Gli operatori ransomware hanno sempre cercato modi per mantenere in vita la propria infrastruttura anche quando i ricercatori di sicurezza e le forze dell’ordine iniziano a smantellarla. L’ultimo esempio arriva da un gruppo chiamato DeadLock, che ha esteso l’uso della blockchain Polygon e ha aggiunto l’app di messaggistica incentrata sulla privacy Session al proprio kit di estorsione. La combinazione di ransomware, blockchain e strumenti di comunicazione cifrata sta rendendo molto più difficile per i difensori interrompere le operazioni del gruppo, e segnala un cambiamento più ampio nel modo in cui i criminali informatici prendono in prestito tecnologie legittime per la privacy per scopi illegittimi.

Come DeadLock nasconde la sua infrastruttura sugli smart contract di Polygon

L’innovazione principale di DeadLock consiste nel memorizzare parti della configurazione di comando e controllo direttamente sulla blockchain di Polygon, una rete decentralizzata normalmente utilizzata per applicazioni legittime come la finanza decentralizzata e i beni digitali da collezione. Poiché i dati sulla blockchain sono distribuiti su migliaia di nodi indipendenti invece di risiedere su un singolo server, non esiste un punto centrale che le forze dell’ordine o i provider di hosting possano sequestrare per spegnere l’operazione. Anche se un punto di accesso allo smart contract viene bloccato, i dati sottostanti persistono sulla catena e possono essere recuperati da qualsiasi altra parte della rete.

Non si tratta di una tattica del tutto nuova per il gruppo. La precedente copertura di vpn.social sulla configurazione basata su Polygon di DeadLock aveva già descritto come la banda avesse iniziato a sperimentare l’archiviazione on‑chain della configurazione C2 per sopravvivere ai tentativi di smantellamento. Ciò che è cambiato da allora è la portata: DeadLock ora ospita anche i contenuti dei leak, ovvero i dati rubati che minaccia di pubblicare se le vittime si rifiutano di pagare, utilizzando infrastrutture sostenute dalla blockchain, riducendo ulteriormente la dipendenza dall’hosting web tradizionale che può essere segnalato e rimosso.

Perché Session e i siti leak su blockchain resistono ai takedown delle forze dell’ordine

Oltre alla sua infrastruttura blockchain, DeadLock ha adottato Session, un’applicazione di messaggistica cifrata progettata tenendo conto del decentramento e della protezione dei metadati. Session è stato creato per offrire agli utenti comuni un modo per comunicare senza un server centrale che registri chi ha parlato con chi – una caratteristica di privacy legittima e preziosa per giornalisti, attivisti e persone comuni preoccupate per la sorveglianza. Nelle mani di DeadLock, quello stesso design diventa uno strumento per negoziare il pagamento dei riscatti e coordinare l’estorsione senza lasciare il tipo di tracce di comunicazione centralizzate su cui fanno normalmente affidamento gli investigatori.

I tradizionali siti leak del ransomware risiedono su server che possono essere sequestrati una volta identificato il provider di hosting o l’indirizzo IP. I contenuti ospitati su blockchain aggirano completamente questo schema. Non c’è un singolo host web a cui inviare una citazione in giudizio e non c’è un singolo server da portare offline. Unita a una messaggistica cifrata e decentralizzata per la comunicazione con le vittime, DeadLock ha di fatto rimosso la maggior parte dei punti di pressione che le forze dell’ordine e i responder degli incidenti hanno storicamente utilizzato per interrompere le operazioni di ransomware nel bel mezzo di un attacco.

L’arma a doppio taglio: gli strumenti per la privacy come scudo e come arma

Ciò che rende questa storia degna di nota non è che DeadLock abbia inventato nuove tecniche di attacco, ma che abbia riadattato strumenti costruiti per il bene. Polygon esiste per supportare applicazioni trasparenti e decentralizzate. Session esiste per proteggere dalla sorveglianza e dalla censura le conversazioni private delle persone comuni. Nessuna delle due tecnologie è stata progettata pensando a un uso criminale, eppure entrambe offrono casualmente esattamente le proprietà di resilienza che i gruppi ransomware desiderano.

È la stessa tensione che si manifesta in tutto il mondo della privacy e della sicurezza: la medesima cifratura che protegge i messaggi di un dissidente da un governo autoritario protegge anche le trattative di riscatto di un criminale dagli investigatori. Non è un argomento contro la tecnologia per la privacy in sé, ma un promemoria del fatto che il decentramento e la crittografia forte cambiano i calcoli per i difensori. Le strategie di interruzione basate sui takedown, che hanno funzionato ragionevolmente bene contro le infrastrutture ransomware tradizionali, sono molto meno efficaci contro operazioni che non dipendono più da server centralizzati.

Cosa possono fare le aziende per costruire resilienza all’estorsione

Poiché interrompere l’infrastruttura di DeadLock a fatto compiuto è ora molto più difficile, l’enfasi pratica si sposta nuovamente sulla prevenzione e sulla preparazione. Le organizzazioni dovrebbero presumere che, una volta che un gruppo ransomware ha rubato i dati e preso contatto, bloccare il suo sito leak o oscurare il suo canale di comunicazione difficilmente fermerà il tentativo di estorsione. Ciò rende le solide pratiche di backup, la segmentazione della rete e il rilevamento rapido delle intrusioni prima che avvenga l’esfiltrazione dei dati ancora più importanti di quanto già non fossero.

I piani di risposta agli incidenti dovrebbero inoltre tenere conto della possibilità che un sito leak non possa semplicemente essere segnalato e rimosso. I consulenti legali, i team di comunicazione e i responder tecnici devono condividere una comprensione comune di come procedere quando l’infrastruttura dell’attaccante è di fatto inarrestabile attraverso i canali convenzionali.

Cosa significa per te

Per gli utenti individuali, le tattiche di DeadLock sono un buon promemoria del fatto che gli strumenti che proteggono la tua privacy – app di messaggistica cifrata, servizi decentralizzati e tecnologia blockchain – sono neutri per progettazione. Il loro valore dipende interamente da chi li usa e perché. Non devi evitare gli strumenti per la privacy perché li usano anche i criminali; devi capire che la resilienza che questi strumenti forniscono taglia in entrambe le direzioni. Per le aziende in particolare, il caso DeadLock sottolinea che fermare l’infrastruttura di comunicazione cifrata su blockchain del ransomware dopo l’inizio di un attacco sta diventando meno realistico, il che alza la posta in gioco per la prevenzione.

Punti chiave

  • Dai per scontato che i siti leak e i canali di negoziazione legati ai moderni gruppi ransomware potrebbero non essere rimovibili tramite segnalazioni o richieste di takedown.
  • Investi nel rilevamento delle intrusioni e nel monitoraggio della rete per intercettare gli attacchi prima che i dati vengano esfiltrati, poiché le opzioni di interruzione post‑breach si stanno riducendo.
  • Mantieni backup offline e testati, in modo che le richieste di riscatto perdano la loro leva a prescindere da quanto sia resiliente l’infrastruttura dell’attaccante.
  • Rivedi i piani di risposta agli incidenti per assicurarti che affrontino le infrastrutture di estorsione decentralizzate e ospitate su blockchain, non solo i tradizionali siti leak basati sul web.

L’evoluzione di DeadLock mostra che la lotta contro il ransomware non riguarda più solo takedown più veloci. Man mano che i gruppi si appoggiano sempre più a infrastrutture decentralizzate e cifrate, la resilienza deve iniziare ben prima che un attacco raggiunga la fase dell’estorsione.