DeadLock ransomware: el cifrador que baja el ritmo para que no notes nada — Microsoft lo desarmó entero

Microsoft publicó este lunes el desarmado completo de DeadLock ransomware, y el hallazgo más incómodo no es criptográfico: el programa mide cuánta CPU y cuánta memoria está usando y baja el ritmo solo cuando pasa cierto umbral. ¿El motivo? Que la máquina siga respondiendo normal mientras cifra. Es decir: la señal que a casi todos nos hace sospechar —»che, la PC se puso lenta»— está atenuada a propósito.

El informe salió del equipo de Microsoft Threat Intelligence y es un análisis técnico de primera mano del cifrador, no un resumen de prensa. Abajo está lo que importa si tenés una PC con Windows o manejás las computadoras de una PyME, traducido del lenguaje de laboratorio al de todos los días.

• Qué es DeadLock ransomware y por qué Microsoft lo desarmó recién ahora
• El detalle que cambia todo: baja el ritmo para no despertarte
• Todo lo que apaga antes de empezar (incluida tu nube)
• Las señales que llegan tarde a propósito
• El rescate se negocia en una página que vive en la blockchain
• Qué cambió en siete meses
• ¿Y esto qué significa para vos?
• Preguntas frecuentes sobre DeadLock

Qué es DeadLock ransomware y por qué Microsoft lo desarmó recién ahora

DeadLock es una familia de ransomware que se vio por primera vez en julio de 2025. Microsoft la describe como «una operación emergente con motivación financiera» que practica doble extorsión: cifra los archivos y además amenaza con publicar lo que se robó.

Los números que da el informe: más de 80 organizaciones publicadas en su sitio de filtraciones a julio de 2026, con más de la mitad de las víctimas reclamadas en Europa. Microsoft lo detectó afectando a empresas de tecnología, minería, transporte y logística, manufactura, hotelería y consumo masivo, en Europa, Asia, Norteamérica, Sudamérica y África.

Y no es un grupo aislado: según el informe, DeadLock lo despliegan varios grupos distintos, entre ellos un afiliado de los ecosistemas Lynx e INC. O sea que el cifrador circula como herramienta entre bandas que ya venían operando.

El detalle que cambia todo: baja el ritmo para no despertarte

Acá está el hallazgo que vale la nota. El cifrador tiene un mecanismo de autolimitación consciente de los recursos: antes de mandar cada archivo nuevo a cifrar, un hilo dedicado mide el uso de memoria y cuánta CPU está libre.

Los umbrales son concretos: si el uso de memoria supera el 29% o la carga de CPU pasa el 70% (es decir, queda menos de 30% de CPU ociosa), el despachador deja de mandar archivos nuevos a la cola y espera hasta que los recursos vuelvan por debajo de esos números.

Conviene ser preciso con el mecanismo, porque no es un arranque y pare: los hilos que ya están cifrando un archivo no se interrumpen y lo terminan. Microsoft lo aclara textual — «la autolimitación se manifiesta como menos paralelismo, no como un comportamiento de detener y arrancar». Lo que baja es el ritmo al que entran archivos nuevos, no el trabajo en curso.

Y explica para qué sirve, también textual: este enfoque «puede prevenir los cuelgues del sistema que alertarían al usuario y reducir la probabilidad de detección por comportamiento, manteniendo patrones de consumo de recursos que parecen normales».

Traducido: el ransomware prefiere tardar más y que no lo notes. La intuición de que un ataque se delata porque la máquina se arrastra y el ventilador vuela es exactamente lo que este diseño busca desactivar.

Todo lo que apaga antes de empezar (incluida tu nube)

Antes de cifrar un solo archivo, DeadLock hace limpieza. Recorre los servicios de Windows activos y, para los que están en su lista, los pone en «Deshabilitado» y después los detiene. Con los procesos hace lo mismo: los mata.

