DeadLock ransomware usa Rust, Polygon e Session per resistere ai takedown

🛡️ Executive Summary

• DeadLock usa un encryptor Rust con cifratura XChaCha20 e Curve25519, throttling dinamico e cifratura parziale ottimizzata per file di grandi dimensioni.
• Il recovery system combina smart contract Polygon, messaggistica Session e storage Wasabi per rendere comunicazioni, leak e negoziazioni più resistenti ai takedown.
• Microsoft osserva DeadLock dal luglio 2025: oltre 80 organizzazioni risultavano pubblicate entro luglio 2026, più della metà delle quali in Europa.

DeadLock sta trasformando l’infrastruttura ransomware tanto quanto il processo di cifratura. Microsoft Threat Intelligence descrive un’operazione finanziariamente motivata osservata dal luglio 2025 che combina un encryptor scritto in Rust, double extortion e un sistema decentralizzato per comunicare con le vittime e pubblicare i dati sottratti. La peculiarità maggiore arriva dopo la cifratura: invece di affidare l’intera operazione a normali domini e server web, DeadLock utilizza smart contract sulla blockchain Polygon, la rete di messaggistica Session e storage compatibile S3 su Wasabi. L’architettura non rende l’infrastruttura impossibile da interrompere, ma distribuisce alcune delle sue componenti più importanti e permette agli operatori di sostituire rapidamente i nodi ancora centralizzati.

DeadLock supera le 80 vittime rivendicate

Microsoft segue DeadLock come un’operazione ransomware emergente finanziariamente motivata e afferma di averne osservato l’utilizzo da parte di più gruppi, compreso un affiliato degli ecosistemi Lynx e INC ransomware. Entro luglio 2026 gli operatori avevano pubblicato sul proprio data leak site più di 80 organizzazioni compromesse, oltre la metà localizzate in Europa. Le vittime identificate appartengono a settori eterogenei: information technology, industria mineraria, trasporti e logistica, manifattura, hospitality e beni di consumo, con attività distribuite tra Europa, Asia, Nord e Sud America e Africa. La ricerca tecnica di Microsoft Threat Intelligence su DeadLock colloca quindi il malware dentro un ecosistema più ampio di affiliate e operatori, evitando di attribuire tutte le intrusioni a un unico gruppo. Il collegamento con l’ecosistema INC è particolarmente significativo dopo le attività INC ransomware osservate contro appliance SonicWall SMA, che mostrano quanto il ransomware moderno dipenda sempre più da operatori, access broker e strumenti condivisi.

Il malware evita Russia, Ucraina e altri Paesi

Prima di iniziare la cifratura, DeadLock decodifica una configurazione embedded protetta con XOR e controlla le lingue predefinite e dell’interfaccia Windows. Se individua un valore presente nella propria lista di esclusione, si cancella senza cifrare i file. La configurazione osservata da Microsoft comprende russo, ucraino, bielorusso, tagico, persiano, armeno, azero, georgiano, kazako, kirghiso, turkmeno, uzbeko e altre varianti associate a Paesi dell’ex Unione Sovietica, oltre ad alcune localizzazioni mediorientali. Microsoft considera il comportamento compatibile con un modello frequentemente osservato tra operatori ransomware che cercano di evitare sistemi riconducibili alle regioni dalle quali potrebbero operare, ma non utilizza questo elemento come prova autonoma di attribuzione geografica. La tecnica ricorda la logica di geofencing presente in molte famiglie ransomware e conferma che il controllo della localizzazione continua a essere integrato direttamente nell’encryptor.

DeadLock tenta di ottenere privilegi amministrativi

Il comportamento cambia in base agli argomenti della command line e ai privilegi già disponibili. Se l’operatore indica direttamente una directory, il malware può saltare numerose operazioni preparatorie e procedere alla cifratura dei file accessibili. Se invece viene eseguito senza parametri e senza elevazione, crea un file .cmd dal nome casuale e richiama ShellExecuteW con il verbo RunAs, generando la richiesta UAC. In caso di rifiuto, DeadLock può riprovare fino a dieci volte. Una volta eseguito come amministratore abilita privilegi come SeDebugPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege e SeSecurityPrivilege, ampliando l’accesso a processi, file e impostazioni protette.

Microsoft sottolinea però che nel campione analizzato il meccanismo di rilancio elevato non ha funzionato completamente durante l’analisi dinamica: la fase preparatoria completa sembra quindi dipendere da un contesto già privilegiato.

