DeadLock-Ransomware-Gruppe nutzt Polygon-Smart Contracts für Tarnung

DeadLock, eine Ransomware-Gruppe, die erstmals im Juli 2025, in den Nachrichten war, und dieses Mal geht es um den Missbrauch von Polygon-Blockchain-Smart Contracts zur Verwaltung und Rotation von Proxy-Server-Adressen, according to research published by cybersecurity firm Group-IB. 

Die Ransomware-Operation nutzt blockchain-basierte Smart Contracts, um die URL des Proxy-Servers der Gruppe zu speichern, was eine häufige Rotation ermöglicht und es Verteidigern erschwert, die Infrastruktur dauerhaft zu blockieren.

Nachdem DeadLock die Systeme eines Opfers verschlüsselt hat, legt es eine HTML-Datei ab, die als Wrapper für die dezentrale Messaging-Plattform Session dient.

Wie funktioniert die DeadLock-Ransomware auf Polygon?

Eingebetteter JavaScript-Code in der Datei fragt einen bestimmten Polygon Smart Contract ab, um die aktuelle Proxy-URL zu erhalten, die dann verschlüsselte Nachrichten zwischen dem Opfer und der Session-ID des Angreifers weiterleitet.

Diese schreibgeschützten Blockchain-Aufrufe generieren keine Transaktionen oder Gebühren, was sie für die Angreifer kostengünstig zu warten macht.

Forscher von Group-IB stellten fest, dass die Ausnutzung von Smart Contracts zur Bereitstellung von Proxy-Adressen eine interessante Methode ist, bei der Angreifer unendliche Varianten dieser Technik anwenden können, wobei nur die Fantasie die Grenze darstellt.

Die Technik ist nicht gut dokumentiert und wird unterrepräsentiert gemeldet, aber ihre Nutzung gewinnt in der Wildnis allmählich an Fahrt, according to security researchers.

Eine Untersuchung von Cisco Talos ergab, dass DeadLock den initialen Zugriff durch die Ausnutzung von CVE-2024-51324, einer Schwachstelle in der Baidu Antivirus-Software, erlangt. Dabei wird eine Technik namens „Bring Your Own Vulnerable Driver“ (BYOVD) eingesetzt, um Endpoint Detection and Response-Prozesse zu beenden.

DeadLock entwickelt neue Erpressungsmethoden Taktiken

DeadLock unterscheidet sich von den meisten Ransomware-Operationen, da es den üblichen Ansatz der doppelten Erpressung aufgibt und keine Datenlecks-Website besitzt, auf der es Angriffe veröffentlichen könnte.

Stattdessen droht die Gruppe damit, gestohlene Daten auf unterirdischen Märkten zu verkaufen, bietet Opfern jedoch Sicherheitsberichte und verspricht, sie nicht erneut zu zielen, wenn das Lösegeld gezahlt wird.

Die Infrastrukturverfolgung von Group-IB hat keine Verbindungen zwischen DeadLock und bekannten Ransomware-Affiliate-Programmen hergestellt. Tatsächlich hält die Gruppe einen relativ niedrigen Profil. Allerdings fanden sie Kopien von Smart Contracts, die erstmals im August 2025 erstellt und aktualisiert wurden und später im November 2025 aktualisiert wurden.

Group-IB gab an, dass es „seine Infrastruktur erfolgreich durch Blockchain-Transaktionen verfolgt hat, was Finanzierungs Muster und aktive Server aufdeckte.“

Akteure im Auftrag von Nationalstaaten übernehmen ähnliche Techniken

Google Threat Intelligence Group beobachtete, dass der nordkoreanische Bedrohungsakteur UNC5342 seit Februar 2025 eine verwandte Technik namens EtherHiding einsetzt, um Malware zu liefern und Diebstahl von Kryptowährungen zu erleichtern.

Laut Google „beinhaltet EtherHiding das Einbetten von schädlichem Code, oft in Form von JavaScript-Payloads, innerhalb eines Smart Contracts auf einer öffentlichen Blockchain wie BNB Smart Chain oder Ethereum.“

Polygon ist zufällig eine Layer-2-Blockchain, die auf der Layer-1-Infrastruktur von Ethereum aufgebaut ist.

Während DeadLock weiterhin niedriges Volumen und geringe Auswirkungen hat, warnen Sicherheitsexperten, dass es innovative Methoden anwendet, die ein Können zeigen, das gefährlich werden könnte, wenn Organisationen die von ihm ausgehende Bedrohung nicht ernst nehmen.

Neben dem Appell an Unternehmen, proaktiv bei der Erkennung von Malware zu sein, empfahl Group-IB, weitere Sicherheitsschichten hinzuzufügen, wie Multifaktor-Authentifizierung und anmeldebasierende Lösungen.

Das Cybersicherheitsunternehmen erklärte auch, dass Unternehmen über Daten-Backups verfügen, ihre Mitarbeiter schulen, Schwachstellen patchen und, was sehr wichtig ist, „niemals das Lösegeld zahlen“, sondern im Falle eines Angriffs so schnell wie möglich Kontakt mit Experten für Incident Response aufnehmen sollten.