Un sito di leak senza server da sequestrare

DeadLock è un'operazione ransomware scritta in Rust, osservata per la prima volta dai ricercatori di sicurezza di Microsoft nel luglio 2025 e descritta in dettaglio in un blog tecnico pubblicato il 10 agosto 2026. Come la maggior parte dei gruppi ransomware moderni, DeadLock pratica la doppia estorsione: cifra i sistemi della vittima e minaccia di pubblicare i dati rubati se non viene pagato un riscatto. Microsoft ha anche osservato che lo strumento viene usato da più gruppi, incluso un affiliato collegato agli ecosistemi ransomware Lynx e INC, segno che l'infrastruttura di DeadLock è già riutilizzata e non gestita da un unico gruppo chiuso.

Ciò che distingue DeadLock è dove risiedono realmente il sito di leak e l'infrastruttura negoziale. Invece di un server affittato dietro un provider di hosting, DeadLock usa due smart contract sulla blockchain Polygon: uno memorizza l'indirizzo attuale del proxy di chat, l'altro i post del blog di leak. Il browser di un visitatore legge entrambi tramite richieste gratuite di sola lettura a nodi pubblici Polygon, senza bisogno di un portafoglio di criptovalute, e gli operatori ruotano tra sei endpoint pubblici distinti così che nessun singolo gestore di nodo possa tagliare l'accesso.

Perché una blockchain resiste più a lungo di un provider di hosting

Un sito di leak ransomware convenzionale è per progettazione un singolo punto di guasto: risiede su un server, raggiungibile tramite un account di hosting o un punto di ingresso Tor, e un provider di hosting, un registrar o un'azione delle forze dell'ordine può metterlo offline in un pomeriggio. La versione di DeadLock basata su Polygon non ha un punto debole equivalente. Il 'sito' è un insieme di transazioni registrate su un registro pubblico che migliaia di nodi validatori indipendenti copiano e verificano in tutto il mondo, e rimuoverlo significherebbe riscrivere una storia della blockchain da cui dipendono anche altri partecipanti estranei al caso, il che non è realistico.

La valutazione di Microsoft sul design è diretta: l'architettura, nelle parole dell'azienda, aumenta probabilmente la resilienza dell'infrastruttura di comunicazione, hosting dei leak e negoziazione di DeadLock, permettendo agli operatori di riprendersi dai tentativi di interruzione mantenendo la continuità per le vittime. Si tratta di un'ammissione notevole da parte del fornitore meglio posizionato per giudicarlo, ed è la prova più chiara finora che l'infrastruttura ransomware si sta muovendo deliberatamente verso forme che le operazioni di smantellamento non possono raggiungere facilmente.

Session elimina l'ultimo anello centralizzato

Anche un sito di leak ospitato su blockchain ha bisogno di un modo per far parlare l'operatore con la vittima, ed è qui che DeadLock chiude la sua seconda falla. La comunicazione tra vittima e operatore avviene su Session, una messaggistica decentralizzata instradata tramite onion routing, costruita su una rete a sciame invece che su un server centrale, che garantisce anonimato a entrambe le parti senza che nessuna delle due dipenda da un'azienda che può essere costretta a consegnare i log o a chiudere gli account. DeadLock deriva persino l'identità Session di ogni vittima in modo deterministico dalle sue stesse credenziali di accesso, così non serve né un passaggio di registrazione separato né un registro a parte.

Questo conta perché l'infrastruttura di chat è stata storicamente uno dei pochi punti su cui le forze dell'ordine potevano agire. I canali Telegram e i server di chat ospitati su Tor usati da altri gruppi ransomware hanno operatori o hosting centralizzati che possono essere pressati, sequestrati o bloccati. Session non ha né l'uno né l'altro. Combinato con il sito di leak su Polygon, DeadLock ha di fatto eliminato entrambi i punti di contatto centralizzati su cui si sono basate le passate operazioni di smantellamento contro i gruppi ransomware.

Cifratura in Rust e una lista di vittime in rapida crescita

Anche il cifratore in sé è costruito con competenza, non solo l'infrastruttura che lo circonda. DeadLock è scritto in Rust e usa un design ibrido che combina la crittografia a curva ellittica Curve25519 con il cifrario a flusso XChaCha20, generando una coppia di chiavi effimera e unica per ogni singolo file. I file cifrati ricevono l'estensione .dlock. Nulla di tutto ciò è esotico di per sé, ma abbinato a un'infrastruttura di consegna e negoziazione decentralizzata elimina il solito bersaglio facile, un server sequestrabile o un canale di chat bloccabile, su cui i team di risposta si sono affidati in casi precedenti.

La lista delle vittime cresce rapidamente. Microsoft ha contato più di 80 organizzazioni pubblicate sul sito di leak di DeadLock fino a luglio 2026, oltre la metà in Europa, distribuite tra tecnologia dell'informazione, estrazione mineraria, trasporti e logistica, manifattura, ospitalità e beni di consumo, tra gli altri settori, in Europa, Asia, Nord America, Sud America e Africa. Un'analisi tecnica separata della testata The Hacker News colloca la cifra più in alto, vicino a 96, con le concentrazioni maggiori in Italia, Spagna, Polonia, Turchia e Stati Uniti, una differenza probabilmente spiegabile con il momento e il metodo di conteggio più che con una contraddizione.

Cosa cambia nella risposta agli incidenti per i produttori manifatturieri

La manifattura rientra direttamente tra i settori vittima citati da Microsoft, e per i proprietari europei non è un dettaglio secondario, specie in Italia dove la manifattura pesa più che altrove sull'economia nazionale. I sottosettori manifatturieri, compresi i produttori di macchinari, elettronica e componenti per veicoli, sono classificati come soggetti importanti dalla direttiva NIS2 dell'UE, il che significa che gli obblighi di notifica degli incidenti e un livello minimo di gestione del rischio informatico si applicano già prima che avvenga un attacco. Un incidente in stile DeadLock è esattamente lo scenario per cui è stato scritto l'ambito manifatturiero di NIS2.

Il cambiamento pratico riguarda quanto peso un piano di risposta agli incidenti debba dare al margine negoziale rispetto alla preparazione dei backup. I piani costruiti sull'idea che 'possiamo far chiudere il sito di leak' o che 'le forze dell'ordine possono interrompere le loro comunicazioni' presupponevano un server sequestrabile e un canale di chat bloccabile, e DeadLock non ha né l'uno né l'altro. Questo non rende inutile la negoziazione, ma significa che l'alternativa, backup puliti, testati e offline insieme a un processo di ripristino provato, deve portare più peso di prima, perché l'opzione di interruzione su cui i team di risposta hanno storicamente contato non è più disponibile in modo affidabile contro questo attore.

Da leggere ora: CVSS 9.6: falla ha colpito i balancer 792 volte  |  Agenti IA autonomi hanno attaccato il governo di Taiwan