Defender, backup e Active Directory vengono fermati prima della cifratura

Una volta ottenuti privilegi sufficienti, DeadLock prepara il sistema per massimizzare l’impatto. Svuota il Cestino, registra un’icona personalizzata per i file .dlock e interrompe processi e servizi che potrebbero bloccare i file, rilevare l’attività o consentire il ripristino. Tra i servizi presi di mira figurano Windows Defender, Volume Shadow Copy, Windows Backup, Hyper-V e componenti Active Directory, compresi windefend, vss, swprv, wbengine, vmcompute, vmms, adws, ntds e kdc. Sul fronte dei processi vengono cercati strumenti di sicurezza, applicazioni cloud e backup, client di accesso remoto e utility amministrative come OneDrive, Dropbox, Google Drive, AnyDesk, RustDesk, PowerShell, CMD e Task Manager. La strategia appartiene alla consolidata logica degli human-operated ransomware, nella quale la cifratura arriva soltanto dopo aver ridotto le capacità di detection e recovery, come già osservato nelle operazioni Prinz Eugen contro ambienti Windows aziendali.

DeadLock cancella e disabilita i log Windows

La componente di defense evasion va oltre la semplice cancellazione degli Event Log. DeadLock combina tre tecniche: ripulisce direttamente diversi canali tramite le API classiche, modifica il registro per disabilitare i canali futuri e utilizza wevtapi.dll per enumerare anche i log non presenti nella propria lista statica. Il ransomware interviene su Application, Security, Setup, Servicing, PowerShell, System e Forwarded Events, quindi attraversa HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels, imposta Enabled a zero e modifica ChannelAccess con un security descriptor più restrittivo. L’obiettivo è rimuovere la telemetria già prodotta e impedire che nuove evidenze vengano registrate, complicando la ricostruzione dell’incidente proprio mentre inizia la fase distruttiva.

Il throttling mantiene il PC reattivo mentre cifra

Una delle caratteristiche più distintive dell’encryptor Rust è il resource-aware throttling. DeadLock controlla continuamente memoria e CPU prima di inviare nuovi file ai thread di cifratura. Se la memoria utilizzata supera il 29% oppure il carico CPU supera il 70%, il dispatcher sospende temporaneamente l’assegnazione di nuovo lavoro e riprova quando le risorse tornano sotto soglia. I file già in elaborazione non vengono interrotti: viene semplicemente ridotto il parallelismo. La scelta permette di mantenere il sistema relativamente responsivo e riduce la possibilità che improvvisi picchi di utilizzo attirino l’attenzione dell’utente o dei sistemi comportamentali. Per ogni batch di dischi DeadLock crea inoltre thread dedicati alla scansione delle directory, con un numero di thread pari al doppio dei core CPU disponibili.

XChaCha20 e Curve25519 proteggono una chiave diversa per ogni file

La progettazione crittografica non presenta, secondo Microsoft, una debolezza evidente utilizzabile per recuperare gratuitamente i file. Ogni file riceve una chiave XChaCha20 casuale differente, un nonce da 24 byte e una nuova chiave privata effimera Curve25519. Il malware esegue quindi uno scambio ECDH con la chiave pubblica dell’operatore e utilizza la costruzione crypto_box di NaCl, basata su Curve25519 e XSalsa20-Poly1305, per proteggere la chiave e i metadata necessari alla decifratura. I contenuti vengono invece cifrati con XChaCha20. Il footer aggiunto a ogni file .dlock contiene la chiave pubblica effimera e le informazioni necessarie affinché il decryptor possa ricostruire il segreto condiviso utilizzando la chiave privata degli operatori. Microsoft conclude che la costruzione è crittograficamente solida e non offre un percorso pratico di recovery senza il materiale segreto dell’attaccante.

I file grandi vengono cifrati soltanto in parte

DeadLock adatta anche la quantità di dati cifrati alle dimensioni del file. I file piccoli vengono elaborati completamente, ma salendo di dimensione la percentuale si riduce: circa 50% oltre 50 MB, 25% oltre 118 MB e 10% oltre 500 MB, mentre per file superiori a circa 1 GB entra in funzione una modalità a blocchi. Il malware distribuisce blocchi cifrati da 512 byte a intervalli calcolati lungo il file, rendendolo inutilizzabile senza dover processare ogni byte. È un’ottimizzazione particolarmente efficace contro database, immagini di macchine virtuali e backup, dove una cifratura integrale rallenterebbe sensibilmente l’operazione e aumenterebbe la finestra nella quale i difensori possono intervenire.

La ransom note contiene una vera applicazione web

Dopo la cifratura, DeadLock non si limita alla classica nota TXT. Il file RECOVERY_CHAT.<UID>.html, depositato nelle root dei dischi e sui Desktop, è una single-page application completa che contiene chat cifrata end-to-end, data leak blog e file browser.

Tutto il codice necessario viene incorporato direttamente nell’HTML, permettendo alla vittima di aprire l’interfaccia localmente senza dipendere da un normale sito web controllato dagli operatori. Questo elemento rappresenta la base dell’architettura decentralizzata di DeadLock: l’applicazione conosce come interrogare servizi pubblici e infrastrutture distribuite per recuperare dinamicamente le informazioni necessarie alla negoziazione.

