Uma Análise Mais Detalhada do Criptografador Baseado em Rust do DeadLock

Uma nova análise técnica de pesquisadores de segurança da SOCFortress, publicada no Medium em agosto de 2026, está dando aos defensores uma visão detalhada do ransomware DeadLock, uma operação motivada financeiramente que silenciosamente construiu uma das infraestruturas de extorsão mais resilientes vistas na memória recente. A pesquisa investiga como o criptografador do malware é construído, por que o grupo escolheu a linguagem de programação Rust e como o DeadLock projetou seus sistemas de recuperação e comunicação para sobreviver a ações policiais e derrubadas de segurança.

Rust tornou-se uma escolha cada vez mais popular entre desenvolvedores de ransomware porque compila para binários rápidos e seguros em termos de memória que são notoriamente difíceis para analistas de segurança fazerem engenharia reversa em comparação com malwares escritos em linguagens mais antigas como C ou Delphi. Para o DeadLock, isso se traduz em um criptografador que não apenas bloqueia os arquivos das vítimas rapidamente, mas também resiste ao tipo de análise estática que os pesquisadores normalmente usam para construir assinaturas de detecção ou ferramentas de recuperação. Reportagens anteriores sobre o grupo já detalharam como o ransomware DeadLock mata o Windows Defender, desativa backups e apaga logs de eventos antes mesmo do início da criptografia, uma combinação que remove das vítimas tanto sua última linha de defesa quanto as evidências forenses necessárias para reconstruir o que aconteceu.

Infraestrutura de Recuperação Descentralizada Projetada para Sobreviver a Derrubadas

O que diferencia o DeadLock de muitos de seus pares de ransomware não é apenas o criptografador em si, mas a infraestrutura que o envolve. Operações tradicionais de ransomware dependem de servidores centralizados de comando e controle, sites de vazamento e portais de negociação, todos os quais podem ser apreendidos, redirecionados ou colocados em lista negra uma vez que os pesquisadores os identifiquem. O DeadLock adotou uma abordagem diferente ao distribuir partes críticas de sua operação em plataformas descentralizadas que são muito mais difíceis de desligar.

Os pesquisadores descobriram que o grupo armazena partes de sua configuração de comando e controle diretamente na blockchain, uma abordagem documentada em reportagens sobre como o ransomware DeadLock usa blockchain para escapar de derrubadas. Como os registros da blockchain são imutáveis e distribuídos por milhares de nós, não há um único servidor que os defensores possam tirar do ar. Uma análise relacionada especificamente liga esse comportamento à blockchain Polygon, que o grupo tem usado para ancorar dados de configuração fora do alcance de derrubadas convencionais de infraestrutura.

O DeadLock também moveu a comunicação com as vítimas para longe dos portais tradicionais de negociação na dark web. O grupo adotou o aplicativo de mensagens criptografadas Session para negociações de resgate, uma mudança coberta em reportagens anteriores sobre como o ransomware DeadLock adicionou o aplicativo Session para evitar derrubadas. O design descentralizado e resistente a metadados do Session torna muito mais difícil para os investigadores rastrear comunicações até os operadores, adicionando outra camada de resiliência a uma operação já difícil de interromper.

A Extensão dos Danos Até Agora

A sofisticação técnica por trás do DeadLock não é teórica. Em julho de 2026, a operação já havia sido ligada a mais de 80 vítimas conhecidas, de acordo com o rastreamento de inteligência de ameaças citado junto com a pesquisa mais ampla sobre o grupo. O impacto financeiro e reputacional desses ataques tem sido significativo. Um dos incidentes mais notáveis envolveu a empresa biofarmacêutica Diater, onde a violação de dados do ransomware DeadLock expôs uma década de registros, ressaltando como táticas de dupla extorsão, roubar dados antes de criptografá-los, podem causar danos duradouros mesmo para organizações que conseguem recuperar seus sistemas.

O Que Isso Significa Para Você

Para usuários comuns, o DeadLock é um lembrete de que os grupos de ransomware estão se profissionalizando em ritmo acelerado. Isso não é um hacker solitário com um simples script de criptografia; é uma operação que usa linguagens de programação modernas, tecnologia blockchain e aplicativos de mensagens focados em privacidade para construir algo mais próximo de um negócio resiliente e distribuído. Se você trabalha em uma organização que pode ser alvo, ou se você é um consumidor cujos dados pessoais podem ser arrastados em uma violação corporativa como a da Diater, o risco prático é o mesmo: dados roubados podem acabar expostos ou vendidos, independentemente de um resgate ser pago.

A boa notícia é que os fundamentos da defesa contra ransomware não mudaram só porque a infraestrutura por trás dele ficou mais sofisticada. Os atacantes ainda precisam de um ponto de entrada inicial, seja por phishing, acesso remoto exposto ou software sem atualizações, antes que qualquer criptografador possa ser executado.

Conclusões Acionáveis

Mantenha backups offline e testados que o ransomware não possa alcançar ou desativar remotamente. Mantenha a proteção de endpoints e as ferramentas de registro atualizadas, já que o DeadLock visa especificamente ferramentas como o Windows Defender e logs de eventos para apagar seus rastros. Desconfie de anexos ou links não solicitados, já que o acesso inicial ainda normalmente começa com engenharia social básica. Se você receber uma notificação de que seus dados estiveram envolvidos em uma violação ligada a um grupo de ransomware, trate-a com seriedade e monitore sinais de roubo de identidade ou uso indevido de credenciais. Como o ransomware DeadLock mostra, manter-se informado sobre como esses grupos evoluem é um dos passos mais práticos que qualquer pessoa pode dar para proteger seus dados.