Che i gruppi ransomware investano in resilienza non è una novità: domini di riserva, mirror sul dark web, canali di comunicazione ridondanti. DeadLock ha fatto un passo oltre, spostando parte della propria infrastruttura dove nessuna forza di polizia può sequestrarla: una blockchain pubblica. E per l'Italia il tema non è teorico, perché secondo i dati del leak site il nostro paese è il più rappresentato fra le vittime rivendicate dal gruppo.

Come funziona l'infrastruttura decentralizzata

L'analisi tecnica pubblicata da Microsoft Threat Intelligence il 10 agosto descrive un'operazione attiva da luglio 2025, con un encryptor scritto in Rust e un modello di doppia estorsione ormai standard: cifratura dei sistemi e minaccia di pubblicare i dati esfiltrati. La parte davvero originale è quello che Microsoft chiama "ecosistema di recupero", cioè l'infrastruttura che gestisce la fase post-cifratura.

Invece di appoggiarsi a domini tradizionali, che possono essere sequestrati, DeadLock pubblica e ruota gli indirizzi dei propri proxy attraverso smart contract sulla blockchain Polygon: il malware e le vittime interrogano il contratto per ottenere l'indirizzo aggiornato dei server, e quando un proxy viene abbattuto il gruppo ne registra uno nuovo aggiornando il contratto. Uno smart contract su una blockchain pubblica non si può spegnere né sequestrare: si può solo osservare. Le comunicazioni con le vittime passano invece per Session, un'app di messaggistica decentralizzata e cifrata end-to-end, mentre per l'archiviazione delle risorse il gruppo usa anche storage cloud commerciale. Il riscatto è richiesto in Bitcoin o Monero, con la classica "prova di decifratura" di un file e scadenze di pochi giorni prima della pubblicazione dei dati.

Microsoft ha osservato il ransomware distribuito da più attori diversi, fra cui un affiliato già attivo con Lynx e INC: DeadLock non è quindi una gang monolitica ma un payload che circola in un ecosistema di affiliati, con vettori di ingresso che variano di conseguenza, dallo sfruttamento di dispositivi esposti alle credenziali rubate.

Cosa significa per le aziende italiane

Al momento dell'analisi il gruppo rivendicava 96 vittime su sei continenti, con l'Italia in cima alla distribuzione geografica davanti a Spagna, Polonia, Turchia e Stati Uniti. Non è un caso: la combinazione di tessuto produttivo fatto di PMI manifatturiere, dispositivi di perimetro (VPN, firewall) spesso non aggiornati e budget di sicurezza limitati rende l'Italia un bersaglio ad alto rendimento per gli affiliati, che scelgono le vittime in base alla facilità di accesso più che al fatturato. I settori colpiti da DeadLock — IT, trasporti, manifattura, hospitality, beni di consumo — ricalcano fedelmente la struttura dell'economia italiana, e la tendenza è coerente con quanto CSIRT Italia osserva da inizio anno sugli attacchi ransomware alle PMI.

L'infrastruttura su blockchain ha poi una conseguenza pratica per chi difende: i takedown coordinati, che negli ultimi anni hanno interrotto operazioni come LockBit, diventano molto meno efficaci. Se la resilienza dell'attaccante cresce, l'unico margine su cui lavorare è ridurre la probabilità di ingresso e l'impatto della cifratura.

Sul piano normativo, un attacco con doppia estorsione attiva quasi sempre due binari paralleli: la notifica al Garante Privacy entro 72 ore ai sensi dell'art. 33 GDPR, perché l'esfiltrazione di dati personali è una violazione a prescindere dal pagamento, e per i soggetti NIS2 il preallarme a CSIRT Italia entro 24 ore con notifica completa entro 72. Pagare il riscatto non sospende nessuno di questi obblighi, e la presenza dei dati sul leak site rende difficile sostenere che la violazione non comporti rischi per gli interessati.

Cosa fare subito

  • Aggiornare i dispositivi esposti su Internet (VPN, firewall, gateway): sono il vettore di ingresso preferito degli affiliati ransomware, DeadLock incluso.
  • Attivare MFA resistente al phishing su tutti gli accessi remoti e gli account amministrativi.
  • Verificare i backup: copie offline o immutabili, separate dalla rete di produzione, e test di ripristino effettivi, non solo sulla carta.
  • Segmentare la rete per limitare i movimenti laterali fra IT e sistemi critici.
  • Recuperare gli indicatori di compromissione pubblicati da Microsoft e caricarli su EDR e SIEM; monitorare traffico anomalo verso endpoint RPC di blockchain e l'uso non giustificato di Session in azienda.
  • Predisporre (o aggiornare) il piano di risposta agli incidenti includendo il flusso di notifica verso Garante e CSIRT Italia, con ruoli e tempi già assegnati: le 24 ore del preallarme NIS2 passano in fretta durante un incidente reale.