暂无信息

Deadlock 的公开样本逆向细节目前较少，尚无充分资料确认其主要开发语言、编译器特征、壳/混淆方案、互斥体名称、勒索信文件名、加密后缀、C2 地址或固定命令行参数。基于已公开威胁情报，不能确认其是否具备独立传播模块、域内横向移动组件或专用数据窃取器。

可确认性较低的分析场景中，建议从以下技术面进行取证验证：

• 文件特征：检查可疑 PE 的导入表中是否包含 CryptEncrypt、BCryptGenRandom、CreateFileW、FindFirstFileW、GetLogicalDrives、DeviceIoControl、ShellExecuteW 等常见加密和系统操作 API；如为 Go/Rust 编译样本，应关注静态链接、大体积二进制、异常节名和字符串表特征。
• 互斥体与单实例控制：暂无公开信息。应在沙箱中监测 CreateMutex/OpenMutex 行为，确认是否通过固定 mutex 防止重复加密。
• 持久化：暂无公开信息。不能确认其使用注册表 Run Key、计划任务、服务安装或启动目录持久化。
• 防御规避：暂无公开信息。需重点验证是否终止安全软件、清理事件日志、禁用恢复选项、删除卷影副本，或通过 LOLBins 调用 vssadmin、wevtutil、bcdedit、taskkill。
• C2 通信：暂无公开信息。无法确认是否存在 Tor 站点 API、硬编码 HTTP(S) 回连、代理检测或数据泄露前置通道。

总体而言，Deadlock 当前更适合按“情报不足的勒索软件事件”处理，依赖端点行为、文件系统改动、进程树、命令行和网络流量进行样本级归因，而不宜仅凭勒索信名称或站点声明定性。

Deadlock 的完整攻击链暂无公开、稳定、可复核的技术披露。以下为面向事件响应的 ATT&CK 映射框架，其中涉及 Deadlock 的专属实现细节均应以现场证据确认。

• 初始访问：暂无公开信息。不能确认其是否通过钓鱼邮件、VPN/RDP 凭据、边缘设备漏洞或初始访问经纪人进入环境。排查时可映射至 T1566 Phishing、T1078 Valid Accounts、T1133 External Remote Services，但不应在无证据情况下归因到具体入口。
• 执行：暂无公开信息。勒索软件常见执行方式包括手工投递、远程服务、计划任务、PsExec/WMI 或脚本加载，可关注 T1059 Command and Scripting Interpreter、T1047 Windows Management Instrumentation、T1569.002 Service Execution。
• 持久化：暂无公开信息。若发现 Run Key、服务、计划任务或启动目录，应分别映射 T1060/T1547.001 Registry Run Keys/Startup Folder、T1543.003 Windows Service、T1053.005 Scheduled Task。
• 权限提升与横向移动：暂无公开信息。应检查是否存在凭据转储、域管登录、SMB 管理共享访问和远程执行痕迹，相关技术包括 T1003 OS Credential Dumping、T1021.002 SMB/Windows Admin Shares、T1570 Lateral Tool Transfer。
• 防御规避：暂无公开信息。若存在安全进程终止、日志清理、备份删除或恢复禁用，可映射 T1562 Impair Defenses、T1070.001 Clear Windows Event Logs、T1490 Inhibit System Recovery。
• 发现与加密勒索：应重点验证是否枚举磁盘、网络共享、关键业务文件和备份路径，对应 T1083 File and Directory Discovery、T1135 Network Share Discovery。实际加密行为映射 T1486 Data Encrypted for Impact；若伴随泄露威胁或暗网站公布，则可能涉及 T1041 Exfiltration Over C2 Channel、T1567 Exfiltration Over Web Service，但 Deadlock 的数据泄露机制暂无公开信息。