Una nuova analisi tecnica dei ricercatori di sicurezza di SOCFortress, pubblicata su Medium ad agosto 2026, offre ai difensori uno sguardo dettagliato sul ransomware DeadLock, un'operazione motivata finanziariamente che...

Uno Sguardo Più Approfondito all'Encryptor Basato su Rust di DeadLock

Una nuova analisi tecnica dei ricercatori di sicurezza di SOCFortress, pubblicata su Medium ad agosto 2026, offre ai difensori uno sguardo dettagliato sul ransomware DeadLock, un'operazione motivata finanziariamente che ha costruito silenziosamente una delle infrastrutture di estorsione più resilienti viste nella memoria recente. La ricerca approfondisce come è costruito l'encryptor del malware, perché il gruppo ha scelto il linguaggio di programmazione Rust, e come DeadLock ha progettato i suoi sistemi di recupero e comunicazione per sopravvivere a interventi delle forze dell'ordine e a smantellamenti da parte della sicurezza.

Rust è diventata una scelta sempre più popolare tra gli sviluppatori di ransomware perché compila in binari veloci e memory-safe che sono notoriamente difficili da analizzare in reverse engineering per gli analisti di sicurezza rispetto a malware scritti in linguaggi più vecchi come C o Delphi. Per DeadLock, questo si traduce in un encryptor che non solo blocca rapidamente i file delle vittime ma resiste anche al tipo di analisi statica su cui i ricercatori solitamente fanno affidamento per creare firme di rilevamento o strumenti di recupero. Rapporti precedenti sul gruppo hanno già dettagliato come il ransomware DeadLock uccide Windows Defender, disabilita i backup e cancella i log degli eventi prima ancora che inizi la crittografia, una combinazione che priva le vittime sia della loro ultima linea di difesa che delle prove forensi necessarie per ricostruire cosa è successo.

Infrastruttura di Recupero Decentralizzata Progettata per Sopravvivere agli Smantellamenti

Ciò che distingue DeadLock da molti dei suoi pari ransomware non è solo l'encryptor stesso, ma l'infrastruttura che lo circonda. Le operazioni ransomware tradizionali dipendono da server di comando e controllo centralizzati, siti di fuga e portali di negoziazione, tutti elementi che possono essere sequestrati, sinkholed o inseriti in lista nera una volta identificati dai ricercatori. DeadLock ha adottato un approccio diverso distribuendo parti critiche della sua operazione su piattaforme decentralizzate che sono molto più difficili da spegnere.

I ricercatori hanno scoperto che il gruppo memorizza porzioni della sua configurazione di comando e controllo direttamente sulla blockchain, un approccio documentato nei rapporti su come il ransomware DeadLock usa la blockchain per eludere gli smantellamenti. Poiché i record blockchain sono immutabili e distribuiti su migliaia di nodi, non esiste un singolo server che i difensori possano portare offline. Un'analisi correlata collega specificamente questo comportamento alla blockchain Polygon, che il gruppo ha usato per ancorare i dati di configurazione fuori dalla portata degli smantellamenti infrastrutturali convenzionali.

DeadLock ha anche spostato la comunicazione con le vittime lontano dai tradizionali portali di negoziazione del dark web. Il gruppo ha adottato l'app di messaggistica crittografata Session per le negoziazioni di riscatto, un cambiamento coperto nella copertura precedente su come il ransomware DeadLock ha aggiunto l'app Session per eludere gli smantellamenti. Il design decentralizzato e resistente ai metadati di Session rende molto più difficile per gli investigatori tracciare le comunicazioni fino agli operatori, aggiungendo un altro livello di resilienza a un'operazione già difficile da interrompere.

La Portata del Danno Finora

La sofisticazione tecnica dietro DeadLock non è teorica. Entro luglio 2026, l'operazione era già stata collegata a più di 80 vittime note, secondo il monitoraggio dell'intelligence sulle minacce citato insieme alla ricerca più ampia sul gruppo. Le conseguenze finanziarie e reputazionali di questi attacchi sono state significative. Uno degli incidenti più notevoli ha coinvolto l'azienda biofarmaceutica Diater, dove la violazione del ransomware DeadLock ha esposto un decennio di record, sottolineando come le tattiche di doppia estorsione, rubare i dati prima di crittografarli, possano causare danni duraturi anche per le organizzazioni che riescono a recuperare i propri sistemi.

Cosa Significa Questo Per Te

Per gli utenti comuni, DeadLock è un promemoria che i gruppi ransomware si stanno professionalizzando a un ritmo rapido. Questo non è un hacker solitario con un semplice script di crittografia; è un'operazione che usa linguaggi di programmazione moderni, tecnologia blockchain e app di messaggistica incentrate sulla privacy per costruire qualcosa di simile a un'azienda distribuita e resiliente. Se lavori in un'organizzazione che potrebbe essere presa di mira, o se sei un consumatore i cui dati personali potrebbero essere travolti da una violazione aziendale come quella di Diater, il rischio pratico è lo stesso: i dati rubati possono finire esposti o venduti indipendentemente dal fatto che il riscatto venga pagato.

La buona notizia è che i fondamenti della difesa dal ransomware non sono cambiati solo perché l'infrastruttura dietro di esso è diventata più sofisticata. Gli aggressori hanno ancora bisogno di un punto d'appoggio iniziale, che sia tramite phishing, accesso remoto esposto o software non aggiornato, prima che qualsiasi encryptor possa essere eseguito.

Punti Chiave Operativi

Mantieni backup offline e testati che il ransomware non possa raggiungere o disabilitare da remoto. Tieni aggiornati gli strumenti di protezione degli endpoint e di logging, poiché DeadLock prende di mira specificamente strumenti come Windows Defender e i log degli eventi per cancellare le sue tracce. Sii scettico verso allegati o link non richiesti, poiché l'accesso iniziale inizia ancora tipicamente con ingegneria sociale di base. Se ricevi una notifica che i tuoi dati sono stati coinvolti in una violazione legata a un gruppo ransomware, trattala seriamente e monitora per segni di furto d'identità o uso improprio delle credenziali. Come mostra il ransomware DeadLock, rimanere informati su come questi gruppi si evolvono è uno dei passi più pratici che chiunque possa fare per proteggere i propri dati.

FAQ: Q1: Perché DeadLock ha scelto Rust per il suo encryptor? A1: Rust compila in binari veloci e memory-safe che sono più difficili da analizzare in reverse engineering per gli analisti rispetto a linguaggi più vecchi come C o Delphi, quindi DeadLock può bloccare i file rapidamente e resistere all'analisi statica. Q2: Cosa fa DeadLock prima di crittografare i file di una vittima? A2: Secondo rapporti precedenti, DeadLock uccide Windows Defender, disabilita i backup e cancella i log degli eventi prima che inizi la crittografia. Q3: Come memorizza DeadLock la sua configurazione di comando e controllo? A3: DeadLock memorizza porzioni della sua configurazione di comando e controllo direttamente sulla blockchain, specificamente sulla blockchain Polygon, rendendola difficile da portare offline. Q4: Quale app di comunicazione usa DeadLock per le negoziazioni di riscatto? A4: DeadLock ha adottato l'app di messaggistica crittografata Session per la comunicazione con le vittime e le negoziazioni di riscatto. Q5: Chi ha pubblicato l'analisi tecnica di DeadLock? A5: I ricercatori di sicurezza di SOCFortress hanno pubblicato l'analisi su Medium ad agosto 2026. ---END---