DeadLock ransomware, despliegue dinámico de direcciones de servidores proxy mediante contratos inteligentes de Polygon

Las amenazas de seguridad se vuelven cada vez más sofisticadas. Según los últimos resultados de monitoreo de Group-IB, la familia de ransomware DeadLock ha desarrollado técnicas innovadoras de evasión. Este malware explota los contratos inteligentes de la red Polygon para cambiar continuamente las direcciones de los servidores proxy, lo que le permite sortear los sistemas de detección de seguridad.

Aparición de técnicas avanzadas de evasión de seguimiento

Descubierto por primera vez a mediados de 2025, DeadLock adopta un enfoque diferente al de otros malware existentes. Los atacantes inyectan código JavaScript que interactúa con la red Polygon dentro de archivos HTML. Este código utiliza las listas de RPC (llamadas a procedimientos remotos) como puerta de enlace, obteniendo y actualizando automáticamente las direcciones de los servidores controlados por la infraestructura de ataque. Estas técnicas aprovechan la inmutabilidad y la naturaleza descentralizada de la cadena de bloques, dificultando mucho su bloqueo mediante sistemas de detección centralizados tradicionales.

Análisis del mecanismo de ataque a través de servidores proxy

El núcleo de esta técnica radica en la gestión dinámica de las direcciones de los servidores proxy. DeadLock lee la información almacenada en los contratos inteligentes de la cadena de bloques para cambiar periódicamente la ruta hacia nuevos servidores proxy. Aunque similar al malware EtherHiding previamente detectado, DeadLock ha construido una infraestructura más automatizada y escalable. La frecuente sustitución de los servidores proxy invalida en tiempo real las listas de bloqueo de los equipos de seguridad, manteniendo abiertas las vías de comunicación entre los atacantes y las víctimas.

Amenaza de ransomware en constante evolución

Hasta ahora se han identificado al menos tres variantes, siendo la más reciente aún más peligrosa. Los atacantes han incorporado directamente en la aplicación de comunicación cifrada Session el ransomware, permitiendo negociaciones directas con las víctimas. Esto demuestra que los operadores de ransomware están perfeccionando no solo las técnicas de evasión de seguridad, sino también los métodos de monetización tras el ataque. La gestión de servidores proxy de DeadLock probablemente será imitada por otras familias de malware en el futuro, representando un nuevo desafío para los equipos de ciberdefensa.