A operação de ransomware DeadLock está usando uma infraestrutura descentralizada, baseada em serviços sustentados por blockchain, para proteger sua comunicação com as vítimas e as atividades de vazamento de dados, em uma tentativa de aumentar sua resiliência operacional.
“Seu ecossistema de recuperação combina a rede de mensagens Session com serviços apoiados em blockchain que armazenam e entregam recursos usados ao longo de todo o processo de extorsão”, afirmou a equipe de Inteligência contra Ameaças da Microsoft.
A gigante de tecnologia informou que observou o malware sendo distribuído por múltiplos threat actors, incluindo um afiliado anteriormente associado aos ecossistemas de ransomware Lynx e INC.
O DeadLock surgiu em meados de 2025 e adota táticas de dupla extorsão, combinando roubo e vazamento de dados com criptografia de arquivos para pressionar as vítimas a pagar resgate. Em julho deste ano, seu site de vazamento de dados listava 80 organizações, a maioria da Europa, incluindo empresas dos setores de TI, mineração, transporte, manufatura, hotelaria e bens de consumo.
A Microsoft observou que o grupo usa uma nova abordagem que recorre à blockchain Polygon para armazenar dados de configuração e as publicações do site de vazamento. Em vez de usar uma URL tradicional da rede Tor, a página em HTML recupera o endereço atual do chat proxy ao consultar um smart contract na Polygon por meio de uma leitura apenas, usando eth_call.
A obtenção de endereços de command and control (C2) armazenados na blockchain já é uma tática conhecida entre cibercriminosos, mas ainda é rara no cenário de ransomware. Além disso, o DeadLock usa a rede descentralizada Session para criptografar as comunicações com as vítimas e fornece acesso a arquivos roubados hospedados no serviço de cloud Wasabi.
Esse modelo permite aos operadores trocar o chat proxy sem modificar o aplicativo voltado à vítima e reduz a dependência de domínios e servidores web convencionais, que podem ser derrubados por autoridades. Ainda assim, a Microsoft observou que as comunicações continuam exigindo o proxy personalizado, os endpoints públicos de RPC da Polygon precisam permanecer acessíveis e os arquivos hospedados na Wasabi podem ser removidos, o que significa que a resistência a interrupções não é absoluta.
O relatório da Microsoft também detalha o sistema de criptografia do DeadLock, configurado para evitar países da antiga União Soviética e da região da Comunidade de Estados Independentes (CIS), além de Irã, Síria, Omã e Iêmen.
Depois de preparar o host Windows apagando backups, interrompendo a virtualização e esvaziando a Lixeira, o locker criptografa diretórios não relacionados ao sistema usando chaves XChaCha20 exclusivas por arquivo, protegidas pela curva elíptica Curve25519. O ransomware foi configurado para usar até 29% da memória disponível do sistema e 70% dos recursos de CPU, o que permite que a vítima continue usando a máquina durante o processo de criptografia sem grandes travamentos.
Arquivos maiores são criptografados de forma intermitente em blocos de 512 bytes para acelerar o processo e, ainda assim, torná-los em grande parte irrecuperáveis. Os dados criptografados recebem um novo nome com um identificador específico da vítima e a extensão “.dlock”. Os ícones são alterados, notas de resgate em TXT são deixadas no sistema e o papel de parede da área de trabalho é trocado para indicar que o sistema foi bloqueado.
A nota de resgate orienta a vítima a usar o aplicativo de mensagens descentralizado e com criptografia de ponta a ponta Session para entrar em contato e fazer um pagamento em Bitcoin ou Monero em troca de um decryptor, da promessa de apagar os dados roubados, de detalhes sobre o vetor de acesso inicial e de um conjunto de recomendações de segurança. Em uma das versões da nota, o grupo também oferece à empresa comprometida um “relatório de segurança” com detalhes sobre as etapas usadas pelos invasores para invadir a rede.
Além disso, a nota informa que vítimas que fizerem o pagamento receberão recomendações de segurança para evitar novos ataques, com a garantia de que não voltarão a ser alvo no futuro.