La fila de la nube merece un párrafo aparte, porque es la creencia que más gente tiene y la más peligrosa acá. Matar el proceso de OneDrive, Dropbox o Google Drive no borra tus archivos en la nube —eso hay que decirlo con precisión—, pero sí corta la sincronización mientras el ataque avanza, y el informe no describe ningún mecanismo que devuelva los archivos después. Lo que la nube te da en este escenario es historial de versiones, no inmunidad: depende del servicio, del plan y de que alguien lo restaure a tiempo.

Hay un punto más, y hay que contarlo con cuidado porque es fácil sacar la conclusión equivocada: toda esta limpieza previa necesita permisos de administrador. Cuando el programa arranca sin privilegios elevados, genera un archivo .cmd con nombre aleatorio de 8 letras mayúsculas y lo ejecuta con el verbo RunAs, lo que dispara el cartel de Control de cuentas de usuario (UAC). Si el usuario dice que no, vuelve a intentar hasta 10 veces.

🔴 Pero decir que no al UAC no evita el cifrado. La primaria es explícita: cuando se lo invoca con una carpeta como argumento, el programa «saltea la preparación y procede directamente a cifrar los archivos accesibles». Sin administrador no puede apagarte el antivirus ni borrar las copias de sombra — sí puede cifrar todo lo que tu usuario pueda escribir, que en una PC hogareña es Documentos, Escritorio, fotos y descargas. O sea: negar el permiso te ahorra la parte destructiva de alrededor, no tus archivos.

Microsoft agrega un dato honesto sobre su propia prueba: en el análisis dinámico la muestra no logró relanzarse con privilegios elevados, y la preparación completa «parece requerir ejecución desde un contexto ya elevado». Aclara además que ese comportamiento es específico de la muestra analizada y puede cambiar en versiones posteriores.

Eso deja una pregunta abierta que este informe no responde, porque analiza el cifrador y no la entrada: ¿cómo llega el atacante hasta ahí? Un camino documentado y muy vigente en la región es la estafa de soporte por Microsoft Teams que termina en cifrado — dos minutos de llamada, alguien que dice ser de sistemas, y en uno de los casos documentados menos de 17 horas hasta el ransomware. El cifrador es el último acto de la obra, no el primero.

Las señales que llegan tarde a propósito

El patrón se repite en cada etapa: las señales que te permitirían reaccionar a tiempo están demoradas o borradas. Las que aparecen enseguida son las que al atacante le conviene que veas — pero esas llegan cuando ya cifró.

• Vacía la papelera de reciclaje de todas las unidades, en silencio y sin cartel de confirmación.
• Borra los registros de eventos (Aplicación, Seguridad, Sistema, PowerShell y más) y después los deshabilita: recorre cada canal en el registro de Windows, pone Enabled en 0 y le cambia los permisos de acceso. No solo tapa lo que pasó: impide que se anote lo que venga.
• La nota de rescate en texto aparece recién en la segunda pasada. El archivo HOW_RECOVER.<UID>.txt se deja en cada carpeta cifrada, pero el programa lo suprime en la primera vuelta —según Microsoft, «probablemente» para priorizar la velocidad de cifrado—.

De esa última conviene sacar la conclusión correcta, porque la intuitiva es errónea. Microsoft advierte que en un equipo con una sola unidad, donde el recorrido se ejecuta una vez, la nota de texto puede no aparecer nunca. O sea: la ausencia de nota de rescate no dice absolutamente nada sobre cuánto avanzó el cifrado, y esperar a verla es esperar una señal que quizás no llegue nunca. Lo que sí es inequívoco son los archivos renombrados con .dlock al final: si los ves, ya está pasando.

Sí hay dos avisos que el propio programa pone a propósito, y son los que la mayoría va a ver primero: le registra un ícono propio a los archivos .dlock y cambia el fondo de escritorio por uno generado al momento —Microsoft lo llama «un indicador visual inmediato de compromiso»—. No son un descuido: son parte de la extorsión.

Sobre el cifrado en sí, la conclusión de Microsoft es tan clara como desalentadora: el diseño combina XChaCha20 con Curve25519 y genera una clave distinta para cada archivo, así que «la construcción criptográfica es sólida y no presenta un camino práctico al descifrado sin la clave privada del atacante». El informe no describe ninguna vía de recuperación sin esa clave. Lo único que funciona es no llegar a ese punto.

