A Microsoft Threat Intelligence apresentou uma análise técnica do ransomware DeadLock, uma operação motivada financeiramente que combina a criptografia dos ambientes das vítimas com a ameaça de publicar os dados roubados, utilizando uma arquitetura descentralizada para apoiar a negociação, a comunicação e a publicação dos vazamentos. A Microsoft considera que esse design pode aumentar a capacidade de partes da infraestrutura operacional de resistir a tentativas de interrupção, pois o malware não depende totalmente de um único domínio ou servidor tradicional.
O DeadLock surgiu pela primeira vez em julho de 2025, e a Microsoft observou seu uso por vários grupos, incluindo uma entidade associada aos ecossistemas de ransomware Lynx e INC. Até julho de 2026, os operadores publicaram mais de 80 organizações comprometidas no site de vazamento de dados conhecido como DeadLock blog, e mais da metade das vítimas anunciadas estava na Europa. A operação afetou organizações dos setores de tecnologia da informação, mineração, transporte, logística, manufatura, hotelaria, bens de consumo, entre outros, na Europa, Ásia, América do Norte, América do Sul e África.
Preparação do ataque e desativação das proteções
O criptografador descriptografa configurações incorporadas usando XOR e uma chave de 8 bytes e, em seguida, verifica os idiomas padrão e da interface do usuário do sistema. Se um deles corresponder à lista de exclusão, o malware se exclui e encerra a execução sem criptografar. Esse comportamento indica o uso de geofencing baseado no idioma ou no país para evitar ambientes associados aos países da antiga União Soviética e à Comunidade dos Estados Independentes, além de alguns países do Oriente Médio.
O mecanismo de execução varia conforme os parâmetros da linha de comando e o nível de privilégios. Quando um caminho de diretório específico é passado, o malware ignora as etapas de preparação e passa diretamente à criptografia dos arquivos acessíveis. Quando é executado sem parâmetros e sem privilégios elevados, tenta criar um arquivo .cmd com nome aleatório e executá-lo usando ShellExecuteW e RunAs para exibir uma solicitação do Controle de Conta de Usuário, repetindo a tentativa até 10 vezes se o usuário recusar a solicitação. De acordo com a análise dinâmica da amostra, a reinicialização com privilégios elevados não foi bem-sucedida, o que significa que algumas etapas de preparação podem exigir que a amostra seja executada a partir de um contexto que já tenha os privilégios necessários.
Depois de obter privilégios de administrador, o DeadLock habilita privilégios como SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege e SeSecurityPrivilege. Ele também esvazia a Lixeira em todas as unidades e interrompe processos e serviços que podem dificultar a criptografia ou ajudar na recuperação, incluindo o Windows Defender, serviços de backup e o Volume Shadow Copy, alguns serviços do Hyper-V e do Active Directory, além de ferramentas de proteção, backup em nuvem e acesso remoto.
O malware tenta apagar os vestígios da invasão esvaziando os canais de logs de eventos, desativando o registro de eventos no futuro e restringindo as permissões de acesso a eles. Isso inclui canais padrão e canais personalizados de outros aplicativos, usando interfaces de programação tradicionais e modernas e alterações no registro.
Criptografia que equilibra velocidade e capacidade de resposta do sistema
O DeadLock utiliza um mecanismo para limitar o consumo de recursos durante a criptografia. Ele monitora a memória e a porcentagem de ociosidade do processador antes de enviar cada novo arquivo às threads de criptografia; o envio é temporariamente interrompido se o uso da memória ultrapassar 29% ou se a carga do processador exceder 70%, sendo retomado quando o uso diminui. Esse mecanismo não interrompe os arquivos cuja criptografia já começou; ele reduz o paralelismo e ajuda a manter o sistema responsivo, o que pode diminuir a probabilidade de chamar a atenção do usuário devido ao congelamento do dispositivo ou a um aumento incomum no consumo.
