DeadLock conta meno per l’encryptor che per l’infrastruttura attorno. Le comunicazioni con le vittime, la negoziazione e la pubblicazione dei dati rubati non dipendono da un singolo sito o server: la pressione estorsiva può quindi sopravvivere a un takedown parziale.
Microsoft descrive un ecosistema di recovery che combina Session con servizi supportati da blockchain per distribuire risorse usate lungo tutto il ciclo dell’estorsione. Il risultato è una maggiore resilienza di chat, leak hosting e negoziazioni; infatti DeadLock è stato osservato anche presso più gruppi, inclusi affiliati degli ecosistemi Lynx e INC.
Per i team che seguono incident response e negoziazione ransomware, il punto cambia: spegnere un leak site o un canale non basta più a interrompere il ciclo. La continuità della comunicazione con la vittima diventa parte del danno da contenere.