Un detalle que explica por qué también los archivos grandes caen rápido: a partir de los 50 MB el programa deja de cifrar el archivo entero y pasa a cifrar bloques de 512 bytes salteados a intervalos regulares. Con eso alcanza para dejar inservible una base de datos, una imagen de máquina virtual o un backup, en una fracción del tiempo.

El rescate se negocia en una página que vive en la blockchain

Además de la nota de texto, DeadLock deja un archivo RECOVERY_CHAT.<UID>.html en la raíz de cada unidad y en todos los escritorios. No es un simple aviso: es una aplicación web completa y autocontenida, con chat cifrado de punta a punta, un blog de filtraciones paginado y un explorador de archivos. Todo sin servidor propio.

El truco está en dónde guarda su configuración. En lugar de un dominio que se pueda dar de baja, los operadores usan dos contratos inteligentes en la blockchain de Polygon: uno guarda la dirección del servidor proxy y el otro, las entradas del blog de filtraciones. La página los consulta con llamadas de solo lectura, sin billetera y sin costo, rotando entre seis puntos de acceso públicos.

El chat con los atacantes viaja por Session, una red de mensajería descentralizada. Y hay un detalle cruel: la identidad de la víctima en esa red se deriva de las credenciales que le dieron, así que —según aclaran los propios atacantes en la interfaz— si las perdés, esa identidad no se recupera. Los archivos robados, por su parte, se alojan en Wasabi y se navegan desde la misma página.

Microsoft es medida al evaluarlo: dice que la arquitectura es «significativamente más resistente» a los operativos de desmantelamiento, pero aclara que no es independiente de la infraestructura fuera de la cadena — sigue necesitando al menos un punto de acceso público de Polygon, que el proxy siga en pie y que nadie le baje los archivos alojados en Wasabi.

Qué cambió en siete meses

Esta parte no está en el informe de Microsoft y es la que más dice sobre hacia dónde va el asunto. DeadLock ya había sido documentado antes: Cisco Talos publicó en diciembre de 2025 sobre el cargador que lo acompañaba, y Group-IB describió en enero de 2026 el uso de contratos inteligentes de Polygon.

Lo interesante es comparar aquella foto con la de ahora. Group-IB describía en enero una operación que era, textual, «notable por no estar asociada a ningún programa de afiliados conocido y por carecer de un sitio de filtraciones». Siete meses después, Microsoft cuenta más de 80 organizaciones publicadas y lo ubica en manos de un afiliado de Lynx e INC.

La lectura es sencilla: en siete meses, DeadLock pasó de curiosidad técnica a operación con volumen. No es un experimento de laboratorio.

¿Y esto qué significa para vos?

Primero, lo que no significa. Esto no es un virus que ande circulando por WhatsApp: las víctimas que documenta Microsoft son organizaciones, y la mayoría está en Europa. Si tenés una notebook en casa, la probabilidad de cruzarte con DeadLock específicamente es baja.

Dicho eso, hay tres cosas que sí te tocan de cerca.

Una: el idioma no te protege. El programa revisa el idioma del sistema y se autoelimina sin cifrar nada si encuentra alguno de 17 idiomas: ruso, ucraniano, bielorruso, kazajo, georgiano, armenio y otros de la órbita ex soviética, más persa, siríaco y árabe de Omán y de Yemen. El español no está en esa lista, y Sudamérica figura entre las regiones afectadas. Además, esa lista viaja en la configuración de cada compilación: no es una ley de la naturaleza, es un campo que el operador cambia cuando quiere. Ponerle ruso a tu Windows no es una defensa, es romperte la PC por nada.

