Il gruppo ransomware DeadLock sfrutta gli smart contract Polygon per la stealth
- Il gruppo ransomware DeadLock utilizza smart contract di Polygon per ruotare gli indirizzi dei server proxy ed eludere i blocchi difensivi.
- DeadLock evita le tradizionali tattiche di doppia estorsione, minacciando invece di vendere i dati rubati in privato e offrendo report di sicurezza alle vittime che pagano.
- I ricercatori di sicurezza avvertono che le tecniche basate su blockchain di DeadLock riflettono metodi utilizzati da attori nordcoreani.
DeadLock, un gruppo ransomware emerso per la prima volta a luglio 2025, ha fatto di nuovo notizia, e questa volta per aver abusato degli smart contract della blockchain Polygon per gestire e ruotare gli indirizzi dei server proxy, secondo la ricerca pubblicata dall'azienda di cybersecurity Group-IB.
L'operazione ransomware utilizza smart contract basati su blockchain per memorizzare l'URL del server proxy del gruppo, consentendo una rotazione frequente che rende difficile per i difensori bloccare permanentemente l'infrastruttura.
Dopo aver crittografato i sistemi di una vittima, DeadLock rilascia un file HTML che funge da wrapper per la piattaforma di messaggistica decentralizzata, Session.
Come funziona il ransomware DeadLock su Polygon?
Il codice JavaScript incorporato nel file interroga uno smart contract Polygon specifico per ottenere l'URL proxy corrente, che poi instrada i messaggi crittografati tra la vittima e l'ID della sessione dell'attaccante.
Queste chiamate blockchain in sola lettura non generano transazioni o commissioni, rendendole gratuite per gli attaccanti mantenere.
I ricercatori di Group-IB hanno notato che lo sfruttamento degli smart contract per fornire indirizzi proxy è un metodo interessante in cui gli attaccanti possono applicare varianti infinite di questa tecnica, con l'immaginazione come unico limite.
La tecnica non è ben documentata e sotto-segnalata, ma il suo utilizzo sta gradualmente guadagnando popolarità nel mondo reale, secondo i ricercatori di sicurezza.
Un'indagine di Cisco Talos ha rivelato che DeadLock ottiene l'accesso iniziale sfruttando CVE-2024-51324, una vulnerabilità di Baidu Antivirus, utilizzando una tecnica nota come "bringing your own vulnerable driver" per terminare i processi di rilevamento e risposta agli endpoint.
DeadLock elabora nuove tattiche di estorsione tattiche
DeadLock è diverso dalla maggior parte delle operazioni ransomware perché abbandona il solito approccio di doppia estorsione e non dispone di un sito di fuga dati dove potrebbe pubblicizzare gli attacchi.
Invece, il gruppo minaccia di vendere i dati rubati sui mercati sotterranei, offrendo alle vittime report di sicurezza e promettendo di non colpirle nuovamente se il riscatto viene pagato.
Il tracciamento dell'infrastruttura di Group-IB non ha individuato collegamenti tra DeadLock e programmi di affiliazione ransomware noti. In effetti, il gruppo mantiene un profilo piuttosto basso. Tuttavia, hanno trovato copie di smart contract create e aggiornate per la prima volta ad agosto 2025 e successivamente aggiornate a novembre 2025.
Group-IB ha dichiarato di essere riuscito a "tracciare la sua infrastruttura attraverso le transazioni blockchain, rivelando modelli di finanziamento e server attivi."
Attori statali adottano tecniche simili tecniche
Google Threat Intelligence Group ha osservato l'attore delle minacce nordcoreano UNC5342 utilizzare una tecnica correlata chiamata EtherHiding per distribuire malware e facilitare il furto di criptovalute da febbraio 2025.
Secondo Google, "EtherHiding consiste nell'inserire codice dannoso, spesso sotto forma di payload JavaScript, all'interno di uno smart contract su una blockchain pubblica come BNB Smart Chain o Ethereum."
Polygon è una blockchain layer-2 costruita sull'infrastruttura layer-1 di Ethereum.
Sebbene DeadLock rimanga a basso volume e basso impatto, i ricercatori di sicurezza avvertono che applica metodi innovativi che mostrano un set di competenze che potrebbe diventare pericoloso se le organizzazioni non prendono sul serio la minaccia che rappresenta.
Oltre a esortare le aziende a essere proattive nel rilevamento del malware, Group-IB ha raccomandato di aggiungere più livelli di sicurezza, come l'autenticazione multifattore e soluzioni basate sulle credenziali.
L'azienda di cybersecurity ha anche dichiarato che le aziende dovrebbero avere un backup dei dati, formare i propri dipendenti, correggere le vulnerabilità e, molto importante, "non pagare mai il riscatto", ma contattare gli esperti di risposta agli incidenti il prima possibile se vengono attaccati.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
