Un'operazione ransomware nota come DeadLock ha trovato un nuovo modo per mantenere attiva la propria infrastruttura di attacco: nascondere parti della configurazione di comando e controllo (C2) sulla blockchain Polygon. Il gruppo, che ha già rivendicato più di 80 vittime in tutto il mondo tramite doppia estorsione, sta sfruttando gli stessi principi di decentralizzazione che alimentano le criptovalute per rendere più difficili gli interventi di difensori e forze dell'ordine.

Come DeadLock Nasconde la Propria Infrastruttura di Comando su Polygon

Il ransomware tradizionale si basa su server che i ricercatori di sicurezza e le forze dell'ordine possono identificare, sequestrare o sinkholare una volta scoperti. Gli operatori di DeadLock sembrano aggirare questa vulnerabilità memorizzando i dati di configurazione C2 direttamente sulla blockchain Polygon, una rete pubblica solitamente utilizzata per transazioni di criptovalute e applicazioni decentralizzate.

Scrivendo i dettagli di configurazione in transazioni blockchain o contratti intelligenti, il malware può recuperare istruzioni da una fonte che non è ospitata su un singolo server. Non c'è un dominio da sequestrare e nessun provider di hosting su cui fare pressione per staccare la spina. Finché la rete Polygon stessa è operativa, i dati su cui DeadLock fa affidamento restano accessibili. Ciò rispecchia una tendenza più ampia segnalata dai team di sicurezza in altre famiglie di malware che sperimentano infrastrutture on-chain, ma la sua comparsa in una campagna ransomware attiva sottolinea quanto rapidamente queste tecniche si stiano diffondendo oltre la ricerca proof-of-concept.

Questo approccio si basa su tattiche che DeadLock ha già dimostrato di voler usare in modo aggressivo. Come dettagliato in un precedente articolo su come il ransomware DeadLock elimina Defender, i backup e i registri eventi, il gruppo abbina metodi di intrusione noti a un'attenzione deliberata all'eliminazione di tutto ciò che potrebbe aiutare una vittima a recuperare o gli investigatori a tracciare l'attacco.

Perché un C2 Basato su Blockchain È Più Difficile da Abbattere Rispetto ai Server Tradizionali

Gli abbattimenti dei ransomware dipendono in genere dall'identificazione e dall'interruzione di punti di guasto centralizzati: un server di comando, un registrar di domini, un provider di hosting disposto a collaborare. Le blockchain pubbliche non offrono quel tipo di bersaglio unico. Polygon, come altre reti blockchain, è distribuita su migliaia di nodi indipendenti senza un operatore centrale che possa semplicemente eliminare una transazione o bloccare un indirizzo.

Quella resilienza è esattamente il motivo per cui i registri decentralizzati sono attraenti per gli aggressori che vogliono sopravvivere agli sforzi delle forze dell'ordine. Anche se i ricercatori di sicurezza identificassero il contratto specifico o l'indirizzo del wallet utilizzato da DeadLock, rimuovere quei dati dalla blockchain non è realistico una volta registrati. Gli investigatori possono monitorare l'attività e potenzialmente tracciare i wallet associati, ma non possono tirare le stesse leve che userebbero contro un server affittato in un data center. Questo sposta l'equilibrio della lotta: i difensori devono concentrarsi maggiormente sul rilevamento del comportamento del malware sui sistemi infetti piuttosto che contare sull'interruzione della catena di approvvigionamento dell'infrastruttura.

Chi Viene Preso di Mira e Cosa Significa la Doppia Estorsione per le Vittime

Il numero di vittime di DeadLock, ora oltre 80 organizzazioni a livello globale, riflette un modello di doppia estorsione diventato standard tra i gruppi ransomware a scopo di lucro. Il malware cifra i file della vittima, tagliando l'accesso ai sistemi critici, mentre gli operatori minacciano contemporaneamente di diffondere pubblicamente i dati rubati se non viene pagato un riscatto. Questo dà alle vittime due motivi distinti per pagare: ripristinare le operazioni e prevenire un'esposizione dannosa dei dati.

Le conseguenze di quella seconda minaccia sono diventate concrete in un caso trattato in precedenza su questo sito, in cui una violazione del ransomware DeadLock ha esposto un decennio di dati presso Diater, un'azienda biofarmaceutica i cui dati sanitari sensibili sono stati messi a rischio. L'incidente illustra come le campagne di doppia estorsione non finiscano con la decisione di pagare il riscatto; i dati trapelati possono circolare a lungo dopo la risoluzione di un attacco, colpendo pazienti, clienti o partner che non hanno avuto alcun ruolo diretto nella violazione.

Cosa Significa per Te

La maggior parte dei lettori non sarà bersaglio diretto di un gruppo ransomware come DeadLock, ma gli effetti a catena di questi attacchi raggiungono persone comuni i cui dati personali si trovano all'interno dei sistemi delle organizzazioni colpite. Un'infrastruttura C2 resistente alla blockchain non cambia ciò che accade sul tuo fronte in caso di violazione: le tue informazioni possono comunque finire esposte in una fuga di dati, indipendentemente da quanto sia sofisticata l'infrastruttura backend dell'aggressore.

Per le organizzazioni, il messaggio è più diretto. I gruppi ransomware stanno prendendo in prestito tecniche di resilienza dal mondo crypto proprio perché gli abbattimenti sono diventati un vero deterrente. Significa che la lotta deve avvenire sempre più precocemente, al momento dell'intrusione e della cifratura, anziché contare sull'interruzione dell'infrastruttura a posteriori.

Difese Pratiche Contro Ransomware Come DeadLock

Una manciata di fondamenti conta ancora più di qualsiasi singolo prodotto di sicurezza. Mantenere backup offline e immutabili che il ransomware non possa raggiungere o eliminare insieme ai sistemi primari. Segmentare le reti in modo che un singolo endpoint compromesso non possa trasformarsi nella cifratura completa di unità condivise e server. Mantenere aggiornati gli strumenti di rilevamento degli endpoint e monitorare i comportamenti associati alla disattivazione del software di sicurezza o alla cancellazione dei registri eventi, uno schema che DeadLock ha utilizzato prima di ottenere il pieno controllo di una rete.

L'emergere della resistenza agli abbattimenti dei C2 ransomware basati su blockchain ci ricorda che gli aggressori si stanno adattando più velocemente di quanto qualsiasi singolo strumento difensivo possa tenere il passo. Sicurezza stratificata, backup testati e rilevamento rapido restano il modo più affidabile per limitare i danni quando la sola prevenzione non basta. Rimanere informati su come operano gruppi come DeadLock e adottare ora misure protettive di base è ancora il modo più pratico per ridurre la propria esposizione alla prossima violazione da prima pagina.