Dos: decirle que no al UAC sirve, pero menos de lo que parece. Ese cartel que pide permiso de administrador y que todo el mundo aprueba en automático le bloquea la parte destructiva de alrededor: apagar el antivirus, borrar las copias de sombra, matar la sincronización con la nube. No le impide cifrar tus archivos personales. Y en los ataques reales el operador rara vez depende de que vos aceptes: Cisco Talos documentó en diciembre un ataque con DeadLock donde el atacante corrió un script de PowerShell que saltea el UAC, apaga Windows Defender y borra las copias de sombra, apoyado en un cargador que abusaba de un driver vulnerable de un antivirus (CVE-2024-51324) para matar las herramientas de detección. Aun así, la respuesta a un cartel que aparece sin que hayas abierto nada sigue siendo No — hasta diez veces si hace falta.

Tres: hay una protección gratis que ya tenés, con una condición que casi nadie menciona. Entre las mitigaciones que recomienda Microsoft está el acceso controlado a carpetas, que solo deja que las aplicaciones confiables modifiquen tus carpetas de documentos. Se activa en Seguridad de Windows → Protección antivirus y contra amenazas → Administrar la configuración → Acceso controlado a carpetas → Administrar el acceso controlado a carpetas, dentro del panel que Microsoft llama justamente «Protección contra ransomware».

🔴 La condición: la documentación de Microsoft exige que la protección en tiempo real de Microsoft Defender Antivirus esté encendida. Si tenés instalado un antivirus de terceros, Defender pasa a modo pasivo y el acceso controlado a carpetas deja de estar disponible. Es un intercambio real que conviene decidir a conciencia, no descubrir el día del ataque. Lo mismo vale para la protección contra alteraciones, que existe precisamente para que un atacante no pueda apagar la seguridad como hace DeadLock.

Y una advertencia honesta para cerrar, porque acá es fácil vender humo: ningún antivirus es garantía una vez que el atacante consiguió permisos de administrador — lo primero que hace este programa es apagarlos, marca por marca. Microsoft recomienda activar la protección en la nube «en Microsoft Defender Antivirus o el equivalente de tu producto antivirus«, y esa capa ayuda; pero lo único que devuelve los archivos cuando el cifrado ya pasó es una copia de seguridad que estaba desconectada — y la palabra importante es desconectada, porque un disco externo siempre enchufado se cifra igual que el interno.

Si venís pateando ese tema, una licencia de backup para tus equipos y un disco que desenchufás cuando termina resuelven el problema antes de que exista. Es la única parte de esta historia que depende enteramente de vos.

Preguntas frecuentes sobre DeadLock

¿Se pueden recuperar los archivos con extensión .dlock sin pagar?

Microsoft analizó el esquema criptográfico y concluye que es sólido y que no ofrece un camino práctico al descifrado sin la clave privada del atacante, porque cada archivo se cifra con una clave distinta. Su informe no describe ninguna vía de recuperación: depende de una copia de seguridad previa que el ataque no haya alcanzado.

¿Cómo me doy cuenta de que está cifrando en ese momento?

Es difícil por diseño: baja su propio ritmo para no ralentizar el equipo. La señal fiable son los archivos renombrados con .dlock al final. No esperes la nota de rescate: Microsoft advierte que en equipos de una sola unidad puede no aparecer nunca. Ante la duda, desconectá el equipo de la red.

¿Tener los archivos en OneDrive o Google Drive me protege?

No alcanza. El programa mata los procesos de sincronización de OneDrive, Dropbox y Google Drive antes de cifrar. Los archivos ya subidos siguen en el servicio y podés apoyarte en su historial de versiones, pero eso depende del plan y de restaurarlo a tiempo: no es una copia de seguridad.

¿Esto afecta a usuarios particulares o solo a empresas?

Las víctimas documentadas por Microsoft son organizaciones de rubros como tecnología, logística, manufactura y hotelería, y más de la mitad de las reclamadas están en Europa. Aun así corre sobre Windows común, y las medidas que recomienda Microsoft están disponibles en cualquier PC hogareña.

🛒 Te puede servir

Acronis True Image 2021 — 3 PCCopias de seguridad locales de tus equipos, para guardar en un disco que después desconectás.Ver precio de hoy →

¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Hacé el backup hoy, no el día del rescate →