分档处理。小文件全量加密；约 50 MB 以上转为间歇加密，以 512 字节为块按固定间隔跳跃覆盖，文件越大加密比例越低——约 50 MB 起约 50%，约 118 MB 起约 25%，约 500 MB 起约 10%，约 1 GB 以上另用分块模式。微软明确指出这是针对数据库、虚拟机镜像与备份等大文件的提速优化。其直接后果是：业务当场不可用，但这些大文件内部仍保留大量未被覆盖的原始区块，为结构化修复留出空间。

破坏恢复能力：停止并禁用一批妨碍文件访问的服务，包括 windefend、卷影复制与备份相关的 vss / swprv / wbengine、Hyper-V 的 vmcompute / vmms、活动目录的 adws / ntds / kdc；结束 msmpeng、onedrive、dropbox、anydesk、explorer、powershell 等进程；通过事件日志 API 枚举并清空每一个日志通道，再在注册表中逐个禁用。早期版本还会针对若干主流商业备份软件的服务。

关于卷影的重要澄清：公开分析记录的是「停止并禁用卷影复制服务」，并未明确记载使用 vssadmin、wmic 等命令删除已有的卷影副本。这与多数家族的行为不同，意味着现场仍有可能存在未被销毁的卷影副本，必须逐台实测核查，不要先入为主地认为卷影已经没了。

自删除：加密完成后生成批处理删除自身二进制，取证时往往拿不到加密器样本。

双重勒索：攻击者宣称加密前已窃取数据，未付款则在 clearnet 站点与 Tor 镜像上分批公开。