Il ransomware DeadLock sta attirando attenzione per un approccio che rende più difficile bloccare la sua infrastruttura di estorsione. Invece di affidarsi solo a server e domini tradizionali, il gruppo usa componenti decentralizzati per gestire comunicazioni con le vittime e pubblicazione di dati rubati, aumentando la resilienza contro tentativi di takedown e interruzioni.
DeadLock è stato osservato in campagne che applicano la doppia estorsione: prima cifra i sistemi e poi minaccia di divulgare i dati esfiltrati. Le vittime dichiarate includono numerose organizzazioni in Europa e negli Stati Uniti, con una presenza rilevante anche in Italia. I file cifrati vengono rinominati con estensione .dlock e l’attacco modifica anche elementi visivi del sistema come icone e sfondo desktop per spingere l’utente ad aprire la nota di riscatto.
Dettagli tecnici del malware
Dal punto di vista tecnico il malware adotta un modello di cifratura selettiva, escludendo specifiche cartelle, estensioni e nomi di file. La crittografia è ibrida e combina Curve25519 con XChaCha20, scelta comune nei ransomware moderni per bilanciare velocità e robustezza.
Sono presenti anche meccanismi di geofencing per evitare l’esecuzione in determinati paesi, insieme a un controllo delle risorse che rallenta o mette in pausa la cifratura quando l’utilizzo di memoria o CPU supera determinate soglie, così da mantenere il sistema reattivo e ridurre sospetti immediati.
Riscatto e canali di contatto
La nota di riscatto invita spesso a contattare gli attaccanti tramite Session, app di messaggistica cifrata end-to-end, e a pagare in Bitcoin o Monero dopo una prova di decrittazione. In alcune varianti viene promesso anche un report di sicurezza con i passaggi usati per compromettere la rete, oltre a raccomandazioni per prevenire nuovi attacchi.
Nota HTML interattiva e infrastruttura decentralizzata
L’elemento più particolare è una nota HTML interattiva, distribuita come file RECOVERY_CHAT con identificativo univoco, che funziona come applicazione web locale. Include una chat cifrata, un blog di leak e un browser dei file sottratti senza richiedere un backend classico.
Per recuperare e ruotare gli indirizzi dei proxy, il codice JavaScript interagisce con smart contract su Polygon. In pratica gli operatori possono aggiornare gli endpoint tramite blockchain, evitando di dover registrare nuovi domini o modificare infrastrutture facilmente sequestrabili. Anche i contenuti del sito di leak possono essere ospitati su blockchain, con accesso consultabile senza un web server tradizionale, aumentando ulteriormente la resistenza alle azioni di contrasto.