Outro recurso importante é a implementação de um bloqueio geográfico baseado em idioma ou país para evitar a execução em ambientes associados a países ligados à antiga União Soviética e à Comunidade dos Estados Independentes (CIS), além de alguns países do Oriente Médio.
Separadamente, o grupo inclui um “mecanismo de limitação consciente de recursos” que garante a responsividade do sistema enquanto o processo de criptografia está em andamento e o pausa quando o uso de memória ultrapassa 29% ou a carga de CPU excede 70%, além de recorrer ao AnyDesk para o controle remoto de hosts comprometidos. Para evitar a defesa e reduzir evidências forenses, ele apaga sistematicamente logs e desativa o registro por meio de manipulação do Registro para impedir a gravação de eventos futuros.
A versão para Windows do bloqueador usa um script em PowerShell para encerrar serviços que não estão em uma lista de permitidos e garantir que eles não sejam executados automaticamente após a reinicialização. O script também é responsável por apagar Cópias de Sombra de Volume e por se remover, em uma tentativa de encobrir os rastros. Como etapa final de limpeza após a criptografia bem-sucedida, o malware cria um script em lote para excluir seu próprio binário do disco e então se apagar.
Talvez o aspecto mais incomum do ransomware seja o uso de uma nota em HTML (“RECOVERY_CHAT.<UID>.html”), colocada em todos os diretórios raiz das unidades e em todas as pastas da Área de Trabalho.
“Diferentemente da nota em texto, a nota em HTML é uma aplicação web interativa completa, com uma aplicação de página única autônoma que implementa chat com criptografia de ponta a ponta, um blog de vazamento de dados com paginação e um navegador de arquivos, tudo isso sem exigir um servidor tradicional de backend”, disse a Microsoft.
Segundo a Group-IB, a finalidade do arquivo HTML é facilitar a comunicação direta entre o operador do DeadLock e a vítima como alternativa ao download do aplicativo Session. O arquivo HTML envia e recebe mensagens de um servidor que atua como proxy, cujos detalhes são recuperados e gerenciados por meio de uma abordagem baseada em blockchain.
Na prática, isso envolve o uso de código JavaScript dentro do arquivo HTML que interage com smart contracts da Polygon para a rotação descentralizada de endereços de servidores proxy, transformando a infraestrutura em algo resistente à censura e a ações de derrubada, o que permite ao operador atualizar a URL do proxy sem precisar tocar em nenhum domínio visível às vítimas ou registrar novos domínios.
“Esse exploit de smart contracts para fornecer endereços de proxy é um método interessante, no qual os invasores podem literalmente aplicar infinitas variações dessa técnica”, disse a Group-IB na época.
A página de recuperação de chat também dá acesso a um blog de vazamento de dados cujo conteúdo é hospedado na blockchain da Polygon, oferecendo acesso navegável aos arquivos vazados sem a necessidade de executar um servidor web, por meio do protocolo Wasabi. Os dois endereços de carteira usados pelo threat actor são:
0x8EF7c3e531d871D3B9D559722DE77EB1dEc19dAe, que armazena a URL do servidor proxy (“138.226.236[.]51/prrq.php”)
0x757984507c82c8dA1d3969c535dB5706eEE6426C, que armazena as publicações do blog
“Esse modelo de infraestrutura representa uma evolução relevante em relação aos canais tradicionais de comunicação de ransomware e cria novos desafios para os esforços de derrubada”, afirmou a Microsoft. “Essa arquitetura provavelmente aumenta a resiliência de partes da infraestrutura de comunicação, hospedagem de vazamentos e negociação, permitindo que os operadores do DeadLock se recuperem de algumas tentativas de interrupção enquanto mantêm a continuidade para as vítimas.”
Para se defender contra ataques do DeadLock ransomware, a Microsoft recomenda reforçar a proteção de endpoint com antivírus entregue pela cloud, EDR em modo de bloqueio, proteção contra adulteração, investigação e remediação automatizadas e interrupção automática de ataques. As organizações também devem restringir alterações não autorizadas em arquivos com o Controlled Folder Access e ativar regras de redução da superfície de ataque para bloquear executáveis não confiáveis e o movimento lateral via PsExec e WMI.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...