DeadLock ransomware utilizza la blockchain per resistere alle operazioni di smantellamento

—

Il ransomware DeadLock ha adottato nuove strategie per evitare l’intervento delle autorità e migliorare la sua resistenza alle operazioni di smantellamento. L’attacco, che colpisce aziende in settori come IT, miniera, trasporti, manifatturiero, hospitality e beni di consumo, utilizza la blockchain Polygon per archiviare dati di configurazione e pubblicare messaggi sul sito di leak. Questa tecnologia permette agli operatori di mantenere la comunicazione con le vittime e ridurre la dipendenza da server tradizionali, che possono essere bloccati da forze dell’ordine. La strategia, osservata da Microsoft, include anche l’uso di servizi decentralizzati come Wasabi per ospitare i file rubati e Session per crittografare le comunicazioni. Nonostante queste misure, Microsoft ha sottolineato che la resistenza non è assoluta, poiché i nodi di comunicazione richiedono ancora un proxy personalizzato e i servizi cloud possono essere rimossi.

Meccanismi di crittografia e resistenza

DeadLock utilizza un sistema di crittografia avanzato, configurato per evitare l’accesso in determinati paesi, tra cui quelli ex sovietici e la regione CIS, nonché Iran, Siria, Oman e Yemen. L’attacco inizia con la preparazione del sistema Windows, tra cui la cancellazione dei backup, l’arresto della virtualizzazione e la pulizia del cestino. Successivamente, il locker crittografa directory non sistemiche con chiavi XChaCha20 uniche per file, protette con l’ellittica Curve25519. I file più grandi vengono crittografati in blocchi di 512 byte per accelerare il processo, pur rendendoli quasi irreversibili. L’attacco modifica anche il wallpaper del desktop e aggiunge note di riscatto in formato TXT, indicando che il sistema è stato bloccato.

Il ransomware è configurato per utilizzare fino al 29% della memoria e il 70% delle risorse CPU, permettendo ai destinatari di continuare a usare il sistema durante il processo di crittografia senza interruzioni significative. Questo approccio consente alle vittime di mantenere una certa operatività anche durante l’attacco, riducendo l’impatto immediato. Inoltre, il sistema di crittografia utilizzato da DeadLock rende i file quasi irreversibili, aumentando la pressione sulle vittime per pagare il riscatto.

Strategie di pagamento e difesa

Il riscatto richiesto dagli operatori di DeadLock si effettua in Bitcoin o Monero, in cambio di un decryptor, una promessa di cancellazione dei dati rubati, dettagli sull’accesso iniziale e raccomandazioni di sicurezza. Microsoft ha segnalato che il ransomware è stato osservato in diversi gruppi, tra cui un affiliato precedentemente legato agli ecosistemi Lynx e INC. Per difendersi, Microsoft raccomanda l’uso di antivirus cloud, EDR in modalità blocco, protezione da modifiche non autorizzate e regole per ridurre la superficie d’attacco. Inoltre, il ransomware utilizza fino al 29% della memoria e il 70% delle risorse CPU, permettendo ai destinatari di continuare a usare il sistema durante il processo di crittografia senza interruzioni significative.

Secondo il Blue Report 2026, le simulazioni su 338 milioni di scenari hanno evidenziato la necessità di migliorare le difese tecniche. Tuttavia, il 37% delle azioni degli attaccanti rimane bloccato solo dopo l’accesso iniziale, suggerendo che le misure di prevenzione non sono sempre sufficienti. Gli esperti sottolineano che le strategie di DeadLock rappresentano un ulteriore passo avanti nella guerra tra cybercriminali e sistemi di sicurezza, con un impatto significativo sui settori più vulnerabili.