DeadLock thay đổi cách vận hành ransomware nhờ blockchain
- Evelyn Carter
- 4 giờ trước
- 6 phút đọc
Microsoft Threat Intelligence ngày 10/8/2026 công bố phân tích DeadLock ransomware, cho thấy nhóm vận hành sử dụng Polygon blockchain để lưu thông tin hạ tầng, kết hợp Session cho liên lạc với nạn nhân. Đến tháng 7/2026, hơn 80 tổ chức đã được DeadLock công bố trên data leak site. Sự kiện không gắn với một CVE cụ thể.
Blockchain vốn thường xuất hiện trong ransomware ở khâu thanh toán tiền chuộc bằng tiền mã hóa. DeadLock cho thấy một thay đổi đáng chú ý hơn: công nghệ blockchain đang được đưa trực tiếp vào cách nhóm tấn công duy trì hạ tầng phục vụ đàm phán, liên lạc và công bố dữ liệu.
Điểm đáng lưu ý với doanh nghiệp không nằm ở việc blockchain làm ransomware mã hóa dữ liệu mạnh hơn. Thay vào đó, DeadLock sử dụng blockchain để giảm sự phụ thuộc vào domain và máy chủ cố định, những thành phần mà lực lượng phòng thủ trước đây có thể chặn, thu giữ hoặc yêu cầu nhà cung cấp dịch vụ vô hiệu hóa.
DeadLock đã thay đổi cách vận hành ransomware như thế nào?
DeadLock được Microsoft ghi nhận lần đầu vào tháng 7/2025 và hiện sử dụng mô hình double extortion, tức vừa mã hóa môi trường của nạn nhân vừa đe dọa công khai dữ liệu đã bị lấy cắp. Tính đến tháng 7/2026, nhóm đã đưa hơn 80 tổ chức lên trang công bố dữ liệu của mình, trong đó hơn một nửa là các tổ chức tại châu Âu.
Con số này cần được hiểu đúng: đó là số tổ chức được nhóm DeadLock tuyên bố đã xâm nhập, không đồng nghĩa mọi trường hợp đều đã được nạn nhân hoặc bên thứ ba xác minh độc lập.
Điểm mới nằm ở cách DeadLock xây dựng hệ thống tương tác sau khi dữ liệu đã bị mã hóa. Malware để lại tệp RECOVERY_CHAT.<UID>.html trên hệ thống nạn nhân. Thay vì chỉ là ransom note chứa địa chỉ liên hệ, đây là một ứng dụng web độc lập có giao diện trò chuyện, blog công bố dữ liệu và trình duyệt tệp.
Thành phần | Vai trò trong hoạt động của DeadLock |
DeadLock encryptor | Mã hóa dữ liệu trên hệ thống Windows |
Polygon smart contract | Lưu địa chỉ proxy và nội dung blog |
Polygon RPC | Giúp ứng dụng đọc dữ liệu từ blockchain |
Session | Kênh liên lạc giữa nạn nhân và nhóm vận hành |
Proxy server | Trung gian kết nối giao diện DeadLock với Session |
Wasabi/S3-compatible storage | Lưu ảnh và một phần dữ liệu bị công bố |
Vì sao blockchain khiến hạ tầng DeadLock khó bị gián đoạn hơn?
Các mô hình ransomware truyền thống thường phụ thuộc vào domain, máy chủ web hoặc hạ tầng hosting do nhóm tấn công kiểm soát. Khi những điểm này bị phát hiện, cơ quan chức năng và nhà cung cấp dịch vụ có thể chặn hoặc vô hiệu hóa chúng.
DeadLock giảm sự phụ thuộc đó bằng cách lưu một số thông tin quan trọng trên Polygon. Microsoft phát hiện hai smart contract được sử dụng: một contract lưu URL proxy phục vụ kênh liên lạc, contract còn lại lưu nội dung blog của nhóm. Ứng dụng trên máy nạn nhân gửi yêu cầu đến các Polygon RPC công khai để đọc thông tin này.
Điều đó có nghĩa khi một proxy không còn hoạt động, nhóm có thể cập nhật địa chỉ mới trong smart contract mà không cần phát lại ransom note hoặc thay đổi phần mềm đã nằm trên hệ thống nạn nhân.
DeadLock còn sử dụng Session, một mạng nhắn tin phân tán, cho hoạt động trao đổi với nạn nhân. Proxy lấy từ blockchain đóng vai trò trung gian giữa trình duyệt của nạn nhân và mạng Session. Dữ liệu bị công bố có thể được lưu trên Wasabi thông qua giao diện tương thích Amazon S3.
DeadLock có thể gây ảnh hưởng gì sau khi xâm nhập hệ thống?
