DeadLock recurre a la blockchain para dificultar la retirada de su infraestructura

El 11 de agosto de 2026, la operación de ransomware DeadLock fue identificada utilizando una infraestructura descentralizada basada en servicios respaldados por blockchain para proteger sus comunicaciones con las víctimas y su actividad de filtración de datos. El grupo apareció a mediados de 2025 y emplea un modelo de doble extorsión, que combina el robo y la amenaza de publicación de información con el cifrado de archivos.

En julio, el sitio de filtraciones de DeadLock mostraba 80 organizaciones, principalmente de Europa. Entre las víctimas figuran empresas de los sectores de tecnologías de la información, minería, transporte, fabricación, hostelería y bienes de consumo. Investigadores de Microsoft observaron que el malware estaba siendo desplegado por varios grupos, incluido un afiliado relacionado anteriormente con los ecosistemas de ransomware Lynx e INC.

Los operadores de DeadLock han incorporado la blockchain de Polygon para almacenar datos de configuración y las publicaciones del sitio de filtraciones. En lugar de depender de una URL convencional de Tor, la página HTML utilizada por las víctimas obtiene la dirección actual del proxy de chat mediante una consulta de solo lectura, eth_call, a un contrato inteligente desplegado en Polygon.

El uso de direcciones de mando y control almacenadas en blockchain ya es una táctica habitual entre algunos ciberdelincuentes, aunque Microsoft la considera poco frecuente en el ámbito del ransomware. DeadLock también emplea la red descentralizada Session para cifrar las comunicaciones con las víctimas y utiliza el servicio de almacenamiento en la nube Wasabi para ofrecer acceso a los archivos robados.

Esta arquitectura permite a los operadores sustituir el proxy de chat sin modificar la aplicación que recibe la víctima y reduce su dependencia de dominios y servidores web tradicionales, que pueden ser intervenidos o retirados por las fuerzas de seguridad. Sin embargo, la resistencia frente a las interrupciones no es total: las comunicaciones siguen necesitando el proxy personalizado, los puntos de acceso RPC públicos de Polygon deben continuar disponibles y los archivos alojados en Wasabi pueden ser eliminados.

El informe de Microsoft también analiza el sistema de cifrado de DeadLock. El malware está configurado para evitar objetivos situados en países de la antigua Unión Soviética y en la región de la Comunidad de Estados Independientes (CIS), además de Irán, Siria, Omán y Yemen. Antes de iniciar el cifrado en sistemas Windows, elimina copias de seguridad, detiene la virtualización y vacía la Papelera de reciclaje.

El bloqueador cifra directorios no pertenecientes al sistema utilizando claves XChaCha20 únicas para cada archivo, protegidas mediante la curva elíptica Curve25519. Puede consumir hasta el 29 % de la memoria disponible y el 70 % de los recursos de CPU, con el objetivo de que la víctima pueda seguir utilizando el equipo durante el proceso sin una degradación importante del rendimiento. En los archivos de mayor tamaño, el cifrado se aplica de forma intermitente sobre bloques de 512 bytes para acelerar la operación y mantener los datos prácticamente irrecuperables.

Los archivos afectados reciben un identificador específico de la víctima y la extensión .dlock. El malware también cambia sus iconos, deja notas de rescate en formato TXT y modifica el fondo de escritorio para informar de que el sistema ha sido bloqueado. Los atacantes solicitan pagos en Bitcoin o Monero a cambio de un descifrador, la promesa de eliminar los datos sustraídos, información sobre el vector de acceso inicial y recomendaciones de seguridad.

Microsoft recomienda reforzar las defensas de los endpoints mediante protección antivirus proporcionada desde la nube, EDR en modo de bloqueo, protección contra manipulaciones, investigación y remediación automatizadas y mecanismos de interrupción automática de ataques. También aconseja restringir los cambios de archivos no autorizados mediante Controlled Folder Access y activar reglas de reducción de superficie de ataque para bloquear ejecutables no confiables y los movimientos laterales mediante PsExec y WMI.

Fuente: BleepingComputer.