Grupo de ransomware DeadLock explora contratos inteligentes Polygon para sigilo
- O grupo de ransomware DeadLock está usando contratos inteligentes do Polygon para alternar endereços de servidores proxy e evitar bloqueios defensivos.
- O DeadLock evita as táticas tradicionais de dupla extorsão, ameaçando vender dados roubados em privado enquanto oferece relatórios de segurança às vítimas que pagam.
- Pesquisadores de segurança alertam que as técnicas baseadas em blockchain do DeadLock espelham métodos usados por atores da Coreia do Norte.
DeadLock, um grupo de ransomware que surgiu pela primeira vez em julho 2025, fez notícias novamente, e desta vez é por abusar dos contratos inteligentes da blockchain Polygon para gerenciar e rotacionar endereços de servidores proxy, de acordo com a pesquisa publicada pela empresa de cibersegurança Group-IB.
A operação de ransomware usa contratos inteligentes baseados em blockchain para armazenar a URL do servidor proxy do grupo, permitindo rotação frequente que torna difícil para os defensores bloquear permanentemente a infraestrutura.
Após criptografar os sistemas de uma vítima, o DeadLock solta um arquivo HTML que atua como um wrapper para a plataforma de mensagens descentralizada, Session.
Como o ransomware DeadLock funciona na Polygon?
O código JavaScript embutido no arquivo consulta um contrato inteligente Polygon específico para obter a URL do proxy atual, que então retransmite mensagens criptografadas entre a vítima e o ID de Sessão do atacante.
Essas chamadas de leitura apenas na blockchain não geram transações ou taxas, tornando-as gratuitas para os atacantes manterem.
Pesquisadores do Group-IB observaram que a exploração de contratos inteligentes para entregar endereços proxy é um método interessante onde os atacantes podem aplicar variantes infinitas dessa técnica, sendo a imaginação o único limite.
A técnica não é bem documentada e pouco relatada, mas seu uso está gradualmente ganhando tração no mundo real, de acordo com pesquisadores de segurança.
A investigação da Cisco Talos revelou que o DeadLock obtém acesso inicial explorando a CVE-2024-51324, uma vulnerabilidade do antivírus Baidu, usando uma técnica conhecida como “traga seu próprio driver vulnerável” para encerrar processos de detecção e resposta de endpoint.
DeadLock desenvolve novas táticas de extorsão
O DeadLock é diferente da maioria das operações de ransomware porque abandona a abordagem usual de dupla extorsão e não possui um site de vazamento de dados onde possa divulgar os ataques.
Em vez disso, o grupo ameaça vender os dados roubados em mercados clandestinos, oferecendo às vítimas relatórios de segurança e prometendo não reatacá-las se o resgate for pago.
O rastreamento de infraestrutura do Group-IB não identificou nenhuma conexão entre o DeadLock e quaisquer programas de afiliados de ransomware conhecidos. Na verdade, o grupo mantém um perfil relativamente baixo. No entanto, eles encontraram cópias de contratos inteligentes que foram criadas e atualizadas pela primeira vez em agosto 2025 e atualizadas posteriormente em novembro 2025.
O Group-IB afirmou que conseguiu “rastrear sua infraestrutura por meio de transações blockchain, revelando padrões de financiamento e servidores ativos.”
Atores estatais adotam técnicas semelhantes
O Google Threat Intelligence Group observou o ator de ameaça norte-coreano UNC5342 usando uma técnica relacionada chamada EtherHiding para entregar malware e facilitar o roubo de criptomoedas desde fevereiro 2025.
De acordo com o Google, “EtherHiding envolve incorporar código malicioso, muitas vezes na forma de payloads JavaScript, dentro de um contrato inteligente em uma blockchain pública como BNB Smart Chain ou Ethereum.”
Polygon é uma blockchain de camada-2 construída na infraestrutura de camada-1 do Ethereum.
Embora o DeadLock permaneça de baixo volume e baixo impacto, pesquisadores de segurança alertam que ele aplica métodos inovadores que demonstram um conjunto de habilidades que pode se tornar perigoso se as organizações não levarem a sério a ameaça que representa.
Além de incentivar as empresas a serem proativas na detecção de malware, o Group-IB recomendou que elas adicionem mais camadas de segurança, como autenticação multifator e soluções baseadas em credenciais.
A empresa de cibersegurança também afirmou que as empresas devem ter um backup de dados, treinar seus funcionários, corrigir vulnerabilidades e, muito importante, “nunca pagar o resgate”, mas entrar em contato com especialistas em resposta a incidentes o mais rápido possível se forem atacados.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
