Microsoft Threat Intelligence ha pubblicato il 10 agosto 2026 l'analisi tecnica più dettagliata finora disponibile sul gruppo DeadLock, documentando un salto operativo che ridefinisce i termini del contrasto al ransomware. Le sue campagne di estorsione — 96 vittime rivendicate al momento del report, con concentrazione in Italia, Spagna, Polonia, Turchia e Stati Uniti — non si distinguono solo per la qualità crittografica o per l'evasione comportamentale, ma per l'uso di smart contract su Polygon come struttura portante di comando, controllo e pubblicazione dei dati rubati. Questa scelta rende virtualmente inutile una tattica che le forze dell'ordine hanno impiegato con successo contro LockBit, ALPHV e altri: il sequestro dei server.
- DeadLock utilizza smart contract su Polygon per memorizzare URL proxy e post del data leak blog, rendendo la sua infrastruttura resistente a sequestri e takedown tradizionali.
- L'applicazione HTML di recupero esegue read-only eth_call su endpoint RPC pubblici senza richiedere wallet o pagare gas, consentendo alle vittime di contattare gli operatori senza generare tracce on-chain.
- L'encryptor in Rust implementa crittografia ibrida Curve25519/XChaCha20 con chiavi effimere per file, e Microsoft afferma che non esiste scorciatoia matematica per la decrittazione senza la chiave privata dell'attaccante.
- Il gruppo adotta tecniche BYOVD sfruttando la CVE-2024-51324 nel driver Baidu Antivirus (BdApiUtil.sys) per terminare i sistemi EDR a livello kernel.
Come Polygon diventa il backbone di un'operazione di estorsione
La novità infrastrutturale di DeadLock risiede in un'architettura che sostituisce i server sequestrabili con componenti decentralizzate. Secondo l'analisi di Microsoft, il gruppo ha identificato due indirizzi wallet specifici: 0x8EF7c3e531d871D3B9D559722DE77EB1dEc19dAe, che memorizza l'URL del server proxy di comando e controllo (nel report documentato come 138.226.236[.]51/prrq.php), e 0x757984507c82c8dA1d3969c535dB5706eEE6426C, deputato alla pubblicazione dei post del data leak blog.
Il meccanismo di recupero per le vittime passa attraverso un file HTML denominato RECOVERY_CHAT.<UID>.html, descritto da Microsoft come "un'applicazione web interattiva self-contained che implementa chat crittografata end-to-end, un blog di data leak paginato e un file browser, tutto senza richiedere un backend server tradizionale". Il JavaScript incorporato esegue chiamate eth_call in sola lettura verso sei endpoint RPC pubblici di Polygon. Nessun wallet è richiesto, nessuna transazione viene creata, nessun fee è corrisposto: la vittima recupera l'indirizzo proxy corrente lasciando una traccia minima e tecnicamente non associabile.
Questa tecnica, denominata EtherHiding, non è originale di DeadLock. Group-IB ne aveva documentato l'uso già nell'agosto 2025 per i primi smart contract del gruppo, con aggiornamenti successivi nel novembre 2025, e precedenti campioni erano stati associati a un botnet denominato Aeternum e a operatori attribuiti alla Corea del Nord. DeadLock ne rappresenta tuttavia la prima applicazione sistematica come nucleo di una campagna di doppia estorsione a bersagli enterprise, come riportato da TechTimes sulla base dell'analisi Microsoft.
"DeadLock, in other words, is not just a threat. It is a template" — ReliaQuest assessment, Q2 2026
L'encryptor come dimostrazione di maturità ingegneristica
Il componente di cifratura, scritto in Rust, conferma un livello di cura tecnica insolito nel panorama ransomware. L'implementazione crittografica ibrida combina Curve25519 per lo scambio Diffie-Hellman a curva ellittica, XChaCha20 come stream cipher, e NaCl crypto_box (XSalsa20/Poly1305) per l'autenticazione. Microsoft ha documentato una chiave effimera di 32 byte e un nonce di 24 byte generati per ogni singolo file, eliminando qualsiasi riutilizzo di materiale crittografico. L'affermazione esplicita dell'azienda è inequivocabile: "There is no mathematical shortcut to decryption without the attacker's private key".
La strategia di cifratura è gerarchica e consapevole delle risorse: file inferiori a 50 MB subiscono cifratura integrale; a circa 50 MB il 50% del contenuto viene cifrato; a circa 118 MB il 25%; a circa 500 MB il 10%; oltre 1 GB si applica una cifratura a blocchi di 512 byte con pattern intermittente. Paralleamente, il malware sospende l'attività quando la memoria supera il 29% o la CPU il 70%, riducendo il profilo comportamentale rilevabile. Il geofencing esclude inoltre paesi di lingua CIS, Iran, Siria, Oman e Yemen, suggerendo una cautela operatoria che non costituisce tuttavia prova di provenienza geografica.
