- DeadLock ランサムウェアグループは、Polygon スマートコントラクトを利用してプロキシサーバーのアドレスを回転させ、防御的なブロックを回避しています。
- DeadLock は従来の二重脅迫戦術を避け、盗まれたデータを私的に販売すると脅しながら、支払いを行った被害者にはセキュリティレポートを提供します。
- セキュリティ研究者らは、DeadLock のブロックチェーンベースの手法が北朝鮮のアクターによって使用されている方法と類似していると警告しています。
7月に初めて姿を現したランサムウェアグループ、DeadLock 2025, は再びニュースになりました。今回は、サイバーセキュリティ企業Group-IBが発表した研究によると、Polygonブロックチェーンのスマートコントラクトを悪用してプロキシサーバーのアドレスを管理およびローテーションしていることが問題視されています。
このランサムウェアオペレーションは、ブロックチェーンベースのスマートコントラクトを使用してグループのプロキシサーバーURLを保存し、頻繁なローテーションを可能にしています。これにより、防御側がインフラを恒久的にブロックすることが困難になります。
被害者のシステムを暗号化した後、DeadLockは分散型メッセージングプラットフォームであるSessionのラッパーとして機能するHTMLファイルをドロップします。
DeadLockランサムウェアはPolygon上でどのように機能するのか？
ファイル内の埋め込みJavaScriptコードは、特定のPolygonスマートコントラクトを照会して、現在のプロキシURLを取得します。このURLは、被害者と攻撃者のSession IDの間で暗号化されたメッセージを中継します。
これらの読み取り専用のブロックチェーン呼び出しはトランザクションや手数料を生成しないため、攻撃者が維持するためのコストはゼロです。
Group-IBの研究者は、プロキシアドレスを提供するためにスマートコントラクトを悪用することは、攻撃者が無限のバリエーションを適用できる興味深い方法であり、想像力が唯一の制限であると指摘しました。
この手法は文書化が不十分で報告も少ないものの、セキュリティ研究者によると、その使用は野外で徐々に広がりを見せています。
Cisco Talosによる調査では、DeadLockがCVE-2024-51324（Baidu Antivirusの脆弱性）を悪用して初期アクセスを取得し、「Bring Your Own Vulnerable Driver」と呼ばれる技術を使用して、エンドポイント検出および応答プロセスを終了することが明らかになりました。
DeadLock が新たな恐喝手段を考案 戦術
DeadLockは、通常の二重脅迫アプローチを放棄し、攻撃を公にするためのデータ漏洩サイトを持たないという点で、他のランサムウェアオペレーションとは異なります。
代わりに、このグループは地下市場で盗んだデータを売却すると脅しながら、身代金が支払われればセキュリティレポートを提供し、再標的化しないことを約束します。
Group-IBのインフラトラッキングでは、DeadLockと既知のランサムウェア配給プログラムとの間に何らの関連性は確認されていません。実際、このグループは比較的低调な姿勢を保っています。しかし、彼らは2025年8月に最初に作成・更新され、その後2025年11月に更新されたスマートコントラクトのコピーを発見しました。
Group-IBは、「ブロックチェーントランザクションを通じてインフラを追跡し、資金の流れパターンとアクティブなサーバーを明らかにすることに成功しました」と述べています。
国家支援アクターが同様の 手法を採用
Google Threat Intelligence Groupは、北朝鮮の脅威アクターUNC5342が2025年2月以降、EtherHidingという関連手法を使用してマルウェアを配信し、暗号通貨の盗難を促進していることを観察しました。
Googleによると、「EtherHidingには、BNB Smart ChainやEthereumなどのパブリックブロックチェーン上のスマートコントラクト内に、多くの場合JavaScriptペイロードの形式で悪意のあるコードを埋め込むことが含まれます。」
Polygonは、Ethereumのレイヤー1インフラストラクチャ上に構築されたレイヤー2ブロックチェーンです。
DeadLockは依然として低ボリュームかつ低インパクトですが、セキュリティ研究者は、組織がその脅威を真剣に受け止めない場合、その革新的な手法が示すスキルセットが危険になる可能性があることを警告しています。
Group-IBは、企業がマルウェアの検出に積極的に取り組むよう呼びかけるだけでなく、多要素認証や資格情報ベースのソリューションなど、セキュリティのレイヤーを追加することを推奨しました。
このサイバーセキュリティ企業はまた、企業がデータバックアップを保持し、従業員を訓練し、脆弱性を修正し、非常に重要なこととして「決して身代金を支払わず」、攻撃を受けた場合はできるだけ早くインシデント対応の専門家に連絡すべきだと述べています。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ハンナ・コリーモア
Hannahは、暗号通貨分野でほぼ10年にわたるブログ執筆およびイベントレポートの経験を持つライター兼編集者です。Cryptopolitanでは、ニュースページに寄稿し、DeFi、RWA（実世界資産）、暗号通貨規制、AI、フロンティアテック業界の最新の動向を報告・分析しています。アーケディア大学でビジネス経営の学位を取得しています。
