Navegar por esta matéria
Um ataque de ransomware não termina quando os arquivos são criptografados. Grupos criminosos também precisam manter contato com as vítimas, publicar dados e continuar operando quando sua infraestrutura é bloqueada. É justamente nesse ponto que o DeadLock chama atenção: além de técnicas conhecidas de extorsão, ele utiliza uma estrutura descentralizada para tornar partes da operação mais resistentes a interrupções.
O que é o ransomware DeadLock?
A Microsoft classifica o DeadLock como uma operação emergente motivada financeiramente. O malware foi observado pela primeira vez em julho de 2025 e já foi implantado por diferentes grupos, incluindo um afiliado associado aos ecossistemas Lynx e INC.
Os alvos identificados pertencem a setores como tecnologia, mineração, transporte, logística, indústria, hotelaria e bens de consumo. Há vítimas em diferentes continentes, com mais da metade das organizações reivindicadas localizada na Europa.
O que significa dupla extorsão?
Nesse modelo, os criminosos não dependem apenas do bloqueio de arquivos. Eles também retiram dados do ambiente e ameaçam publicá-los caso a organização não aceite a negociação.
Ter um backup pode reduzir o impacto da criptografia, mas não elimina o risco de exposição. Por isso, resposta a ransomware também precisa investigar acesso indevido, possíveis transferências de dados e credenciais comprometidas.
Por que a infraestrutura descentralizada preocupa?
O sistema de recuperação combina a rede de mensagens Session com serviços apoiados por blockchain. A nota deixada pelo malware abre uma aplicação de conversa criptografada, navegador de arquivos e acesso ao espaço usado para vazamentos sem depender de um servidor tradicional único.
Essa arquitetura pode permitir que partes da comunicação e da negociação continuem funcionando mesmo depois de uma derrubada. Descentralização não torna o grupo invencível, mas aumenta a quantidade de componentes que investigadores precisam interromper.
O que o malware faz antes de criptografar?
Quando possui privilégios administrativos, o DeadLock tenta ampliar o acesso, interromper processos e desativar serviços que poderiam impedir a criptografia. Entre os alvos estão recursos de segurança, cópias de sombra, backup, virtualização e serviços de diretório.
O programa também esvazia a lixeira e procura reduzir caminhos simples de recuperação. A amostra analisada tenta solicitar elevação de privilégio repetidamente, embora parte do comportamento dependa de já estar sendo executada com acesso administrativo.
Como os arquivos são protegidos pelos criminosos?
A análise identificou uma combinação de XChaCha20 para o conteúdo dos arquivos e Curve25519 no encapsulamento das chaves. Após o processo, os documentos recebem a extensão .dlock e um ícone registrado pelo malware.
O DeadLock também controla o consumo de recursos para manter o sistema responsivo durante a criptografia. Isso pode tornar o ataque menos perceptível para quem observa apenas travamentos ou uso excessivo da máquina.
Como reduzir o risco de ransomware?
A Microsoft recomenda proteção antivírus atualizada e conectada à nuvem, regras de redução da superfície de ataque, higiene de credenciais e endurecimento dos sistemas. Privilégios administrativos devem ser limitados e monitorados.
Backups precisam ser isolados, testados e protegidos contra exclusão. Empresas também devem manter um plano de resposta que inclua contenção, preservação de evidências, análise de vazamento e comunicação adequada, sem improvisar durante o incidente.
Perguntas e respostas
Respostas diretas para as dúvidas mais pesquisadas sobre este tema.
Quantas organizações foram atingidas pelo DeadLock?
Até julho de 2026, os operadores haviam publicado mais de 80 organizações em seu site de vazamentos. A lista representa reivindicações do grupo e pode não incluir todos os casos.
O DeadLock apenas bloqueia arquivos?
Não. A operação utiliza dupla extorsão, combinando criptografia com ameaça de divulgar dados retirados das vítimas.
Por que o ransomware usa infraestrutura descentralizada?
A estrutura ajuda a manter comunicação, negociação e publicação de dados mesmo quando parte dos serviços é interrompida.
Pagar o resgate garante a recuperação?
Não existe garantia de devolução dos dados, exclusão das cópias roubadas ou interrupção de novas ameaças. Uma resposta deve envolver especialistas e autoridades competentes.
Continue pesquisando
Os links abaixo levam às fontes usadas para conferir as informações deste artigo.