Polygon sostituisce parte dell’infrastruttura DNS

DeadLock utilizza due smart contract sulla blockchain Polygon come archivio di configurazione. Uno conserva l’indirizzo del proxy utilizzato dalla chat, mentre l’altro contiene i post pubblicati sul data leak blog. L’applicazione HTML esegue chiamate eth_call verso endpoint RPC Polygon pubblici e può quindi recuperare queste informazioni senza utilizzare wallet o transazioni blockchain. Il vantaggio operativo è significativo: se il proxy viene bloccato, gli operatori possono modificarne l’URL nello smart contract senza cambiare il file HTML già presente sui sistemi delle vittime. Il blog, inoltre, non dipende da un tradizionale database web centralizzato. La blockchain diventa quindi un livello di configurazione resistente ai normali sequestri di domini e hosting, pur senza rendere l’intero ecosistema realmente decentralizzato.

Session nasconde la chat tra vittima e operatori

Le comunicazioni utilizzano invece Session, rete di messaggistica decentralizzata basata su onion routing e swarm storage. Le credenziali inserite dalla vittima nell’interfaccia HTML vengono trasformate deterministicamente in una coppia di chiavi, dalla quale deriva l’identità Session utilizzata durante le conversazioni. I messaggi vengono firmati con Ed25519, protetti attraverso Curve25519 e consegnati ai nodi della rete tramite un proxy intermedio. Non è richiesta una registrazione tradizionale: inserendo sempre le stesse credenziali viene ricostruita la stessa identità crittografica. Questa scelta riduce la dipendenza da un server di chat centrale e rende più complesso interrompere contemporaneamente tutte le comunicazioni con le vittime.

Wasabi ospita i dati rubati senza un leak server tradizionale

Il terzo livello riguarda i dati sottratti. Il blog può contenere collegamenti verso Wasabi, servizio object storage compatibile con Amazon S3. L’applicazione DeadLock incorpora un file browser capace di interpretare le credenziali presenti negli URI, generare richieste firmate AWS4-HMAC-SHA256, navigare nei bucket e creare URL temporanei per scaricare singoli file.

Gli operatori possono così rendere consultabili i documenti esfiltrati senza mantenere un proprio web server per il leak. L’uso di servizi cloud legittimi come componenti della catena di estorsione amplia un modello già visibile in numerose operazioni ransomware, nel quale infrastrutture commerciali vengono utilizzate non soltanto durante l’intrusione ma anche per sostenere le attività successive.

La decentralizzazione non rende DeadLock invulnerabile

Microsoft sottolinea però che l’architettura presenta ancora punti di interruzione. La pagina HTML deve raggiungere almeno un endpoint RPC Polygon pubblico, la chat dipende da un proxy controllato dagli operatori e i file pubblicati su Wasabi o sulle CDN possono essere rimossi.

La rete Session distribuisce la memorizzazione dei messaggi e Polygon rende più resistente la configurazione, ma DeadLock continua ad avere componenti off-chain che possono essere bloccati o sequestrati. Il vantaggio per gli operatori non è quindi l’invulnerabilità, bensì la possibilità di sostituire rapidamente alcuni elementi senza ricostruire l’intero portale e senza comunicare nuovi indirizzi a ogni vittima. È un’evoluzione importante rispetto ai normali leak site Tor centralizzati.

Microsoft punta su EDR, tamper protection e Controlled Folder Access

Sul piano difensivo Microsoft raccomanda un approccio multilivello: protezione cloud dell’antivirus, EDR in block mode, tamper protection, remediation automatizzata, automatic attack disruption, Controlled Folder Access e Attack Surface Reduction rules. Particolare importanza viene attribuita alle regole che impediscono l’esecuzione di file poco diffusi o non attendibili e bloccano la creazione di processi tramite PsExec e WMI, tecniche frequentemente utilizzate durante il movimento laterale negli attacchi ransomware human-operated. Defender rileva l’encryptor come Ransom:Win32/Deadlock.* e associa all’attività indicatori come cancellazione dei backup, possibile esfiltrazione, modifica sospetta dello sfondo e comportamenti tipici della cifratura.

DeadLock decentralizza soprattutto l’estorsione, non l’attacco

L’elemento che distingue DeadLock non è quindi soltanto l’utilizzo di Rust, né un nuovo algoritmo crittografico. La vera innovazione operativa è spostare una parte della fase successiva alla compromissione fuori dall’infrastruttura ransomware tradizionale: Polygon conserva configurazione e contenuti, Session gestisce la comunicazione cifrata e Wasabi ospita i dati esfiltrati. Il modello aumenta la resilienza dell’estorsione anche nel caso in cui alcuni domini vengano bloccati. Allo stesso tempo l’encryptor utilizza tecniche mature: servizi di sicurezza disabilitati, log cancellati, cifratura intermittente, geofencing e gestione dinamica delle risorse. Dopo casi come GigaWiper, che combina componenti distruttive e ransomware in una piattaforma modulare, DeadLock mostra un’altra direzione dell’evoluzione cybercriminale: non rendere necessariamente più sofisticata l’intrusione, ma rendere molto più difficile interrompere l’infrastruttura con cui l’attacco continua a produrre pressione economica dopo la cifratura.