Microsoft analizza DeadLock: ransomware Rust con infrastruttura decentralizzata

Microsoft Threat Intelligence ha pubblicato l'11 agosto 2026 l'analisi tecnica completa di DeadLock, un'operazione ransomware emergente attiva dal luglio 2025. Il gruppo ha già compromesso oltre 80 organizzazioni, pubblicate sul proprio data leak site entro luglio 2026, con una distribuzione geografica che copre Europa, Asia, Nord America, Sud America e Africa. L'architettura di recovery decentralizzata, basata su Session messaging network e servizi blockchain-backed, rappresenta una risposta evolutiva al modello tradizionale di server Tor centralizzati che le forze dell'ordine hanno imparato a colpire.

L'encryptor è scritto in Rust, linguaggio che garantisce prestazioni vicine al sistema e complica l'analisi statica. Il meccanismo di cifratura implementa un throttling resource-aware: il malware regola il carico per mantenere il sistema operativo responsivo durante l'operazione, prolungando così l'attività malevola prima che l'anomalia venga rilevata. La configurazione è embedded e protetta da XOR decoding con chiave a 8 byte, rendendo difficile l'estrazione dei parametri senza analisi dinamica.

Architettura decentralizzata: Session più blockchain

L'infrastruttura di recovery di DeadLock, secondo Microsoft Threat Intelligence, "combines the Session messaging network with blockchain-backed services that store and deliver resources used throughout the extortion process". Session è una rete di messaggistica decentralizzata che non dipende da server centrali, rendendo più complesso il blocco delle comunicazioni. La componente blockchain, per cui il dossier non specifica quale ledger o eventuali smart contracts, funge da layer di storage e delivery per le risorse impiegate nella fase di estorsione.

Questa architettura, come osserva Microsoft, "likely increases the resilience of portions of its communication, leak-hosting, and negotiation infrastructure, allowing DeadLock operators to recover from some disruption efforts while maintaining continuity for victims". La continuità per le vittime è un dettaglio rilevante: anche se una parte dell'infrastruttura viene dismessa, il canale di negoziazione e la pressione psicologica del leak hosting restano attivi. Il modello differisce sostanzialmente dalla tipica configurazione Tor-centralizzata che ha caratterizzato gruppi come Conti o LockBit, dove il sequestro di un server spesso interrompeva l'intera operazione.

Il dato di resilienza, tuttavia, va calibrato. Il brief non documenta come avvenga il failover tra nodi Session, né la frequenza di rotazione degli identificatori. La decentralizzazione aumenta il costo di disruption ma non lo rende impossibile: le tecniche di law enforcement si adattano, e l'efficacia pratica di questo modello si misurerà nei prossimi 12-18 mesi di operazioni attive.

Meccanismi di privilege escalation e anti-forensics

DeadLock implementa un tentativo di privilege escalation via UAC bypass che genera un file .cmd con nome casuale di 8 caratteri in uppercase, lo esegue con ShellExecuteW e verb RunAs, e ritenta fino a 10 volte. L'analisi dinamica di Microsoft ha mostrato che il campione analizzato "did not successfully relaunch itself with elevated privileges", indicando che il meccanismo fallisce in alcune configurazioni o che dipende da condizioni specifiche del sistema target. Il dossier non specifica quali condizioni abilitino il successo.

Con privilegi elevati, il malware abilita sei token privilegi: SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege, SeSecurityPrivilege. L'abilitazione di SeAuditPrivilege e SeSecurityPrivilege è particolarmente aggressiva: consente la manipolazione dei criteri di audit e dei log di sicurezza, preparando il terreno per la fase di clearing. Il svuotamento silenzioso del recycle bin su tutti i drive completa la rimozione delle copie shadow potenzialmente recuperabili.

La terminazione dei servizi e processi è estesa: windefend, vss, swprv, wbengine, mssearch, vmcompute, vmms, adws, ntds, kdc tra i servizi; msmpeng, securityhealthservice, smartscreen, explorer, powershell, taskmgr, cmd tra i processi. La lista include strumenti di sicurezza Microsoft, utilità di backup, virtualizzazione, domain services e interface utente di sistema. La terminazione di explorer, taskmgr e cmd impedisce l'interazione dell'utente con il sistema durante la cifratura.

Il clearing dei event logs avviene attraverso tre metodi concorrenti: API classica, disabilitazione registry-based con SDDL restrittivo che limita l'accesso ai canali di log, e enumerazione moderna via wevtapi.dll. La triplice strategia massimizza la probabilità di successo contro diversi strumenti di monitoraggio e livelli di hardening del sistema operativo.

