DeadLock-ransomware utnyttjar Polygon-smartkontrakt för att undvika nedtagningar

Group-IB-forskare har upptäckt en ny ransomware-stam, benämnd “DeadLock,” som använder Polygon-smarta kontrakt som ett decentraliserat medium för att lagra och rotera proxyändpunkter för dess kommando- och kontrolloperationer (C2). Genom att bädda in kod i offrets maskiner som frågar ett specifikt smart kontrakt kan angripare dynamiskt uppdatera proxyändpunkter on-chain, vilket undviker sårbarheterna hos centraliserade servrar som kan blockeras eller beslagtas.

Kampanjen DeadLock, som först identifierades i juli 2025, har hållit låg profil, utan kända dataläcksidor eller affiliate-program som marknadsför den. Ändå understryker Group-IB att användningen av oföränderliga blockkedjetransaktioner för distribution av proxyn utgör en “innovativ metod” som medför betydande utmaningar för traditionella nedtagningsstrategier. Smartkontraktet kräver inte att offer lämnar in transaktioner eller betalar gasavgifter, eftersom skadlig programvara endast utför läsoperationer.

När en ny proxyadress hämtas upprättar ransomwaren krypterade kanaler med offrets miljö för att överföra utpressningskrav och hotad dataexfiltrering. Den on-chain-proxyrotationen ökar motståndskraften, eftersom smartkontraktet är tillgängligt över distribuerade noder även om enskilda adresser svartlistats eller tas bort från off-chain-infrastrukturen.

Group-IB varnar för att DeadLock-approachen enkelt kan anpassas av andra hotaktörer för att dölja sin infrastruktur, med hänvisning till tidigare “EtherHiding”-incidenter. Den blockkedjebaserade undvikandetekniken understryker den dubbla användningen av smarta kontrakt och betonar behovet av att cybersäkerhetsskydd utvecklas i takt med framväxande on-chain-attackvektorer. Organisationer rekommenderas att övervaka offentlig aktivitet i smarta kontrakt och införa on-chain-hotintelligens i sin säkerhetspraxis.