Um site de fugas sem servidor para apreender

O DeadLock é uma operação de ransomware escrita em Rust, observada pela primeira vez pelos próprios investigadores de segurança da Microsoft em julho de 2025 e descrita em pormenor num artigo técnico publicado a 10 de agosto de 2026. Como a maioria dos grupos de ransomware atuais, o DeadLock pratica dupla extorsão: cifra os sistemas da vítima e ameaça publicar dados roubados caso não seja pago. A Microsoft observou também que a ferramenta é utilizada por vários grupos, incluindo um afiliado ligado aos ecossistemas de ransomware Lynx e INC, o que mostra que a infraestrutura do DeadLock já está a ser reutilizada em vez de operada por um único grupo fechado.

O que distingue o DeadLock é o local onde o site de fugas e a infraestrutura de negociação realmente residem. Em vez de um servidor alugado atrás de um fornecedor de alojamento, o DeadLock usa dois contratos inteligentes na blockchain Polygon: um guarda o endereço atual do proxy de chat, o outro as publicações do blogue de fugas. O navegador de um visitante lê ambos através de pedidos gratuitos, apenas de leitura, a nós públicos da Polygon, sem necessidade de carteira de criptomoedas, e os operadores alternam entre seis pontos de acesso públicos distintos para que nenhum operador de nó possa cortar o acesso.

Porque é que uma blockchain resiste mais do que um fornecedor de alojamento

Um site de fugas de ransomware convencional é, por natureza, um ponto único de falha: reside num servidor, acessível através de uma conta de alojamento ou de um ponto de entrada Tor, e um fornecedor de alojamento, um registo de domínios ou uma ação policial podem colocá-lo offline numa tarde. A versão do DeadLock baseada em Polygon não tem um ponto fraco equivalente. O 'site' é um conjunto de transações registadas num livro-razão público que milhares de nós validadores independentes copiam e verificam em todo o mundo, e removê-lo significaria reescrever um historial de blockchain do qual dependem também outros participantes alheios ao caso, o que não é realista.

A própria avaliação da Microsoft sobre o design é direta: a arquitetura, nas palavras da empresa, provavelmente aumenta a resiliência da infraestrutura de comunicação, alojamento de fugas e negociação do DeadLock, permitindo aos operadores recuperar de tentativas de perturbação enquanto mantêm a continuidade para as vítimas. Trata-se de uma admissão notável por parte do fornecedor mais bem posicionado para o avaliar, e é a prova mais clara até agora de que a infraestrutura de ransomware se está a mover deliberadamente para formas que as operações de desmantelamento não conseguem alcançar com facilidade.

O Session elimina o último elo centralizado

Mesmo um site de fugas alojado numa blockchain precisa de uma forma de o operador falar com a vítima, e é aqui que o DeadLock fecha a sua segunda lacuna. A comunicação entre vítima e operador decorre através do Session, uma aplicação de mensagens descentralizada encaminhada por onion routing, construída sobre uma rede em enxame em vez de um servidor central, o que dá anonimato a ambas as partes sem que nenhuma delas dependa de uma empresa que possa ser obrigada a entregar registos ou a encerrar contas. O DeadLock deriva mesmo a identidade Session de cada vítima de forma determinística a partir das suas próprias credenciais de acesso, pelo que não é preciso nem um passo de registo separado nem um registo à parte.

Isto importa porque a infraestrutura de chat tem sido historicamente um dos poucos pontos onde as autoridades conseguiam atuar. Os canais de Telegram e os servidores de chat alojados em Tor usados por outros grupos de ransomware têm operadores ou alojamento centralizados que podem ser pressionados, apreendidos ou bloqueados. O Session não tem nenhum dos dois. Combinado com o site de fugas na Polygon, o DeadLock eliminou, na prática, os dois pontos de contacto centralizados em que assentavam as anteriores operações de desmantelamento contra grupos de ransomware.

Cifra em Rust e uma lista de vítimas em crescimento rápido

O próprio cifrador está bem construído, não apenas a infraestrutura à sua volta. O DeadLock está escrito em Rust e usa um design híbrido que combina a criptografia de curva elíptica Curve25519 com a cifra de fluxo XChaCha20, gerando um par de chaves único e efémero para cada ficheiro. Os ficheiros cifrados recebem a extensão .dlock. Nada disto é exótico por si só, mas combinado com uma infraestrutura de distribuição e negociação descentralizada, elimina o alvo fácil habitual, um servidor apreensível ou um canal de chat bloqueável, em que as equipas de resposta se apoiavam em casos anteriores.

A lista de vítimas cresce rapidamente. A Microsoft contabilizou mais de 80 organizações publicadas no site de fugas do DeadLock até julho de 2026, mais de metade delas na Europa, distribuídas por tecnologias de informação, mineração, transportes e logística, indústria transformadora, hotelaria e bens de consumo, entre outros setores, pela Europa, Ásia, América do Norte, América do Sul e África. Uma análise técnica distinta do meio de comunicação The Hacker News aponta um número mais elevado, próximo de 96, com as maiores concentrações em Itália, Espanha, Polónia, Turquia e Estados Unidos, uma diferença que provavelmente se explica pelo momento e pelo método de contagem, e não por uma contradição.

O que muda na resposta a incidentes das empresas industriais

A indústria transformadora está diretamente entre os setores de vítimas referidos pela Microsoft, e isso não é um pormenor secundário para os proprietários europeus, sobretudo em Portugal, onde a indústria transformadora representa uma parcela significativa das exportações. Os subsetores industriais, incluindo fabricantes de máquinas, eletrónica e componentes automóveis, estão classificados como entidades importantes ao abrigo da diretiva NIS2 da UE, o que significa que as obrigações de notificação de incidentes e um nível mínimo de gestão de risco cibernético já se aplicam antes de um ataque acontecer. Um incidente ao estilo DeadLock é exatamente o cenário para o qual o âmbito industrial da NIS2 foi escrito.

A mudança prática está no peso que um plano de resposta a incidentes deve dar à margem de negociação face à preparação de cópias de segurança. Planos construídos sobre a ideia de que 'conseguimos que o site de fugas seja encerrado' ou de que 'as autoridades conseguem interromper as suas comunicações' pressupunham um servidor apreensível e um canal de chat bloqueável, e o DeadLock não tem nenhum dos dois. Isso não torna a negociação inútil, mas significa que a rede de segurança, cópias de segurança limpas, testadas e offline, associadas a um processo de recuperação ensaiado, tem de ter mais peso do que antes, porque a opção de interrupção com que as equipas de resposta contavam historicamente já não está disponível de forma fiável perante este operador.

Leia a seguir: CVSS 9.6: falha atingiu balanceadores 792 vezes  |  Agentes de IA autónomos atacaram o Governo de Taiwan