El grupo de ransomware DeadLock explota contratos inteligentes de Polygon para sigilo
- El grupo de ransomware DeadLock está utilizando contratos inteligentes de Polygon para rotar las direcciones de los servidores proxy y evadir el bloqueo defensivo.
- DeadLock evita las tácticas tradicionales de doble extorsión, amenazando en su lugar con vender datos robados de forma privada mientras ofrece informes de seguridad a las víctimas que pagan.
- Los investigadores de seguridad advierten que las técnicas basadas en blockchain de DeadLock reflejan métodos utilizados por actores norcoreanos.
DeadLock, un grupo de ransomware que surgió por primera vez en julio 2025, ha vuelto a hacer noticia, y esta vez es por abusar de los contratos inteligentes de la blockchain Polygon para gestionar y rotar direcciones de servidores proxy, según la investigación publicada por la firma de ciberseguridad Group-IB.
La operación de ransomware utiliza contratos inteligentes basados en blockchain para almacenar la URL del servidor proxy del grupo, permitiendo una rotación frecuente que dificulta que los defensores bloqueen permanentemente la infraestructura.
Después de encriptar los sistemas de la víctima, DeadLock deja caer un archivo HTML que actúa como envoltorio para la plataforma de mensajería descentralizada, Session.
¿Cómo funciona el ransomware DeadLock en Polygon?
El código JavaScript incrustado dentro del archivo consulta un contrato inteligente específico de Polygon para obtener la URL del proxy actual, que luego retransmite mensajes encriptados entre la víctima y el ID de sesión del atacante.
Estas llamadas de solo lectura a la blockchain no generan transacciones ni tarifas, lo que las hace gratuitas para que los atacantes las mantengan.
Los investigadores de Group-IB notaron que la explotación de contratos inteligentes para entregar direcciones proxy es un método interesante donde los atacantes pueden aplicar variantes infinitas de esta técnica, siendo la imaginación el único límite.
La técnica no está bien documentada y es poco reportada, pero su uso está ganando terreno gradualmente en la naturaleza, según los investigadores de seguridad.
La investigación de Cisco Talos reveló que DeadLock obtiene el acceso inicial explotando CVE-2024-51324, una vulnerabilidad de Baidu Antivirus, utilizando una técnica conocida como "traer tu propio controlador vulnerable" para terminar los procesos de detección y respuesta en el extremo.
DeadLock desarrolla nuevas tácticas de extorsión tácticas
DeadLock es diferente de la mayoría de las operaciones de ransomware porque abandona el enfoque habitual de doble extorsión y no tiene un sitio de filtración de datos donde podría publicitar los ataques.
En cambio, el grupo amenaza con vender los datos robados en mercados subterráneos mientras ofrece a las víctimas informes de seguridad y promete no volver a dirigirse a ellas si se paga el rescate.
El seguimiento de infraestructura de Group-IB no ha trazado ninguna conexión entre DeadLock y cualquier programa de afiliados de ransomware conocido. De hecho, el grupo mantiene un perfil relativamente bajo. Sin embargo, encontraron copias de contratos inteligentes que fueron creadas y actualizadas por primera vez en agosto 2025 y actualizadas posteriormente en noviembre 2025.
Group-IB declaró que pudo "rastrear su infraestructura a través de transacciones blockchain, revelando patrones de financiación y servidores activos".
Actores estatales adoptan técnicas similares técnicas
El Grupo de Inteligencia de Amenazas de Google observó al actor de amenazas norcoreano UNC5342 utilizando una técnica relacionada llamada EtherHiding para entregar malware y facilitar el robo de criptomonedas desde febrero 2025.
Según Google, "EtherHiding implica incrustar código malicioso, a menudo en forma de payloads de JavaScript, dentro de un contrato inteligente en una blockchain pública como BNB Smart Chain o Ethereum."
Polygon resulta ser una blockchain de capa 2 que está construida sobre la infraestructura de capa 1 de Ethereum.
Mientras DeadLock permanece de bajo volumen y bajo impacto, los investigadores de seguridad advierten que aplica métodos innovadores que muestran un conjunto de habilidades que podría volverse peligroso si las organizaciones no toman en serio la amenaza que representa.
Además de instar a las empresas a ser proactivas en la detección de malware, Group-IB recomendó que añadan más capas de seguridad, como autenticación multifactor y soluciones basadas en credenciales.
La firma de ciberseguridad también declaró que las empresas deben tener una copia de seguridad de datos, capacitar a sus empleados, parchear vulnerabilidades y, muy importante, "nunca pagar el rescate" sino contactar a expertos en respuesta a incidentes lo más rápido posible si alguna vez son atacados.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
