Threat Intelligence

Deadlock

Neu aufgetauchte Ransomware- und Datenerpressungsgruppe mit explosivem Wachstum – seit Juni 2026 auf Clearnet- und Tor-Leak-Sites aktiv, auch mit Opfern in Deutschland und der Schweiz.

Kurz erklärt

Deadlock (Eigenschreibweise „DeadLock") ist eine noch junge Ransomware- und Datenerpressungsgruppe, deren öffentliche Leak-Site Mitte Juni 2026 erstmals beobachtet wurde. Innerhalb weniger Wochen listete die Gruppe bereits rund 76 Opfer in etwa 33 Ländern – ein außergewöhnlich schneller Anstieg, den Beobachter mit mehreren hundert Prozent gegenüber dem Vormonat beziffern.

Deadlock betreibt sowohl eine Clearnet- als auch eine Tor-Leak-Site und übt über Namensnennung und Datenveröffentlichung Druck auf die Opfer aus. Da die Gruppe sehr neu ist, sind viele technische Details noch nicht abschließend dokumentiert; einzelne Sicherheitsanbieter berichten von einer Vorgeschichte bereits ab Mitte 2025 sowie von auffälligen Werkzeugen. Wo Angaben nicht unabhängig bestätigt sind, weisen wir dies ausdrücklich aus. Deadlock ist nicht mit der gleichnamigen, unverwandten „DEADLOCK"-Schadsoftware aus dem Jahr 2022 zu verwechseln.

Aktiv

Modell

Noch nicht abschließend dokumentiert. Öffentlich ist nicht bestätigt, ob Deadlock als Ransomware-as-a-Service (RaaS) mit Partnern oder als eigenständige, geschlossene Gruppe operiert.

Auch bekannt als

DeadLock (Eigenschreibweise). Nicht zu verwechseln mit der unverwandten „DEADLOCK"-Ransomware aus dem Jahr 2022.

Gegründet

Juni 2026

Entstanden aus

nicht eindeutig zugeordnet

Herkunft

nicht eindeutig zugeordnet

Zielsektoren

Fertigung/Manufacturing, Business Services, Finanz- und Buchhaltungsdienstleister, Landwirtschaft/Lebensmittel, öffentlicher Sektor, Gesundheitswesen, IT, Bau/Logistik und Tourismus.

Zielregionen

Schwerpunkt Europa (u. a. Spanien, Italien, Polen), mit bestätigten Opfern in Deutschland und der Schweiz; daneben Nord- und Südamerika, APAC, Naher Osten und Afrika. Für Österreich sind bislang keine Opfer gelistet.

Typisches Lösegeld

nicht öffentlich beziffert

Opferzahl

Rund 76 gelistete Opfer in ~33 Ländern binnen weniger Wochen (Stand: Juli 2026)

File Extensions

Noch nicht abschließend dokumentiert. Einzelne Vendor-Tracker (u. a. WatchGuard) nennen die Endung „.dlock" für verschlüsselte Dateien; diese Angabe ist bislang nicht unabhängig bestätigt.

Ransom Note

Noch nicht abschließend dokumentiert. Berichtet werden Erpresserschreiben mit Dateinamen wie „HOW_RECOVER.<Opfer-ID>.txt" und „RECOVERY_CHAT.<Opfer-ID>.html", die eine individuelle Session-ID zur Kontaktaufnahme enthalten sollen; diese Angaben sind vendor-berichtet und nicht unabhängig bestätigt.

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme umgehend vom Netz isolieren, aber nicht sofort ausschalten – flüchtige Spuren für die Forensik sichern.
  • Incident-Response- bzw. Notfallkontakt (intern und extern) sofort alarmieren und einen Krisenstab einberufen.
  • Umfang eingrenzen: betroffene Konten, Systeme und mögliche Datenabflüsse identifizieren und dokumentieren.
  • Fernzugänge, kompromittierte Zugangsdaten und Fernwartungs-Tools sperren bzw. Passwörter zurücksetzen.
  • Meldepflichten prüfen und fristgerecht erfüllen (z. B. Datenschutzaufsicht/DSGVO, ggf. Behörden) und Kommunikation abstimmen.
  • Backups auf Integrität und Nicht-Kompromittierung prüfen, bevor eine Wiederherstellung gestartet wird.
⛔ Unbedingt vermeiden
  • Keine vorschnelle Zahlung des Lösegelds – sie garantiert weder Datenrückgabe noch Löschung und finanziert weitere Angriffe.
  • Betroffene Systeme nicht unkoordiniert neu starten oder „bereinigen", bevor Spuren gesichert sind.
  • Nicht ohne verifizierte, saubere Backups wiederherstellen – sonst droht erneute Kompromittierung.
  • Nicht eigenmächtig und unvorbereitet mit den Tätern verhandeln; Kommunikation nur über erfahrene IR-Spezialisten.
  • Vorfall nicht verschweigen oder verharmlosen – gesetzliche Meldefristen und interne Eskalation einhalten.
  • Keine unbestätigten Angaben (z. B. zu Verschlüsselung oder Umfang) ungeprüft nach außen kommunizieren.

