Группа вымогательского ПО DeadLock эксплуатирует смарт-контракты Polygon для скрытности

Группа вымогательского ПО DeadLock, впервые появившаяся в июле 2025, снова оказалась в центре внимания, на этот раз за злоупотребление смарт-контрактами блокчейна Polygon для управления и ротации адресов прокси-серверов, согласно исследованию, опубликованному компанией по кибербезопасности Group-IB. 

Операция вымогательского ПО использует смарт-контракты на базе блокчейна для хранения URL-адреса прокси-сервера группы, что позволяет часто его менять и затрудняет защитникам постоянную блокировку инфраструктуры.

После шифрования систем жертвы DeadLock создает HTML-файл, который действует как оболочка для децентрализованной платформы обмена сообщениями Session.

Как работает вымогательское ПО DeadLock на Polygon?

Встроенный JavaScript-код в файле запрашивает у конкретного смарт-контракта Polygon текущий URL-адрес прокси, который затем передает зашифрованные сообщения между жертвой и идентификатором сеанса атакующего.

Эти вызовы блокчейна только для чтения не генерируют транзакций или комиссий, что делает их бесплатными для атакующих в обслуживании.

Исследователи Group-IB отметили, что использование смарт-контрактов для доставки прокси-адресов — это интересный метод, при котором атакующие могут применять бесконечные варианты этой техники, где пределом является только воображение.

Эта техника плохо задокументирована и недостаточно освещается, но, согласно исследователям в области безопасности, ее использование постепенно набирает популярность в дикой природе.

Расследование Cisco Talos выявило, что DeadLock получает первоначальный доступ, эксплуатируя уязвимость CVE-2024-51324 в антивирусе Baidu, используя технику, известную как «принеси свой уязвимый драйвер», для завершения процессов обнаружения и реагирования на конечных точках.

DeadLock разрабатывает новые тактики вымогательства

DeadLock отличается от большинства операций по вымогательству тем, что отказывается от обычного подхода двойного вымогательства и не имеет сайта утечки данных, где она могла бы публиковать атаки.

Вместо этого группа угрожает продать украденные данные на теневых рынках, предлагая жертвам отчеты о безопасности и обещая не перенацеливать их, если выкуп будет уплачен.

Отслеживание инфраструктуры Group-IB не выявило связей между DeadLock и какими-либо известными программами-партнерами по вымогательству. На самом деле, группа сохраняет относительно низкий профиль. Однако они обнаружили копии смарт-контрактов, которые были впервые созданы и обновлены в августе 2025 и позже обновлены в ноябре 2025.

Group-IB заявила, что ей удалось «отследить свою инфраструктуру через транзакции в блокчейне, что выявило паттерны финансирования и активные серверы».

Акторы государственного уровня применяют аналогичные методики

Группа разведки угроз Google наблюдала, как северокорейский злоумышленник UNC5342 использует связанную технику под названием EtherHiding для доставки вредоносного ПО и содействия краже криптовалюты с февраля 2025.

По словам Google, «EtherHiding включает в себя внедрение вредоносного кода, часто в виде JavaScript-загрузчиков, в смарт-контракт на публичном блокчейне, таком как BNB Smart Chain или Ethereum.

Polygon представляет собой блокчейн второго уровня, построенный на инфраструктуре первого уровня Ethereum.

Хотя DeadLock остается группой с низким объемом и низким уровнем воздействия, исследователи безопасности предупреждают, что она применяет инновационные методы, демонстрируя набор навыков, который может стать опасным, если организации не будут серьезно относиться к представляемой ею угрозе.

Помимо призыва к бизнесу быть проактивными в обнаружении вредоносного ПО, Group-IB рекомендовала добавить больше уровней защиты, таких как многофакторная аутентификация и решения на основе учетных данных.

Кибербезопасная компания также заявила, что у бизнеса должна быть резервная копия данных, сотрудники должны проходить обучение, уязвимости должны быть устранены, и, что очень важно, «никогда не платите выкуп», но как можно скорее обращайтесь к экспертам по реагированию на инциденты, если они когда-либо подвергнутся атаке.