Una mirada más cercana al cifrador basado en Rust de DeadLock

Un nuevo análisis técnico de los investigadores de seguridad de SOCFortress, publicado en Medium en agosto de 2026, ofrece a los defensores una mirada detallada al ransomware DeadLock, una operación motivada económicamente que ha construido silenciosamente una de las infraestructuras de extorsión más resilientes vistas en la memoria reciente. La investigación profundiza en cómo está construido el cifrador del malware, por qué el grupo eligió el lenguaje de programación Rust y cómo DeadLock ha diseñado sus sistemas de recuperación y comunicación para sobrevivir a los derribos por parte de las fuerzas de seguridad y la industria de la seguridad.

Rust se ha convertido en una opción cada vez más popular entre los desarrolladores de ransomware porque compila a binarios rápidos y seguros en cuanto a memoria que son notoriamente difíciles de realizar ingeniería inversa para los analistas de seguridad en comparación con el malware escrito en lenguajes más antiguos como C o Delphi. Para DeadLock, eso se traduce en un cifrador que no solo bloquea rápidamente los archivos de las víctimas, sino que también resiste el tipo de análisis estático en el que los investigadores suelen confiar para crear firmas de detección o herramientas de recuperación. Informes anteriores sobre el grupo ya han detallado cómo el ransomware DeadLock elimina Windows Defender, deshabilita las copias de seguridad y borra los registros de eventos antes de que comience el cifrado, una combinación que despoja a las víctimas tanto de su última línea de defensa como de la evidencia forense necesaria para reconstruir lo sucedido.

Infraestructura de recuperación descentralizada diseñada para sobrevivir a los derribos

Lo que distingue a DeadLock de muchos de sus pares del ransomware no es solo el cifrador en sí, sino la infraestructura que lo rodea. Las operaciones tradicionales de ransomware dependen de servidores centralizados de comando y control, sitios de filtración y portales de negociación, todo lo cual puede ser incautado, hundido o incluido en listas negras una vez que los investigadores los identifican. DeadLock ha adoptado un enfoque diferente al distribuir partes críticas de su operación en plataformas descentralizadas que son mucho más difíciles de cerrar.

Los investigadores han descubierto que el grupo almacena partes de su configuración de comando y control directamente en la cadena de bloques, un enfoque documentado en informes sobre cómo el ransomware DeadLock usa la cadena de bloques para esquivar los derribos. Debido a que los registros de la cadena de bloques son inmutables y están distribuidos en miles de nodos, no hay un único servidor que los defensores puedan poner fuera de línea. Un análisis relacionado vincula específicamente este comportamiento con la cadena de bloques Polygon, que el grupo ha utilizado para anclar datos de configuración fuera del alcance de los derribos de infraestructura convencionales.

DeadLock también ha trasladado la comunicación con las víctimas fuera de los portales tradicionales de negociación en la dark web. El grupo ha adoptado la aplicación de mensajería cifrada Session para las negociaciones de rescate, un cambio cubierto en informes anteriores sobre cómo el ransomware DeadLock añadió la aplicación Session para evadir los derribos. El diseño descentralizado y resistente a metadatos de Session hace que sea mucho más difícil para los investigadores rastrear las comunicaciones hasta los operadores, añadiendo otra capa de resiliencia a una operación que ya es difícil de interrumpir.

El alcance del daño hasta ahora

La sofisticación técnica detrás de DeadLock no es teórica. Para julio de 2026, la operación ya había sido vinculada a más de 80 víctimas conocidas, según el seguimiento de inteligencia de amenazas citado junto con la investigación más amplia sobre el grupo. Las consecuencias financieras y de reputación de estos ataques han sido significativas. Uno de los incidentes más notables involucró a la empresa biofarmacéutica Diater, donde la violación de datos por el ransomware DeadLock expuso registros de una década, subrayando cómo las tácticas de doble extorsión, robar datos antes de cifrarlos, pueden causar daños duraderos incluso para organizaciones que logran recuperar sus sistemas.

Qué significa esto para ti

Para los usuarios cotidianos, DeadLock es un recordatorio de que los grupos de ransomware se están profesionalizando a un ritmo acelerado. Esto no es un hacker solitario con un simple script de cifrado; es una operación que utiliza lenguajes de programación modernos, tecnología de cadena de bloques y aplicaciones de mensajería centradas en la privacidad para construir algo más parecido a un negocio distribuido y resiliente. Si trabajas en una organización que podría ser objetivo, o si eres un consumidor cuyos datos personales podrían verse envueltos en una violación corporativa como la de Diater, el riesgo práctico es el mismo: los datos robados pueden terminar expuestos o vendidos independientemente de si se paga un rescate.

La buena noticia es que los fundamentos de la defensa contra el ransomware no han cambiado solo porque la infraestructura detrás de él se haya vuelto más sofisticada. Los atacantes aún necesitan un punto de entrada inicial, ya sea mediante phishing, acceso remoto expuesto o software sin parchear, antes de que cualquier cifrador pueda ejecutarse.

Conclusiones prácticas

Mantén copias de seguridad offline y probadas que el ransomware no pueda alcanzar o deshabilitar de forma remota. Mantén actualizadas las herramientas de protección de endpoints y registro, ya que DeadLock ataca específicamente herramientas como Windows Defender y los registros de eventos para borrar sus rastros. Sé escéptico ante archivos adjuntos o enlaces no solicitados, ya que el acceso inicial generalmente comienza con ingeniería social básica. Si recibes una notificación de que tus datos estuvieron involucrados en una violación vinculada a un grupo de ransomware, trátala con seriedad y monitorea señales de robo de identidad o uso indebido de credenciales. Como muestra el ransomware DeadLock, mantenerse informado sobre cómo evolucionan estos grupos es uno de los pasos más prácticos que cualquiera puede tomar para proteger sus datos.