La catena di attacco: dal BYOVD all'evasione del monitoraggio
L'accesso iniziale si avvale di una tecnica Bring Your Own Vulnerable Driver documentata da Cisco Talos nel dicembre 2025. DeadLock sfrutta la CVE-2024-51324, con punteggio CVSS 3.8 classificato LOW dal National Vulnerability Database, in un driver legittimo dell'antivirus Baidu (BdApiUtil.sys). La vulnerabilità consente la terminazione dei processi di Endpoint Detection and Response a livello kernel, privando la vittima della capacità di rilevamento e risposta prima che l'encryptor inizi l'operazione. La scelta di un driver di sicurezza di vendor non occidentale illustra un pattern di abuso diffuso ma efficace: il software di protezione diventa il veicolo della sua neutralizzazione.
Il finanziamento dell'infrastruttura è altrettanto strutturato. Group-IB ha tracciato il rifornimento del wallet operativo attraverso FixedFloat, un exchange istantaneo che consente conversioni di criptovalute senza registrazione prolungata. Questo dettaglio, datato gennaio 2026, mostra una continuità operativa che precede di mesi la pubblicazione dell'analisi Microsoft.
Cosa fare adesso
- Rivedere le policy di blocco network: gli indirizzi proxy di DeadLock ruotano via smart contract Polygon, rendendo le liste di blocco IP e i filtri DNS tradizionali incompleti come unica linea difensiva.
- Rafforzare il monitoraggio dei processi driver: la firma di BdApiUtil.sys o driver analoghi di vendor di sicurezza non occidentali devono attivare verifiche immediate, indipendentemente dalla reputazione generale del vendor.
- Isolare i backup dalla sincronizzazione cloud automatica: DeadLock termina i servizi di cloud sync e cancella le shadow copy; la conservazione di copie offline e air-gapped riduce la superficie di distruzione.
- Valutare la resilienza crittografica delle proprie strategie di backup: la qualità della crittografia implementata da DeadLock rende improbabile il recupero senza pagamento del riscatto, spostando il baricentro della difesa sulla disponibilità dei dati protetti.
Perché DeadLock cambia il gioco contro il ransomware
Il problema che DeadLock presenta alle difese non è semplicemente tecnico ma architetturale. Le operazioni di contrasto internazionale degli ultimi anni — Operation Cronos contro LockBit, le azioni contro ALPHV/BlackCat — hanno poggiato sulla capacità di identificare, sequestrare e disincentivare l'infrastruttura di hosting, proxy e comunicazione. Quando questa infrastruttura migra su smart contract immutabili e protocolli di storage decentralizzati come Wasabi, il sequestro diventa un'operazione di significato limitato: i contratti persistono, i dati restano accessibili, e la rotazione degli indirizzi proxy richiede solo una transazione on-chain.
Microsoft stessa riconosce i limiti della propria tattica di contrasto, notando che "proxy servers and Wasabi storage remain disruptable". La sfida però è nella scala e nella velocità: ogni takedown richiede cooperazione transnazionale, mentre la creazione di un nuovo smart contract su Polygon richiede minuti e centesimi di MATIC. L'analogia proposta da ReliaQuest — DeadLock come "template" piuttosto che come minaccia isolata — trova conferma nell'emergere di Cry0, un secondo gruppo ransomware che sperimenta infrastrutture C2 basate su blockchain, e nella previsione dello stesso ReliaQuest di ulteriore adozione entro fine anno.
Per le organizzazioni, questo significa che il perimetro di difesa deve estendersi oltre la rete tradizionale. La capacità di un attaccante di ospitare risorse di estorsione su infrastrutture che non possono essere spente con un mandato di sequestro impone un ripensamento delle assunzioni operative: il presupposto che una minaccia possa essere "disconnessa" diventa progressivamente insostenibile.
Domande frequenti
- Pagare il riscatto garantisce il recupero dei dati?
- Il dossier non documenta né conferma né smentisce la capacità di decrittazione post-pagamento. L'affidabilità delle "promesse di report di sicurezza" e protezioni future citate nel messaggio di recupero non è verificabile sulla base delle fonti disponibili.
- Possono le autorità bloccare gli smart contract di DeadLock?
- La rete Polygon è decentralizzata; i validator non dispongono di meccanismi centralizzati di censura dei contratti. Microsoft non documenta tentativi di intervento a livello di fondazione o validazione, né conferma che tali tentativi siano tecnicamente efficaci.
- Perché l'analisi Microsoft è significativa ora?
- Dopo un anno di operatività documentata a partire dal luglio 2025, DeadLock aveva accumulato sufficiente scala (oltre 80-96 vittime secondo le diverse fonti) e complessità tecnica da meritare un trattamento sistematico. Il report del 10 agosto 2026 fornisce la prima fotografia completa di un modello che i ricercatori avevano solo parzialmente osservato.
Fonti
- https://thehackernews.com/2026/08/deadlock-ransomware-uses-polygon-smart.html
- https://www.techtimes.com/articles/323949/20260811/deadlock-ransomware-hides-c2-polygon-blockchain-80-plus-victims-hit.htm
- https://www.bankinfosecurity.com/deadlock-ransomware-group-utilizes-polygon-smart-contracts-a-30518
- https://www.bleepingcomputer.com/news/security/deadlock-ransomware-uses-blockchain-to-resist-infrastructure-takedown/
- https://www.bankinfosecurity.com/
- https://www.bankinfosecurity.co.uk/
- https://www.bankinfosecurity.eu/
- https://www.bankinfosecurity.in/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.