Ransomware DeadLock khai thác hợp đồng thông minh của Polygon để tránh bị phát hiện

Nguồn: Yellow Tiêu đề gốc: Ransomware DeadLock khai thác hợp đồng thông minh của Polygon để tránh bị phát hiện

Liên kết gốc: Một loại ransomware mới được phát hiện gần đây đang sử dụng công nghệ blockchain như một vũ khí để xây dựng hạ tầng chỉ huy và kiểm soát bền bỉ mà các đội ngũ an ninh gặp khó khăn trong việc tháo gỡ.

Các nhà nghiên cứu an ninh mạng phát hiện vào thứ Năm rằng ransomware DeadLock, lần đầu tiên được xác định vào tháng 7 năm 2025, lưu trữ địa chỉ của các máy chủ proxy trong các hợp đồng thông minh của Polygon.

Kỹ thuật này cho phép các nhà điều hành liên tục thay đổi điểm kết nối giữa nạn nhân và kẻ tấn công, làm cho các phương pháp chặn truyền thống trở nên vô hiệu.

DeadLock duy trì hồ sơ khá thấp bất chấp sự tinh vi về kỹ thuật của nó: hoạt động mà không có chương trình liên kết hoặc trang web công khai để rò rỉ dữ liệu.

Điều gì làm DeadLock khác biệt

Khác với các nhóm ransomware điển hình thường công khai danh tính nạn nhân, DeadLock đe dọa sẽ bán dữ liệu bị đánh cắp trên các thị trường ngầm.

Phần mềm độc hại chèn mã JavaScript vào các tệp HTML liên lạc với các hợp đồng thông minh trong mạng Polygon.

Các hợp đồng này hoạt động như các kho chứa phân tán các địa chỉ proxy, mà phần mềm độc hại lấy lại thông qua các cuộc gọi chỉ đọc đến chuỗi khối mà không tạo ra phí giao dịch.

Các nhà nghiên cứu đã xác định ít nhất ba biến thể của DeadLock, và các phiên bản mới nhất tích hợp tin nhắn mã hóa qua Session để giao tiếp trực tiếp với nạn nhân.

Tại sao các cuộc tấn công dựa trên blockchain lại quan trọng

Cách tiếp cận này phản ánh các kỹ thuật tương tự mà các nhóm tình báo mối đe dọa đã ghi nhận sau khi quan sát các tác nhân nhà nước sử dụng các phương pháp tương tự.

Việc khai thác hợp đồng thông minh để cung cấp địa chỉ proxy là một phương pháp thú vị, trong đó các kẻ tấn công có thể áp dụng vô số biến thể của kỹ thuật này.

Hạ tầng lưu trữ trên blockchain rất khó loại bỏ vì các hồ sơ phân tán không thể bị tịch thu hoặc ngắt kết nối như các máy chủ truyền thống.

Các nhiễm trùng DeadLock đổi tên các tệp với phần mở rộng “.dlock” và triển khai các script PowerShell để vô hiệu hóa dịch vụ Windows và xóa các bản sao lưu.

Theo thông tin, các cuộc tấn công trước đó đã khai thác lỗ hổng trong phần mềm chống virus và sử dụng kỹ thuật “bring-your-own-vulnerable-driver” để kết thúc các quá trình phát hiện trên các điểm cuối.

Các nhà nghiên cứu thừa nhận rằng vẫn còn những lỗ hổng trong việc hiểu các phương pháp truy cập ban đầu của DeadLock và toàn bộ chuỗi tấn công của nó, mặc dù đã xác nhận nhóm này gần đây đã kích hoạt lại hoạt động của mình với hạ tầng proxy mới.

Việc các tác nhân nhà nước cũng như tội phạm mạng vì mục đích tài chính áp dụng kỹ thuật này cho thấy một sự tiến hóa đáng lo ngại trong cách các đối thủ khai thác khả năng bền bỉ của blockchain với mục đích độc hại.