Distribuzione e contesto di threat landscape

Microsoft ha osservato DeadLock "being deployed by multiple groups including an affiliate of the Lynx and INC ransomware ecosystems". Questa osservazione indica un modello di affiliate network o RaaS (Ransomware-as-a-Service) in espansione, dove l'encryptor è distribuito da operatori diversi con accesso a infrastrutture di accesso iniziale indipendenti. La connessione con Lynx e INC, entrambi ecosistemi noti nel panorama ransomware, suggerisce che DeadLock stia raccogliendo affiliate da network esistenti piuttosto che costruire un canale di reclutamento ex novo.

Le oltre 80 organizzazioni pubblicate sul data leak site entro luglio 2026 si concentrano per più della metà in Europa, con settori che spaziano da IT a mining, trasporti/logistica, manifattura, hospitality e beni di consumo. La distribuzione multi-regionale e multi-settoriale indica una strategia di targeting non verticale, probabilmente guidata dall'opportunità di accesso piuttosto che da interesse specifico per tipologie di dati o capacità di pagamento settoriali.

Il geofencing basato su lingua, con esclusione di paesi CIS e select Middle Eastern countries, è pattern comportamentale "commonly observed among ransomware operators believed to operate from those regions" secondo Microsoft. Il dossier non elenca completamente quali linguaggi siano nella lista di esclusione, né fornisce evidenza di attributazione nazionale specifica.

Cosa fare adesso

• Monitorare gli IOCs pubblicati da Microsoft Threat Intelligence, inclusa la chiave pubblica malware 03bf50bbf97c4e951e66ff12b689a37a3ce675b4921e254eae76da77573843e4a9 e la regola di cifratura 1000,05052429880,025124288000,010524288000,F991114288000, per il rilevamento di campioni noti.
• Verificare la protezione dei event logs contro clearing multi-tecnica: implementare forward in tempo reale verso SIEM esterni, con attenzione alla disabilitazione registry-based con SDDL restrittivo che blocca l'accesso locale ai canali.
• Rivedere le policy di controllo UAC e il monitoraggio di processi ShellExecuteW con verb RunAs, in particolare per script .cmd generati dinamicamente con nomi casuali di 8 caratteri uppercase.
• Valutare l'efficacia delle strategie di takedown e disruption interne: l'architettura decentralizzata di DeadLock riduce l'impatto del sequestro di singoli server, rendendo più rilevante la prevenzione dell'accesso iniziale e il rilevamento precoce dell'attività post-compromissione.

"Microsoft Threat Intelligence tracks DeadLock ransomware as an emerging financially motivated operation distinguished by its use of decentralized infrastructure to support victim communications and data leak operations" — Microsoft Threat Intelligence

Domande e risposte

La blockchain serve per i pagamenti di riscatto?

No. Secondo il dossier Microsoft, i servizi blockchain-backed sono usati per "store and deliver resources used throughout the extortion process", non per il pagamento del riscatto. La funzione è di infrastruttura di supporto, non di canale finanziario.

Il campione analizzato è rappresentativo di tutte le varianti in circolazione?

Il brief non lo garantisce. Microsoft specifica che il comportamento descritto è "specific to the analyzed sample and may change in later variants". La variabilità è attesa in un ecosistema affiliate con possibili customizzazioni per singoli operatori.

Il geofencing prova l'origine russa degli operatori?

No. Il geofencing è "commonly observed among ransomware operators believed to operate from those regions", ma non costituisce prova di attributazione. Il dossier non identifica individui, nazioni o gruppi specifici dietro DeadLock.

La pubblicazione di questo dossier tecnico da parte di Microsoft Threat Intelligence, con dettagli sull'architettura e IOCs verificabili, offre un vantaggio temporaneo ai difensori. La rilevanza strategica sta tuttavia nella domanda che solleva: se la decentralizzazione Session+blockchain si dimostra efficace contro i takedown, il prossimo ciclo evolutivo del ransomware potrebbe rendere obsolete le tecniche standard di disruption che hanno caratterizzato le operazioni contro LockBit e ALPHV. L'adattamento di law enforcement e industria sarà il campo di prova dei prossimi 18 mesi.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.microsoft.com/en-us/security/blog/2026/08/10/deadlock-ransomware-breaking-down-a-rust-based-encryptor-with-decentralized-recovery-infrastructure/
• https://www.microsoft.com/security/business/microsoft-defender