DeadLock ransomware, Penempatan dinamis alamat server proxy melalui kontrak pintar Polygon

Ancaman keamanan semakin canggih. Berdasarkan hasil pemantauan terbaru dari Group-IB, keluarga ransomware DeadLock telah mengembangkan teknik penghindaran inovatif. Malware ini memanfaatkan kontrak pintar di jaringan Polygon dengan terus-menerus mengganti alamat server proxy, sehingga dapat mengelak dari sistem deteksi keamanan.

Munculnya Teknologi Penghindaran Pelacakan yang Canggih

DeadLock pertama kali ditemukan pada pertengahan 2025 dan menggunakan pendekatan yang berbeda dari malware sebelumnya. Penyerang menyuntikkan kode JavaScript yang berinteraksi dengan jaringan Polygon ke dalam file HTML. Kode ini menggunakan daftar RPC (Remote Procedure Call) sebagai gateway, secara otomatis memperoleh dan memperbarui alamat server yang mengendalikan infrastruktur serangan. Teknik ini memanfaatkan ketidakberubahan dan sifat terdesentralisasi dari blockchain, sehingga sangat sulit untuk diblokir oleh sistem deteksi terpusat yang ada.

Analisis Mekanisme Serangan Melalui Server Proxy

Inti dari teknik ini adalah pengelolaan dinamis alamat server proxy. DeadLock membaca informasi yang disimpan dalam kontrak pintar blockchain dan secara berkala mengubah jalur ke server proxy baru. Pendekatan ini mirip dengan malware EtherHiding yang sebelumnya ditemukan, tetapi DeadLock membangun infrastruktur yang lebih otomatis dan dapat diperluas. Pergantian server proxy yang sering menyebabkan daftar blokir tim keamanan menjadi tidak berlaku secara real-time, sementara saluran komunikasi antara penyerang dan korban tetap terjaga.

Ancaman Ransomware yang Terus Berkembang

Hingga saat ini, setidaknya ada tiga varian yang terdeteksi, dan versi terbaru jauh lebih mengancam. Penyerang telah mengintegrasikan aplikasi komunikasi terenkripsi Session ke dalam ransomware, memungkinkan mereka melakukan negosiasi langsung dengan korban. Ini menunjukkan bahwa operator ransomware tidak hanya meningkatkan teknik penghindaran keamanan, tetapi juga metode monetisasi pasca serangan. Teknik pengelolaan server proxy DeadLock kemungkinan besar akan diadopsi oleh keluarga malware lain di masa depan, menjadi tantangan baru bagi tim pertahanan siber.