Infraestructura descentralizada basada en blockchain
La operación de ransomware DeadLock ha adoptado una infraestructura descentralizada que se apoya en servicios basados en blockchain para proteger su comunicación con las víctimas y su actividad de filtración de datos. Este grupo, que surgió a mediados de 2025, emplea una estrategia de doble extorsión (robo y filtración de datos, junto con cifrado de archivos) para presionar a las víctimas a pagar un rescate.
Para julio de este año, el sitio de filtraciones de DeadLock ya listaba 80 organizaciones, principalmente en Europa, en sectores como TI, minería, transporte, manufactura, hostelería y bienes de consumo. Investigadores de Microsoft han observado que el malware es desplegado por varios grupos, incluido un afiliado previamente vinculado a los ecosistemas de ransomware Lynx e INC.
La principal innovación de DeadLock es el uso de la blockchain Polygon para almacenar datos de configuración y contenidos de su sitio de filtraciones. En lugar de utilizar una URL de Tor tradicional, la página HTML obtiene la dirección actual del proxy de chat consultando un contrato inteligente en Polygon mediante una llamada eth_call de solo lectura. Recuperar direcciones de comando y control (C2) almacenadas en blockchain es una táctica cada vez más común, pero rara en el ámbito del ransomware.
Además, DeadLock utiliza la red descentralizada Session para cifrar las comunicaciones con las víctimas y proporciona acceso a los archivos robados alojados en el servicio en la nube Wasabi. Todo ello permite a los operadores reemplazar el proxy de chat sin modificar la aplicación visible para la víctima y reduce su dependencia de dominios convencionales y servidores web, que pueden ser derribados por las autoridades.
Microsoft señala que, aun así, estas resistencias no son absolutas: las comunicaciones requieren el proxy personalizado, los puntos finales públicos de Polygon RPC deben permanecer accesibles y los archivos alojados en Wasabi pueden ser eliminados.
Esquema de cifrado de DeadLock
El informe de Microsoft también detalla el sistema de cifrado de DeadLock, que está configurado para evitar países de la antigua Unión Soviética y la región de la CEI, además de Irán, Siria, Omán y Yemen. Tras preparar el host Windows eliminando backups, desactivando la virtualización y vaciando la papelera de reciclaje, el cifrador bloquea directorios no críticos seleccionados utilizando claves únicas XChaCha20 protegidas con la curva elíptica Curve25519.
El ransomware está configurado para usar hasta el 29% de la memoria del sistema y el 70% de los recursos de CPU, lo que permite a la víctima seguir usando la máquina durante el cifrado sin grandes problemas de rendimiento. Los archivos más grandes se cifran de forma intermitente en bloques de 512 bytes para acelerar el proceso, aunque deja los datos mayormente irrecuperables.
Los datos cifrados se renombran con un identificador único por víctima y la extensión '.dlock', se cambian los iconos, se generan notas de rescate en TXT y el fondo de escritorio se modifica para indicar que el sistema ha sido bloqueado. El atacante solicita el pago del rescate en Bitcoin o Monero a cambio de un descifrador, la promesa de eliminar los datos robados, detalles sobre el vector de acceso inicial y una serie de recomendaciones de seguridad.
Defensas recomendadas
Para defenderte contra ataques de ransomware DeadLock, Microsoft recomienda fortalecer las defensas de los puntos finales mediante protección antivirus en la nube, EDR en modo bloqueo, protección contra manipulaciones, investigación y remediación automatizadas y la interrupción automática de ataques. Las organizaciones también deberían restringir los cambios no autorizados en archivos mediante el Acceso controlado a carpetas y activar reglas de reducción de superficie de ataque para bloquear ejecutables no confiables y el movimiento lateral a través de PsExec y WMI.
Deja una respuesta