DeadLock rançongiciel, déploiement dynamique de l'adresse du serveur proxy via un contrat intelligent Polygon

PumpDetector · 2026-01-26T04:26:55+00:00

Le ransomware DeadLock utilise des techniques innovantes pour contourner les systèmes de sécurité en modifiant dynamiquement les adresses des serveurs proxy, en exploitant les contrats intelligents sur le réseau Polygon. Cette avancée complique la détection, posant des défis constants pour les équipes de cybersécurité.

PumpDetector

2026-01-26 04:26:55

Création du résumé en cours

Les menaces de sécurité deviennent de plus en plus sophistiquées. Selon les dernières analyses de Group-IB, la famille de ransomwares DeadLock a développé une technique d’évasion innovante. Ce malware exploite les contrats intelligents du réseau Polygon pour changer continuellement l’adresse du serveur proxy, contournant ainsi les systèmes de détection de sécurité.

Apparition de techniques avancées d’évasion

Découvert pour la première fois à la mi-2025, DeadLock adopte une approche différente des malwares traditionnels. Les attaquants injectent dans le fichier HTML un code JavaScript interagissant avec le réseau Polygon. Ce code utilise une liste RPC (appel de procédure distante) comme passerelle, tout en acquérant et en mettant à jour automatiquement l’adresse du serveur contrôlant l’infrastructure d’attaque. Cette technique exploite l’immuabilité et la nature décentralisée de la blockchain, rendant très difficile leur blocage par des systèmes de détection centralisés.

Analyse du mécanisme d’attaque via les serveurs proxy

Le cœur de cette méthode réside dans la gestion dynamique des adresses des serveurs proxy. DeadLock lit les informations stockées dans le contrat intelligent de la blockchain pour changer périodiquement de route vers un nouveau serveur proxy. Bien que similaire à l’ancien malware EtherHiding, DeadLock construit une infrastructure plus automatisée et évolutive. La fréquence élevée de changement de serveurs proxy invalide en temps réel les listes de blocage des équipes de sécurité, tout en maintenant le canal de communication entre l’attaquant et la victime.

Menace de ransomware en constante évolution

Au moins trois variantes ont été identifiées à ce jour, la dernière étant particulièrement menaçante. Les attaquants ont intégré directement dans l’application de communication cryptée Session un module de ransomware, permettant de négocier directement avec la victime. Cela montre que les opérateurs de ransomware perfectionnent non seulement leurs techniques d’évasion, mais aussi leurs méthodes de monétisation après l’attaque. La gestion des serveurs proxy par DeadLock pourrait être imitée par d’autres familles de malwares à l’avenir, constituant un nouveau défi pour les équipes de cybersécurité.

Voir l'original

Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.