DeadLock ransomware, implantação dinâmica de endereços de servidores proxy via contrato inteligente Polygon

As ameaças à segurança estão a tornar-se cada vez mais sofisticadas. De acordo com os resultados recentes de monitorização da Group-IB, a família de ransomware DeadLock desenvolveu técnicas inovadoras de evasão. Este malware explora contratos inteligentes na rede Polygon para substituir continuamente os endereços dos servidores proxy, contornando assim os sistemas de deteção de segurança.

Surgimento de técnicas avançadas de evasão de rastreamento

Descoberto pela primeira vez em meados de 2025, o DeadLock adota uma abordagem diferente dos malwares tradicionais. Os atacantes injetam código JavaScript dentro de ficheiros HTML que interagem com a rede Polygon. Este código utiliza uma lista de RPCs (Chamadas de Procedimento Remoto) como gateway, ao mesmo tempo que obtém e atualiza automaticamente os endereços dos servidores controlados pela infraestrutura de ataque. Esta técnica explora a imutabilidade e a natureza descentralizada da blockchain, tornando extremamente difícil para os sistemas de deteção centralizados bloquearem o malware.

Análise do mecanismo de ataque através de servidores proxy

O núcleo desta técnica reside na gestão dinâmica dos endereços dos servidores proxy. O DeadLock lê informações armazenadas em contratos inteligentes na blockchain para alterar periodicamente o caminho para novos servidores proxy. Embora semelhante ao malware EtherHiding anteriormente detectado, o DeadLock construiu uma infraestrutura mais automatizada e escalável. A troca frequente de servidores proxy faz com que as listas de bloqueio das equipas de segurança sejam invalidadas em tempo real, mantendo assim o canal de comunicação entre os atacantes e as vítimas.

A ameaça de ransomware em constante evolução

Até ao momento, foram identificadas pelo menos três variantes, sendo que a mais recente é ainda mais ameaçadora. Os atacantes incorporaram diretamente na aplicação de comunicação encriptada Session do ransomware, permitindo negociações diretas com as vítimas. Isto demonstra que os operadores de ransomware estão a aprimorar não só as técnicas de evasão de segurança, mas também os métodos de monetização após o ataque. A técnica de gestão de servidores proxy do DeadLock tem uma alta probabilidade de ser imitada por outras famílias de malware no futuro, representando um novo desafio para as equipas de defesa cibernética.