데드락 랜섬웨어들이 폴리곤 스마트 컨트랙트를 악용해 테이크다운을 피한다

Group-IB 연구진은 Polygon 스마트 계약을 분산 매개로 사용하여 명령 및 제어(C2) 작전을 위한 프록시 주소를 저장하고 순환시키는 새로운 램섬웨어 변종인 “DeadLock”을 밝혀냈다. 피해자 기계에 특정 스마트 계약을 질의하는 코드를 삽입함으로써 공격자들은 온체인에서 프록시 엔드포인트를 동적으로 업데이트하여 차단되거나 몰수될 수 있는 중앙 집중식 서버의 취약점을 회피할 수 있다.

DeadLock 캠페인은 2025년 7월에 처음 확인되었으며, 알려진 데이터 누출 사이트나 제휴 프로그램이 이를 홍보하지 않는 등 저프로필로 유지되어 왔다. 그럼에도 Group-IB는 프록시 배포를 위한 불변의 블록체인 트랜잭션 사용이 ‘혁신적인 방법’이며 전통적 차단 전략에 상당한 도전을 제시한다고 강조한다. 이 스마트 계약은 피해자가 거래를 제출하거나 가스 요금을 지불할 필요가 없으며, 악성코드는 읽기 연산만 수행한다.

새 프록시 주소가 조회되면 램섬웨어는 피해자의 환경과 암호화된 채널을 설정하여 몸값 요구와 데이터 유출 위협을 전송한다. 온체인 프록시 회전은 회복성을 강화하며, 스마트 계약은 분산 노드 전반에 걸쳐 접근 가능하므로 개별 주소가 블랙리스트에 오르거나 오프체인 인프라에서 제거되더라도 안전하게 동작한다.

Group-IB는 DeadLock 접근 방식이 다른 위협 행위자들에 의해 인프라를 숨기기 위해 쉽게 채택될 수 있다고 경고하며, 이전의 “EtherHiding” 사건을 인용한다. 블록체인 기반의 회피 수법은 스마트 계약의 이중 용도 특성을 강조하고, 등장하는 온체인 공격 벡터에 대응해 사이버 보안 방어가 진화할 필요가 있음을 시사한다. 조직은 공개 스마트 계약 활동을 모니터링하고 보안 운영에 온체인 위협 인텔리전스를 구현하는 것이 권고된다.