Bekannte Angriffe

  • Deutschland: WH Müller (Elektrotechnik/IT), EFCA (Buchhaltung/Steuerberatung), 8.2 Group e.V. (Ingenieur-Netzwerk), IFC Europa (Automotive-Distribution) – u. a.
  • Schweiz: Dyhrberg AG (Fertigung/Lebensmittel) – u. a.
  • Weitere Regionen: u. a. spanische und italienische Fertigungs- und Hotelbetriebe (z. B. in Vendor-Berichten genannte Manufacturing- und Tourismus-Opfer) sowie zahlreiche weitere Organisationen in insgesamt rund 33 Ländern.
  • Für Österreich sind bislang keine Opfer gelistet.

Angriffstechniken (TTPs)

  • Fernzugriff/Persistenz (T1219 – Remote Access Software): Vendor-Berichte nennen den Einsatz legitimer Fernwartungssoftware wie AnyDesk für Zugriff und Persistenz.
  • Exfiltration & Erpressung (T1657 – Financial Theft): Diebstahl von Daten und finanzielle Erpressung über Veröffentlichungsdrohung auf Leak-Sites.
  • Wirkung durch Verschlüsselung (T1486 – Data Encrypted for Impact): Die Gruppe behauptet „militärische" Verschlüsselung; Analysten bewerten dies teils als Druckmittel, eine belastbare Bestätigung der Verschlüsselungsroutine steht noch aus.
  • Verschleierte Kommunikation: Kontaktaufnahme mit Opfern über den datenschutzfreundlichen Messenger „Session".
  • Weitere Techniken (Initialzugang, Rechteausweitung, laterale Bewegung) sind für Deadlock öffentlich noch nicht belastbar dokumentiert. Es sind keine spezifischen, der Gruppe eindeutig zugeordneten CVEs bekannt.

Technologie & Malware

Zur Schadsoftware selbst ist öffentlich wenig gesichert. Einzelne Anbieter beschreiben eine eigenentwickelte Verschlüsselung (u. a. als „Custom Stream Cipher" bzw. symmetrisches Verfahren bezeichnet) statt Standard-Windows-Krypto-APIs sowie die Nutzung von Session als Kommunikationskanal und AnyDesk für den Fernzugriff. Auffällig ist die berichtete Einbindung von Smart Contracts auf der Polygon-Blockchain in die Erpressungs- bzw. Zahlungsinfrastruktur. Diese Angaben stammen aus Vendor-Analysen, sind teils widersprüchlich (u. a. abweichende Erstsichtungsdaten Mitte 2025 vs. öffentlicher Leak-Site-Start Juni 2026) und nicht durchgängig unabhängig bestätigt. Ob es sich in allen Fällen um dieselbe Operation handelt, ist noch nicht abschließend geklärt.

Indicators of Compromise (IOCs)

  • Clearnet-Leak-Site: deadlock.liveblog365.com (Vendor-berichtet).
  • Tor-Leak-Site: deadblogdbdu5wprek7wa2o4ce7rnt6u6ntqeud3hzjjcveosgpsqqqd.onion (Vendor-berichtet).
  • Berichtete Dateiendung „.dlock" sowie Notizdateien „HOW_RECOVER.<ID>.txt" / „RECOVERY_CHAT.<ID>.html" – nicht unabhängig bestätigt.
  • Weitere technische IOCs (Hashes, konkrete Payloads) sind öffentlich noch nicht belastbar dokumentiert.

Was Unternehmen jetzt prüfen sollten

  • Offline- und unveränderliche (immutable) Backups vorhalten und die Wiederherstellung regelmäßig testen.
  • Multi-Faktor-Authentifizierung für alle Fernzugänge (VPN, RDP, Remote-Support-Tools) und privilegierten Konten durchsetzen.
  • Fernwartungs- und Remote-Access-Software (z. B. AnyDesk, TeamViewer) inventarisieren, auf Freigabeliste beschränken und Nutzung protokollieren.
  • Externe Angriffsfläche minimieren, Systeme zeitnah patchen und ausgehenden Datenabfluss auf Anomalien überwachen.

Wie Argos unterstützt

Das Argos Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) auf die typischen Vorboten eines Ransomware-Angriffs – etwa auffällige Fernzugriffe, verdächtige Datenabflüsse und laterale Bewegungen. Bei einem Vorfall greift unser Incident-Response-Team innerhalb von maximal 30 Minuten remote ein, isoliert betroffene Systeme, stoppt die Ausbreitung und begleitet Sie durch Forensik, Wiederherstellung und Kommunikation. Ergänzend prüfen wir kontinuierlich Ihre externe Angriffsfläche und Ihre Backup- und Wiederanlauf-Strategie, damit ein Deadlock-Angriff frühzeitig erkannt und im Ernstfall beherrschbar bleibt.