LONDON (IT BOLTWISE) – Microsoft warnt vor DeadLock-Ransomware, die einen in Rust geschriebenen Encryptor nutzt und mit Session-Messaging sowie Blockchain-Elementen die Nachverfolgung erschweren will. Die Aktivitäten wurden erstmals im Juli 2025 beobachtet und erreichten bis Juli 2026 mehr als 80 betroffene Organisationen, davon über die Hälfte in Europa. Auffällig ist außerdem ein integriertes Geofencing, das Infektionen in bestimmten Regionen begrenzen soll. Parallel kündigt Microsoft ein KI-gestütztes Abwehrprojekt gegen automatisierte Angriffe an.
Microsoft hat am 10. August 2026 eine technische Analyse zur DeadLock-Ransomware veröffentlicht und dabei vor allem die Kombination aus einem Rust-basierten Encryptor, dezentraler Kommunikationslogik und gezielten Abläufen zur Wiederherstellung hervorgehoben. Der Kern der Meldung liegt nicht nur in der Tatsache, dass Ransomware-Operationen mittlerweile stark modular aufgebaut sind, sondern in der konkreten Implementierungsentscheidung: Der verwendete Encryptor ist in Rust geschrieben, was Angreifern typischerweise Vorteile bei Speicherverwaltung und binären Komponenten bietet, wenn sie eigene Routinen performant und schwerer zu instrumentieren ausliefern wollen. Zusätzlich verweist die Analyse auf Session-Messaging-Mechanismen und Blockchain-Elemente, die in der Praxis vor allem dann relevant werden, wenn Ermittler die Kommunikations- und Zustandsinformationen rekonstruieren müssen, die zwischen Clients, Command-and-Control-Instanzen und den beteiligten Akteuren ausgetauscht werden.
Auch die Operationslogik von DeadLock folgt laut Microsoft einem Muster, das sich über mehrere Monate stabilisiert hat: Erste Beobachtungen datieren auf Juli 2025, bis Juli 2026 wurden über 80 Organisationen identifiziert, deren Daten anschließend auf der Leak-Site der Gruppierung veröffentlicht wurden. Dabei ordnet Microsoft die regionale Verteilung ein: Mehr als die Hälfte der betroffenen Ziele liege in Europa. Für IT-Verantwortliche ist das vor allem deshalb bedeutsam, weil sich daraus Prioritäten ableiten lassen, etwa bei der Auswertung von Incident-Telemetrie, bei der Abstimmung von Incident-Response-Runbooks und bei der Frage, welche Branchen in den lokalen Netzwerken besonders stark vertreten sind. Laut Analyse betrifft DeadLock ein breites Spektrum von IT-Dienstleistungen über Bergbau und Transport bis hin zu Fertigung, Hotellerie und der Konsumgüterindustrie; das ist ein Hinweis darauf, dass die Angriffe nicht auf ein einzelnes Angriffs-„Fit“ beschränkt bleiben.
Technisch sticht neben der Streuung auch das von Microsoft beschriebene Geofencing heraus. Die Ransomware soll Infektionen in Staaten der ehemaligen Sowjetunion (GUS) sowie im Nahen Osten verhindern. In der Praxis bedeutet das: Selbst wenn die Gruppe über ähnliche Initialzugriffswege verfügt, wird die „Impact“-Phase regional eingeschränkt, etwa um Risikoprofile zu senken, Kontrollen zu umgehen oder die eigene Infrastruktur nicht in Regionen zu betreiben, in denen die Wahrscheinlichkeit für schnelle Gegenmaßnahmen höher ist. Solche geografischen Einschränkungen sind für Verteidiger nicht automatisch entlastend, aber sie verändern die Erwartung an Sichtbarkeit. Wer nur nach auffälligen Mustern „weltweit“ sucht, kann andernfalls lokale Lücken übersehen, weil weniger erfolgreiche Infektionen weniger Telemetrie in manchen Regionen erzeugen.
Parallel zur DeadLock-Analyse hat Microsoft im August 2026 das Projekt „Perception“ gestartet. Im Zentrum steht das spezialisierte KI-Modell MAI-Cyber-1-Flash, das laut Benchmarks eine Erkennungsrate von 95,95 Prozent erreichen soll. Die Zielrichtung ist klar: Es geht um die Abwehr zunehmend automatisierter Angriffe, die klassische Endpoint-Schutzmechanismen umgehen und zudem Cloud-Identitäten kompromittieren. Genau an dieser Schnittstelle zeigt sich der Fortschritt moderner Angriffsmodelle: Wenn ein Angreifer nicht nur auf Geräte, sondern auch auf Authentifizierungspfade setzt, verschiebt sich die Verteidigung von reinem Malware-Scanning hin zu Verhaltens- und Kontextanalyse, also zu Signalen rund um Identitäten, Sessions und Muster in Telemetriedaten. Für Unternehmen ist das besonders relevant, weil sich gerade hier viele Sicherheitsprozesse über mehrere Teams und Plattformen hinweg koordinieren müssen.
