DeadLock usa Polygon e Session per infrastruttura ransomware…

Microsoft Threat Intelligence analizza DeadLock, ransomware in Rust che sfrutta blockchain Polygon e messaggistica Session per creare un'infrastruttura di recovery

Microsoft Threat Intelligence ha pubblicato l'analisi tecnica di DeadLock, un ransomware sviluppato in Rust che dal luglio 2025 ha compromesso oltre 80 organizzazioni, con più della metà delle vittime concentrate in Europa. Il gruppo si distingue per l'adozione di protocolli decentralizzati—la blockchain Polygon e la rete di messaggistica Session—che eliminano i single points of failure tradizionali delle infrastrutture criminali. Questa architettura rende inefficaci i classici interventi di law enforcement come il sequestro dei server o il takedown dei domini, trasformando la decentralizzazione da strumento di libertà in arredo per la criminalità.

Punti chiave

DeadLock impiega Session e Polygon per comunicazioni e hosting di risorse estorsive, eliminando server centralizzati recuperabili dalle autorità.
L'encryptor in Rust implementa geofencing linguistico con 17 LANGID esclusi e throttling resource-aware con soglie al 29% di memoria e 30% di CPU idle.
Il schema crittografico ibrido Curve25519/XChaCha20 include una chiave pubblica attaccante in formato SEC1 compresso, marker di tradecraft.
Più della metà delle oltre 80 vittime si trova in Europa; il malware è distribuito da affiliate di gruppi noti come Lynx e INC ransomware.

Rust come fondazione anti-analisi

DeadLock è sviluppato in Rust per efficienza, memory safety e cross-platform flexibility. La scelta del linguaggio non è estetica: la compilazione nativa e l'assenza di runtime tipico di linguaggi managed rendono l'analisi statica e dinamica più laboriosa per gli operatori di sicurezza. L'encryptor implementa uno schema crittografico ibrido che combina Curve25519 per lo scambio di chiavi con XChaCha20 per la cifratura dei file, secondo le costruzioni NaCl documentate dall'analisi indipendente di SOC Fortress. Ogni file cifrato include nel footer un ephemeral public key di 33 byte e i parametri per la decrittazione.

Un dettaglio tecnico segnala tradecraft raffinato: la chiave pubblica attaccante è codificata in formato SEC1 compresso con prefisso 03, non standard per Curve25519. Questa scelta è un marker deliberato che distingue DeadLock da implementazioni più generiche. La configurazione embedded è protetta da una chiave XOR di 8 byte, mentre la policy di cifratura è tiered basata sulla dimensione del file, definita in una stringa di configurazione analizzabile.

La triade decentralizzata: Session, Polygon e resilienza ai takedown

L'innovazione architetturale di DeadLock risiede nel recovery ecosystem che combina tre strati complementari. Il primo è Session, rete di messaggistica onion-routed senza server centralizzati, impiegata per le comunicazioni con le vittime. Il secondo è Polygon, blockchain impiegata per storage e delivery di risorse usate nell'estorsione. Il terzo è l'assenza stessa di infrastruttura proprietaria centralizzata: non esiste un server C2 da sequestrare, un dominio leak site da bloccare, un indirizzo email negoziale da filtrare.

"Questa architettura aumenta la resilienza di porzioni della comunicazione, dell'hosting dei leak e dell'infrastruttura negoziale, permettendo agli operatori di DeadLock di recuperare da alcuni sforzi di interruzione mantenendo la continuità per le vittime."
— Microsoft Threat Intelligence

Secondo l'analisi di SOC Fortress, i protocolli decentralizzati sono "specifically engineered to ensure operational continuity even in the face of infrastructure seizures or domain takedowns". La formulazione di Microsoft è più cauta sul grado di resilienza, limitandosi a porzioni dell'infrastruttura; entrambe le fonti concordano però sulla direzione strategica. La fonte non specifica se Polygon ospiti solo contenuto statico o anche logiche di smart contract attive, né se Session sia utilizzata esclusivamente per la chat negoziale post-encryption o anche per comando e controllo preliminare.

Evasione comportamentale e geografica

DeadLock integra due meccanismi di evasione che riducono la visibilità in sandbox e aumentano la precisione dell'attacco. Il geofencing linguistico controlla la LANGID di sistema e dell'interfaccia: se corrisponde a uno dei 17 codici esclusi—prevalentemente ex-CIS e paesi medio-orientali—il malware si auto-cancella immediatamente senza eseguire alcuna cifratura. Questo pattern è comunemente osservato tra operatori di ransomware ritenuti attivi in quelle regioni, ma non costituisce prova di origine geografica.

