Загрози безпеці стають все більш витонченими. За останніми даними моніторингу Group-IB, сімейство ransomware DeadLock розробило інноваційний метод обходу захисту. Цей шкідливий код експлуатує смарт-контракти мережі Polygon, постійно змінюючи адресу проксі-сервера, щоб обійти системи виявлення безпеки.
Виникнення складних технологій обходу відстеження
Вперше в середині 2025 року було виявлено DeadLock, який використовує підхід, відмінний від існуючих шкідливих програм. Зловмисники вставляють у HTML-файл JavaScript-код, що взаємодіє з мережею Polygon. Цей код використовує список RPC (віддалена процедура виклику) як шлюз, автоматично отримуючи та оновлюючи адресу сервера управління інфраструктурою атаки. Такий підхід використовує незмінність і розподілену природу блокчейну, що ускладнює його блокування за допомогою традиційних централізованих систем виявлення.
Аналіз механізму атаки через проксі-сервери
Ключовим аспектом цієї техніки є динамічне управління адресами проксі-серверів. DeadLock зчитує інформацію, збережену у смарт-контракті блокчейну, і регулярно змінює маршрути до нових проксі-серверів. Це схоже на раніше виявлений шкідливий код EtherHiding, але DeadLock створив більш автоматизовану та масштабовану інфраструктуру. Часті зміни проксі-серверів роблять списки блокування безпекових команд неактуальними у реальному часі, а канал зв’язку між зловмисниками та жертвами залишається відкритим.
Постійне еволюціонування загроз ransomware
На сьогодні виявлено щонайменше три варіанти, з яких найновіший є особливо небезпечним. Зловмисники інтегрували у ransomware функцію шифрування з застосунками для обміну повідомленнями, що дозволяє вести прямі переговори з жертвами. Це свідчить про те, що оператори ransomware удосконалюють не лише технології обходу безпеки, а й способи монетизації після атаки. Метод управління проксі-серверами DeadLock, ймовірно, буде імітуватися іншими сімействами шкідливого коду, що стане новим викликом для команд кіберзахисту.
Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
DeadLock ransomware, динамічне розміщення адреси проксі-сервера за допомогою Polygon смарт-контракту
Загрози безпеці стають все більш витонченими. За останніми даними моніторингу Group-IB, сімейство ransomware DeadLock розробило інноваційний метод обходу захисту. Цей шкідливий код експлуатує смарт-контракти мережі Polygon, постійно змінюючи адресу проксі-сервера, щоб обійти системи виявлення безпеки.
Виникнення складних технологій обходу відстеження
Вперше в середині 2025 року було виявлено DeadLock, який використовує підхід, відмінний від існуючих шкідливих програм. Зловмисники вставляють у HTML-файл JavaScript-код, що взаємодіє з мережею Polygon. Цей код використовує список RPC (віддалена процедура виклику) як шлюз, автоматично отримуючи та оновлюючи адресу сервера управління інфраструктурою атаки. Такий підхід використовує незмінність і розподілену природу блокчейну, що ускладнює його блокування за допомогою традиційних централізованих систем виявлення.
Аналіз механізму атаки через проксі-сервери
Ключовим аспектом цієї техніки є динамічне управління адресами проксі-серверів. DeadLock зчитує інформацію, збережену у смарт-контракті блокчейну, і регулярно змінює маршрути до нових проксі-серверів. Це схоже на раніше виявлений шкідливий код EtherHiding, але DeadLock створив більш автоматизовану та масштабовану інфраструктуру. Часті зміни проксі-серверів роблять списки блокування безпекових команд неактуальними у реальному часі, а канал зв’язку між зловмисниками та жертвами залишається відкритим.
Постійне еволюціонування загроз ransomware
На сьогодні виявлено щонайменше три варіанти, з яких найновіший є особливо небезпечним. Зловмисники інтегрували у ransomware функцію шифрування з застосунками для обміну повідомленнями, що дозволяє вести прямі переговори з жертвами. Це свідчить про те, що оператори ransomware удосконалюють не лише технології обходу безпеки, а й способи монетизації після атаки. Метод управління проксі-серверами DeadLock, ймовірно, буде імітуватися іншими сімействами шкідливого коду, що стане новим викликом для команд кіберзахисту.