Uma operação de ransomware conhecida como DeadLock encontrou uma nova forma de manter sua infraestrutura de ataque ativa: escondendo partes de sua configuração de comando e controle (C2) na blockchain da Polygon. O grupo, que já reivindicou mais de 80 vítimas em todo o mundo por meio de dupla extorsão, está usando os mesmos princípios de descentralização que alimentam as criptomoedas para dificultar que defensores e autoridades consigam encerrar suas operações.
Como o DeadLock oculta sua infraestrutura de comando na Polygon
O ransomware tradicional depende de servidores que pesquisadores de segurança e autoridades policiais conseguem identificar, apreender ou afundar assim que são descobertos. Os operadores do DeadLock parecem estar contornando essa vulnerabilidade armazenando dados de configuração do C2 diretamente na blockchain da Polygon, uma rede pública normalmente usada para transações de criptomoeda e aplicações descentralizadas.
Ao gravar detalhes da configuração em transações da blockchain ou em contratos inteligentes, o malware pode obter instruções de uma fonte que não está hospedada em um único servidor. Não há domínio para apreender nem provedor de hospedagem a ser pressionado para cortar o serviço. Enquanto a própria rede Polygon estiver em funcionamento, os dados nos quais o DeadLock se apoia permanecem acessíveis. Isso reflete uma tendência mais ampla que equipes de segurança já haviam sinalizado em outras famílias de malware que estão testando infraestrutura on-chain, mas sua aparição em uma campanha ativa de ransomware destaca a rapidez com que essas técnicas estão se espalhando para além das pesquisas de prova de conceito.
Essa abordagem se baseia em táticas que o DeadLock já demonstrou estar disposto a usar de forma agressiva. Como detalhado em reportagens anteriores sobre como o ransomware DeadLock elimina Defender, backups e logs de eventos, o grupo combina métodos de intrusão conhecidos com um foco deliberado em eliminar tudo que possa ajudar uma vítima a se recuperar ou os investigadores a rastrearem o ataque.
Por que o C2 baseado em blockchain é mais difícil de derrubar do que servidores tradicionais
As ações de combate ao ransomware geralmente dependem de identificar e derrubar pontos centrais de falha: um servidor de comando, um registrador de domínio, uma empresa de hospedagem disposta a cooperar. As blockchains públicas não oferecem esse tipo de alvo único. A Polygon, assim como outras redes de blockchain, é distribuída por milhares de nós independentes, sem um operador central que possa simplesmente excluir uma transação ou bloquear um endereço.
É exatamente essa resiliência que torna os livros-razão descentralizados atraentes para atacantes que desejam sobreviver aos esforços das autoridades. Mesmo que os pesquisadores de segurança identifiquem o contrato específico ou o endereço da carteira que o DeadLock está usando, remover esses dados da blockchain não é viável depois que eles são registrados. Os investigadores podem monitorar a atividade e, potencialmente, rastrear as carteiras associadas, mas não conseguem acionar as mesmas alavancas que usariam contra um servidor alugado em um datacenter. Isso muda o equilíbrio da luta: os defensores precisam se concentrar mais em detectar o comportamento do malware nos sistemas infectados, em vez de contar com a possibilidade de interromper sua cadeia de fornecimento de infraestrutura.
Quem está sendo visado e o que a dupla extorsão significa para as vítimas
A contagem de vítimas do DeadLock, que já ultrapassa 80 organizações no mundo, reflete um modelo de dupla extorsão que se tornou padrão entre grupos de ransomware com motivação financeira. O malware criptografa os arquivos da vítima, cortando o acesso a sistemas críticos, enquanto os operadores ameaçam simultaneamente vazar publicamente os dados roubados, caso o resgate não seja pago. Isso dá às vítimas dois motivos distintos para pagar: restaurar as operações e evitar uma exposição danosa de dados.
As consequências dessa segunda ameaça ficaram concretas em um caso coberto anteriormente neste site, em que uma violação do ransomware DeadLock expôs uma década de registros da Diater, uma empresa biofarmacêutica cujos dados sensíveis de saúde foram colocados em risco. Esse incidente ilustra como as campanhas de dupla extorsão não terminam com a decisão sobre o resgate; dados vazados podem circular muito tempo depois que o ataque é resolvido, afetando pacientes, clientes ou parceiros que não tiveram nenhum papel direto na violação.
O que isso significa para você
A maioria dos leitores não será alvo direto de um grupo de ransomware como o DeadLock, mas os efeitos indiretos desses ataques atingem pessoas comuns cujos dados pessoais estão nos sistemas das organizações visadas. Uma configuração de C2 resistente a blockchain não muda o que acontece do seu lado em uma violação: suas informações ainda podem acabar expostas em um vazamento, independentemente do quão sofisticada seja a infraestrutura de backend do atacante.
Para as organizações, a conclusão é mais direta. Os grupos de ransomware estão incorporando técnicas de resiliência do mundo das criptomoedas justamente porque as interrupções se tornaram um verdadeiro elemento de dissuasão. Isso significa que a luta precisa acontecer cada vez mais no estágio inicial, no momento da intrusão e da criptografia, em vez de depender da derrubada da infraestrutura depois do fato.
Defesas práticas contra ransomware como o DeadLock
Alguns fundamentos básicos continuam importando mais do que qualquer produto de segurança isolado. Mantenha backups offline e imutáveis, que o ransomware não consiga acessar nem excluir junto com seus sistemas principais. Segmente as redes para que um único endpoint comprometido não se transforme em uma criptografia total de unidades compartilhadas e servidores. Mantenha as ferramentas de detecção de endpoint atualizadas e monitore comportamentos associados à desativação de softwares de segurança ou à limpeza de logs de eventos — um padrão que o DeadLock já usou antes de obter controle total de uma rede.
O surgimento da resistência a remoções via blockchain nos C2s de ransomware é um lembrete de que os atacantes estão se adaptando mais rápido do que qualquer ferramenta defensiva isolada consegue acompanhar. Segurança em camadas, backups testados e detecção rápida continuam sendo a forma mais confiável de limitar os danos quando apenas a prevenção não é suficiente. Manter-se informado sobre como grupos como o DeadLock operam e tomar medidas básicas de proteção agora ainda é o caminho mais prático para reduzir sua exposição ao próximo ataque que vai virar manchete.