Microsoft xác định ransomware sử dụng thiết kế mã hóa kết hợp Curve25519 và XChaCha20. Mỗi tệp được tạo khóa riêng và phân tích hiện tại không tìm thấy phương án giải mã thực tế nếu không có private key của kẻ tấn công. Với những tệp lớn, DeadLock có thể chỉ mã hóa một phần dữ liệu theo từng vùng để tăng tốc độ nhưng vẫn khiến tệp không thể sử dụng.
Trước khi mã hóa, malware có khả năng dừng hoặc vô hiệu hóa nhiều tiến trình và dịch vụ. Danh sách được Microsoft phân tích bao gồm Windows Defender, Volume Shadow Copy, Windows Backup, một số thành phần Hyper-V và dịch vụ liên quan đến Active Directory.
👉 Với doanh nghiệp muốn rà soát khả năng phục hồi và các lớp phòng thủ trước mã độc tống tiền, nội dung phòng ngừa ransomware cho doanh nghiệp của IPSIP Việt Nam có thể được dùng như tài liệu bổ sung khi xây dựng kế hoạch backup, giám sát và ứng phó.
Doanh nghiệp nên làm gì trước mô hình ransomware mới này?
Thay vì tập trung vào câu hỏi “có nên chặn blockchain hay không”, doanh nghiệp cần đặt ưu tiên vào việc ngăn kẻ tấn công đạt tới giai đoạn mã hóa và phá hủy khả năng phục hồi.
Microsoft khuyến nghị bật EDR ở chế độ blocking, tamper protection, cloud-delivered protection và các cơ chế tự động cô lập hoạt động tấn công. CISA cũng khuyến nghị doanh nghiệp duy trì backup ngoại tuyến, kế hoạch phục hồi, MFA, cập nhật hệ thống và các biện pháp hạn chế khả năng ransomware lan rộng.
Bật EDR/XDR ở chế độ có khả năng ngăn chặn, không chỉ thu thập cảnh báo.
Kích hoạt tamper protection để hạn chế việc malware vô hiệu hóa công cụ bảo mật.
Theo dõi hành vi dừng Windows Defender, Volume Shadow Copy và dịch vụ backup.
Cảnh báo khi Event Log bị xóa hoặc có dấu hiệu can thiệp bất thường.
Tách quyền quản trị backup khỏi tài khoản quản trị thông thường.
Duy trì bản backup offline hoặc immutable và kiểm thử phục hồi định kỳ.
Phân đoạn Active Directory, máy chủ, hypervisor, endpoint và hệ thống backup.
Kiểm soát AnyDesk, RustDesk và các công cụ remote administration theo danh sách được phép.
Xây dựng baseline cho lưu lượng blockchain/RPC nếu tổ chức có nhu cầu sử dụng hợp pháp.
Chuẩn bị quy trình cô lập tài khoản và endpoint ngay khi xuất hiện dấu hiệu ransomware.
👉 Doanh nghiệp cũng có thể sử dụng Pentest của IPSIP Việt Nam để mô phỏng các đường tấn công trong phạm vi được kiểm soát, từ đó xác định liệu một điểm xâm nhập ban đầu có thể dẫn tới nâng quyền, di chuyển ngang hoặc tiếp cận các hệ thống quan trọng hay không.
Góc nhìn chuyên gia từ IPSIP Việt Nam cho thấy điều gì?
Doanh nghiệp không nên xây dựng chiến lược chống ransomware dựa chủ yếu vào IOC tĩnh. Khi threat actor có thể thay đổi một phần hạ tầng thông qua smart contract, khả năng phát hiện hành vi, phân đoạn hệ thống, kiểm soát đặc quyền và phục hồi từ backup trở thành các năng lực có giá trị lâu dài hơn.
Trước hết, cần xác định đâu là hệ thống nếu bị mã hóa sẽ gây gián đoạn lớn nhất: Active Directory, ERP, máy chủ tệp, hypervisor, hệ thống sản xuất hay kho backup. Những tài sản này cần được phân đoạn, hạn chế quyền truy cập và có telemetry đủ để phát hiện hành vi bất thường.
Tiếp theo, doanh nghiệp nên kiểm thử kế hoạch ransomware thay vì chỉ xác nhận “đã có backup”. Bài kiểm thử phải trả lời được ba câu hỏi: bản sao lưu có bị tài khoản bị xâm nhập xóa được hay không, thời gian phục hồi thực tế là bao lâu và hệ thống sau phục hồi có sạch trước khi đưa trở lại production hay không.
Với doanh nghiệp Việt Nam, ưu tiên không nên là tìm một công cụ để “chặn blockchain”, mà là giảm khả năng ransomware tiến tới giai đoạn mã hóa: kiểm soát tài khoản đặc quyền, giám sát endpoint liên tục, phân đoạn tài sản trọng yếu, bảo vệ backup và diễn tập ứng phó. Khi hạ tầng của threat actor thay đổi nhanh hơn, năng lực phát hiện và phục hồi của doanh nghiệp cần trở thành lớp phòng thủ ổn định hơn.
Nguồn tham khảo
Bình luận