Ergänzend ordnet Microsoft eine weitere Kampagne ein: „CaptiveCrunch“, zugeschrieben einer russischen Gruppe (Storm-2945). Seit Mai 2026 sollen dabei öffentliche WLAN-Netzwerke in Hotels und an Flughäfen ins Visier genommen werden, wobei manipulierte Portalseiten Updates vortäuschen und die Schadsoftware „CornFlake“ und „ChocoShell“ ausbringen sollen. Das Angriffsziel ist laut Microsoft der Diebstahl von Anmeldedaten und Session-Tokens für Microsoft-365-Konten. Parallel dazu wurden auch Abwehransätze genannt, die für Sicherheitsarchitekturen greifbar sind: Öffentliche WLANs meiden und stattdessen mobile Hotspots oder VPN-Verbindungen nutzen, um die Angriffsoberfläche für Portalseiten- und Token-Abgreifmuster zu reduzieren. Entscheidend ist dabei die Konsequenz im Alltag: Selbst die beste Endpunktlösung verliert an Wirkung, wenn der Nutzerverkehr bereits an der falschen Stelle abstrahiert oder abgefangen wird.
Daneben beschreibt die Analyse auch, wie stark Angreifer beim Phishing inzwischen Automatisierung und API-gestützte Aufklärung kombinieren. Berichten zufolge führt die Gruppe Storm-2755 unter der Bezeichnung „Payroll Pirates“ Phishing-Kampagnen in Nordamerika und Europa durch; die Akteure sollen dabei AiTM-Proxys (Adversary-in-the-Middle) und die Microsoft Graph API einsetzen, um Mitarbeiter in HR- und Finanzabteilungen zielgenau zu identifizieren. In der Beschreibung wird zudem die hohe Automatisierung sichtbar: rotierende Residential-Proxys, Zugriffe auf E-Mails in synchronisierten Bursts innerhalb eines 26-Sekunden-Fensters und Sitzungsaktualisierungen etwa alle 8 Stunden. Für die Erkennung bedeutet das, dass reine IOC-Listen selten ausreichen: Microsoft empfiehlt die Korrelation von Telemetriedaten und die Überwachung anomaler Outlook-User-Agents, was in der Praxis eine Brücke zwischen Mail-Schutz, Identitäts-Telemetrie und Endpoint-Nachverfolgung schlägt.
Auf der Produkt- und Infrastruktur-Ebene verweist Microsoft außerdem auf Anpassungen bei Defender und OneDrive. Hervorgehoben wird die Nutzung von Microsoft Defender for Cloud zur Absicherung von Azure-Ressourcen, unter anderem durch Schwachstellenbewertung, Identitätsschutz sowie Container- und Storage-Sicherheit einschließlich Angriffspfadanalysen. Diese Ausrichtung wird in Zusammenhang mit neuen Malware-Stämmen genannt, die versuchen sollen, Defender über spezifische Systembefehle zu deaktivieren; daraus folgt für Betreiber die Notwendigkeit, Hardening nicht als einmalige Aufgabe zu behandeln, sondern als kontinuierliches Programm. Ergänzend gab es Ende Juli 2026 Berichte zur ungefragten Installation von „OneDrive Photos“ (Version 26.123.0628.0001) auf Windows-Rechnern, einschließlich verwalteter Firmen-PCs. Microsoft stellte dabei klar, dass die Gesichtserkennung standardmäßig deaktiviert sei und biometrische Daten nach 30 Tagen gelöscht würden; ab September 2026 soll außerdem eine separate Deinstallationsoption verfügbar sein, die den Synchronisations-Client unberührt lässt. Für IT-Leitungen ist das vor allem ein Daten- und Betriebsprozess-Thema: Applikationsverteilung, Rechtekonzepte und die Frage, wie schnell sich Clients kontrolliert zurücksetzen lassen, werden zu einem zentralen Faktor, wenn Angriffsflächen über vermeintlich harmlose Änderungen am Endgerät entstehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DeadLock-Ransomware: Rust-Encryptor und Geofencing im Visier" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DeadLock-Ransomware: Rust-Encryptor und Geofencing im Visier" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DeadLock-Ransomware: Rust-Encryptor und Geofencing im Visier« bei Google Deutschland suchen, bei Bing oder Google News!