O malware cria threads para processar diretórios em uma quantidade igual ao dobro do número de núcleos do processador e renomeia os arquivos adicionando um identificador e a extensão .dlock. Seu design criptográfico combina Curve25519 e XChaCha20: uma chave e um nonce diferentes são gerados para cada arquivo, e a troca de chaves Curve25519 é usada para encapsular a chave de criptografia simétrica. Segundo a Microsoft, o design criptográfico não oferece um caminho prático para descriptografar os arquivos sem a chave privada do invasor.
O DeadLock também aplica uma política de criptografia baseada no tamanho do arquivo. Arquivos grandes podem ser parcialmente criptografados por meio de blocos de 512 bytes distribuídos em intervalos, tornando o arquivo inutilizável e reduzindo o tempo necessário para o processo. Após a criptografia, o malware acrescenta um rodapé estruturado contendo os dados necessários para o processo de descriptografia, a chave pública temporária, um identificador aleatório do arquivo e indicadores que especificam o método de criptografia utilizado.
Arquitetura descentralizada de recuperação
O malware deixa notas de resgate em texto nos diretórios criptografados, além de arquivos HTML nas raízes das unidades e nas pastas da área de trabalho. O arquivo RECOVERY_CHAT.<UID>.html funciona como um aplicativo autossuficiente que inclui um chat criptografado de ponta a ponta, um blog de vazamento de dados e um navegador de arquivos, sem depender de um back-end tradicional.
O DeadLock armazena os dados de configuração e o conteúdo do blog de vazamentos em contratos inteligentes na blockchain Polygon. O aplicativo obtém o endereço do servidor intermediário por meio de solicitações de leitura a pontos de RPC públicos, alternando entre seis pontos para proporcionar certo grau de continuidade. O operador pode modificar o endereço do servidor intermediário por meio do contrato inteligente sem alterar a infraestrutura vista pela vítima ou registrar um novo domínio.
A comunicação com as vítimas ocorre pela rede descentralizada Session, que utiliza roteamento semelhante ao onion e armazenamento baseado em grupos de nós. A identidade Session da vítima é derivada deterministicamente dos dados de login; portanto, os mesmos dados produzem o mesmo par de chaves, sem necessidade de criar uma conta, mas esquecer os dados de login torna a identidade irrecuperável, de acordo com o que é exibido pela interface de chat.
A página de recuperação também permite visualizar os arquivos vazados hospedados no Wasabi. O aplicativo inclui um navegador compatível com o AWS S3 que analisa as credenciais a partir do link, cria solicitações assinadas pelo algoritmo AWS4-HMAC-SHA256 e gera links de download pré-assinados.
Limites da resiliência e recomendações defensivas
Essa arquitetura não torna a operação totalmente independente da infraestrutura tradicional. O acesso ao chat depende do servidor intermediário, a página precisa de pelo menos um ponto de RPC público, e as imagens e os arquivos vazados podem ser removidos dos serviços de CDN ou do Wasabi. Ainda assim, os operadores dependem menos de um único servidor de mensagens ou domínio, o que complica alguns esforços de bloqueio e remoção.
A Microsoft recomenda ativar a proteção na nuvem do Microsoft Defender Antivirus ou equivalente, executar o EDR no modo de bloqueio, ativar a proteção contra adulteração e configurar a investigação e a correção automáticas. Também recomenda habilitar o Automatic Attack Disruption no Microsoft Defender XDR, aplicar o Controlled Folder Access e usar regras de redução da superfície de ataque, incluindo o bloqueio da execução de arquivos executáveis que não atendam aos critérios de prevalência, idade ou confiança, além do bloqueio da criação de processos originados por comandos PSExec e WMI, considerando o impacto de compatibilidade em alguns servidores.
O Microsoft Defender Antivirus identifica os componentes da ameaça sob o nome Ransom:Win32/Deadlock.*, enquanto alertas como detecção de comportamento de ransomware, exclusão de cópias de segurança ou alteração do papel de parede podem indicar atividades relacionadas à operação, com a Microsoft alertando que alguns desses alertas podem ser gerados por outras ameaças. A publicação da Microsoft também inclui indicadores de comprometimento, detecções do Defender e orientações para mitigação, tornando-se uma referência prática para equipes de defesa que avaliam a capacidade de seus ambientes de enfrentar o DeadLock ou operações de ransomware semelhantes.