- DeadLock 勒索软件组织正利用 Polygon 智能合约轮换代理服务器地址，以规避防御性封锁。
- DeadLock 避免传统的“双重勒索”策略，转而威胁私下出售窃取的数据，同时向付费受害者提供安全报告。
- 安全研究人员警告称，DeadLock 基于区块链的技术与朝鲜行为者使用的方法如出一辙。
DeadLock是一个于七月首次出现的勒索软件组织 2025, 根据网络安全公司Group-IB发布的研究，该组织再次成为新闻焦点，此次是因为其滥用Polygon区块链智能合约来管理和轮换代理服务器地址。
该勒索软件运营使用基于区块链的智能合约来存储该组织的代理服务器URL，允许频繁轮换，使得防御者难以永久阻止基础设施。
在加密受害者的系统后，DeadLock会投放一个HTML文件，该文件作为去中心化消息平台Session的包装器。
DeadLock勒索软件如何在Polygon上运作？
文件内嵌的JavaScript代码查询特定的Polygon智能合约以获取当前代理URL，该URL随后在受害者和攻击者的Session ID之间中继加密消息。
这些只读区块链调用不会产生交易或费用，因此攻击者可以免费维护它们。
Group-IB研究人员指出，利用智能合约传递代理地址是一种有趣的方法，攻击者可以应用这种技术的无限变体，想象力是唯一限制。
据安全研究人员称，该技术记录不详且报道较少，但其使用率正在野外逐渐增加。
Cisco Talos的调查揭示，DeadLock通过利用CVE-2024-51324（一种百度杀毒软件漏洞）获得初始访问权限，使用一种称为“自带易受攻击驱动程序”的技术来终止端点检测和响应进程。
DeadLock 推出新型勒索 手段
DeadLock不同于大多数勒索软件运营，因为它放弃了通常的双重勒索方法，并且没有用于公开攻击的数据泄露网站。
相反，该组织威胁要在地下市场出售被盗数据，同时向受害者提供安全报告，并承诺如果支付赎金就不会重新针对他们。
Group-IB的基础设施跟踪未在DeadLock和任何已知的勒索软件附属程序之间发现任何联系。事实上，该组织保持相对较低的知名度。然而，他们发现智能合约副本首次创建和更新于2025年，随后在2025年更新。
Group-IB表示，它成功“通过区块链交易追踪了其基础设施，揭示了资金模式和活跃服务器。”
国家行为体采用类似 技术
Google威胁情报小组观察到朝鲜威胁行为体UNC5342自2025年2月以来使用一种名为EtherHiding的相关技术来投放恶意软件并协助窃取加密货币。
据Google称，“EtherHiding涉及在公共区块链（如BNB智能链或以太坊）上的智能合约中嵌入恶意代码，通常以JavaScript有效载荷的形式存在。”
Polygon恰好是一个构建在以太坊Layer-1基础设施之上的Layer-2区块链。
虽然DeadLock的规模和影响仍然较低，但安全研究人员警告称，它应用了创新的方法，展示了一套技能，如果组织不认真对待其构成的威胁，这些技能可能会变得危险。
除了呼吁企业主动检测恶意软件外，Group-IB还建议他们增加更多的安全层，例如多因素认证和基于凭据的解决方案。
该网络安全公司还指出，企业应拥有数据备份，培训员工，修补漏洞，并且非常重要的一点是，“永远不要支付赎金”，但如果遭到攻击，应尽快联系事件响应专家。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Hannah Collymore
汉娜是一位作家兼编辑，在加密货币领域拥有近十年的博客写作和活动报道经验。在Cryptopolitan，汉娜负责新闻板块，报道和分析DeFi、RWA、加密货币监管、AI和前沿科技行业的最新发展。她毕业于阿卡迪亚大学，获得工商管理学位。
