DeadLock 랜섬웨어 그룹, Polygon 스마트 계약 악용

7월에 처음 등장한 랜섬웨어 그룹인 DeadLock 2025, 은 다시 뉴스를 장식했으며, 이번에는 사이버 보안 기업 Group-IB가 발표한 연구에 따라 Polygon 블록체인 스마트 계약을 남용하여 프록시 서버 주소를 관리하고 회전시키는 것으로 알려졌습니다. 

랜섬웨어 운영은 블록체인 기반 스마트 계약을 사용하여 그룹의 프록시 서버 URL을 저장하며, 이를 통해 방어자가 인프라를 영구적으로 차단하기 어렵게 자주 회전시킵니다.

피해자의 시스템을 암호화한 후 DeadLock은 분산형 메시징 플랫폼인 Session의 래퍼 역할을 하는 HTML 파일을 생성합니다.

DeadLock 랜섬웨어는 Polygon에서 어떻게 작동합니까?

파일 내 임베드된 JavaScript 코드는 특정 Polygon 스마트 계약을 쿼리하여 현재 프록시 URL을 얻으며, 이 URL은 피해자와 공격자의 Session ID 간에 암호화된 메시지를 중계합니다.

이러한 읽기 전용 블록체인 호출은 트랜잭션이나 수수료를 생성하지 않으므로 공격자가 유지하는 데 비용이 들지 않습니다.

Group-IB 연구원은 스마트 계약을 사용하여 프록시 주소를 전달하는 공격은 상상력이 유일한 제한 사항인 무한한 변형을 적용할 수 있는 흥미로운 방법이라고 지적했습니다.

이 기법은 잘 문서화되지 않았고 보고가 적지만, 보안 연구원들에 따르면 실제 환경에서의 사용이 점차 증가하고 있습니다.

Cisco Talos의 조사 결과, DeadLock은 'CVE-2024-51324'라는 Baidu Antivirus 취약점을 악용하여 초기 접근을 얻으며, 'Bring Your Own Vulnerable Driver(BYOVD)'라는 기법을 사용하여 엔드포인트 탐지 및 응답(EDR) 프로세스를 종료하는 것으로 나타났습니다.

DeadLock이 새로운 갈취 방식을 고안하다 전술

DeadLock은 대부분의 랜섬웨어 운영과 달리 일반적인 이중 협박 방식을 포기했으며, 공격을 공개할 데이터 유출 사이트가 없습니다.

대신 그룹은 탈취한 데이터를 지하 시장에서 판매하겠다고 위협하며, 몸값을 지불하면 보안 보고서를 제공하고 재표적 공격을 하지 않겠다고 약속합니다.

Group-IB의 인프라 추적은 DeadLock과 알려진 랜섬웨어 제휴 프로그램 간에 연결고리를 찾지 못했습니다. 실제로 이 그룹은 비교적 낮은 프로필을 유지합니다. 그러나 그들은 8월에 처음 생성 및 업데이트되고 이후 11월에 업데이트된 스마트 계약 복사본을 발견했습니다. 2025 및 2025.

Group-IB는 "블록체인 트랜잭션을 통해 인프라를 성공적으로 추적하여 자금 흐름 패턴과 활성 서버를 밝혀냈습니다."라고 밝혔습니다.

국가 지원 행위자들이 유사한 기법을 채택하다

Google Threat Intelligence Group은 북한 위협 행위자 UNC5342가 2월 이후 2025.부터 EtherHiding이라는 관련 기법을 사용하여 악성코드를 전달하고 암호화폐 절도를 용이하게 하는 것을 관찰했습니다.

Google에 따르면 "EtherHiding은 BNB Smart Chain 또는 이더리움과 같은 공개 블록체인상의 스마트 계약 내에 JavaScript 페이로드 형태의 악성 코드를 임베딩하는 것을 포함합니다."

Polygon은 이더리움의 레이어-1 인프라 위에 구축된 레이어-2 블록체인입니다.

DeadLock은 여전히 저볼륨 및 저영향이지만, 보안 연구원들은 조직이 이것이 제기하는 위협을 심각하게 받아들이지 않을 경우 위험해질 수 있는 기술력을 보여주는 혁신적인 방법을 적용하고 있다고 경고합니다.

Group-IB는 기업들이 악성코드를 탐지하기 위해 능동적으로 대응할 것을 촉구하는 동시에, 다중 인증 및 자격 증명 기반 솔루션과 같은 보안 계층을 추가로 추가할 것을 권장했습니다.

사이버 보안 기업은 또한 기업들이 데이터 백업을 가지고, 직원을 교육하며, 취약점을 패치하고, 매우 중요한 것으로서 "절대 몸값을 지불하지 말고" 공격을 받으면 가능한 한 빨리 사건 대응 전문가에게 연락해야 한다고 밝혔습니다.