Il throttling resource-aware monitora continuamente memoria e CPU. Se l'uso di memoria supera il 29% o la CPU idle scende sotto il 30%, il malware attiva un waitable timer che sospende l'attività. Il meccanismo impiega atomic signaling: i worker thread impegnati nella cifratura di un file non vengono interrotti, preservando l'integrità del processo in corso. Il dossier non chiarisce se questo comportamento sia progettato primariamente per evasione delle sandbox, per preservare la stabilità del sistema compromesso, o per entrambi gli obiettivi.

Escalation, neutralizzazione difese e distruzione forense

L'encryptor implementa un UAC bypass tramite script .cmd con nome casuale di 8 caratteri maiuscoli, eseguito con ShellExecuteW e verbo RunAs, con un massimo di 10 tentativi di elevation. Ottenuti i privilegi, acquisisce SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege e SeSecurityPrivilege per operare senza restrizioni.

La neutralizzazione delle difese è sistematica: termina Windows Defender, i servizi VSS e di backup, i servizi di cloud sync, i processi EDR e gli strumenti di accesso remoto. La distruzione forense procede a tre livelli: clearing diretto dei log, disabilitazione via registry dei canali WINEVT, e enumerazione attraverso le API moderne di wevtapi.dll. Il branding visivo include un'icona personalizzata .dlock depositata in C:\ProgramData con modifica del registry, elemento raro che segnala attenzione alla percezione della vittima.

Cosa fare adesso

Le organizzazioni devono adattare le difese alla natura distribuita di DeadLock. I team di sicurezza devono integrare il monitoraggio del traffico verso endpoint Polygon RPC e nodi Session nella rete aziendale, attività non coperta dalle signature tradizionali. La detection deve concentrarsi sui comportamenti pre-cifratura: l'UAC bypass con script .cmd casuali di 8 caratteri, l'acquisizione sequenziale dei 6 privilegi di sistema documentati, e la terminazione dei servizi VSS e EDR.

Gli analisti forensi devono verificare la presenza dell'icona .dlock in C:\ProgramData e delle modifiche ai canali WINEVT, indicatori di compromissione specifici di questo encryptor. La segmentazione della rete deve isolare i sistemi critici per rallentare la propagazione, dato che il throttling al 29% di memoria e 30% di CPU idle può mascherare l'attività iniziale. I backup devono essere testati per recovery senza dipendenza dai canali negoziali, che su Session non sono intercettabili con i metodi convenzionali.

La geofencing con 17 LANGID esclusi non è rilevante per la difesa diretta, ma conferma che DeadLock è distribuito da affiliate con targeting controllato. Le organizzazioni europee, che rappresentano oltre il 50% delle 80+ vittime documentate, devono considerare questo profilo di rischio elevato nelle valutazioni di threat intelligence.

Perché è importante

DeadLock rappresenta un passaggio qualitativo nella professionalizzazione del ransomware. L'adozione di Rust e dello stack Web3 non è moda tecnologica: alza le barriere all'ingresso per gli analisti di sicurezza, che devono padroneggiare strumenti di reverse engineering per binari nativi e tracciare flussi su infrastrutture decentralizzate. La fonte non quantifica il numero esatto di affiliate né la loro struttura di revenue sharing; non documenta inoltre le modalità di exfiltrazione iniziale dei dati, precedenti alla cifratura.

La concentrazione europea delle vittime—oltre il 50% di un totale superiore alle 80 organizzazioni—indica targeting geografico attivo. Il modello di doppia estorsione, con minaccia di pubblicazione dei dati oltre alla cifratura, è ormai standard ma qui è abbinato a un'infrastruttura di negoziazione più difficile da interrompere. La fonte non specifica misure correttive o azioni di mitigazione particolari; il brief non documenta inoltre se le vittime abbiano effettivamente recuperato i dati tramite i canali di recovery proposti.

Il dato più significativo per il settore è la convergenza: strumenti progettati per la libertà di espressione e la resistenza alla censura—Session come evoluzione di Signal, Polygon come scaling di Ethereum—vengono riadattati per garantire la continuità operativa di attività criminali. Non è la prima volta che tecnologie legittime vengono strumentalizzate, ma la coerenza architetturale con cui DeadLock le integra segnala una comprensione profonda dei vantaggi strutturali della decentralizzazione, non una semplice adozione superficiale.

Domande e dettagli

Polygon è compromesso o vulnerabile?

No. Polygon è utilizzato lecitamente come infrastruttura; non emerge che la blockchain o i suoi smart contract presentino vulnerabilità sfruttate. La decentralizzazione stessa è il vettore di resilienza, non un difetto di sicurezza.

Il geofencing prova che gli operatori siano russi?

No. Il geofencing linguistico è descritto da Microsoft come "commonly observed among ransomware operators believed to operate from those regions". È un indicatore comportamentale, non una prova di attribuzione.

Il throttling garantisce l'integrità dei file cifrati?

Nel campione analizzato, l'atomic signaling preserva i worker thread attivi durante le pause. La fonte non estende questa garanzia a tutti gli scenari di esecuzione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti