Der Ransomware DeadLock nutzt Polygon-Smart-Contracts, um der Erkennung zu entgehen

Quelle: Yellow Originaltitel: Das DeadLock-Ransomware nutzt Polygon-Smart-Contracts, um Erkennung zu umgehen

Original-Link: Eine kürzlich entdeckte neue Ransomware-Variante nutzt die Blockchain-Technologie als Waffe, um eine widerstandsfähige Kommando- und Kontrollinfrastruktur aufzubauen, die von Sicherheitsteams schwer zu zerschlagen ist.

Cybersecurity-Forscher entdeckten am Donnerstag, dass das DeadLock-Ransomware, erstmals im Juli 2025 identifiziert, Proxy-Server-Adressen in Smart Contracts von Polygon speichert.

Die Technik ermöglicht es den Betreibern, die Verbindungspunkte zwischen Opfern und Angreifern kontinuierlich zu rotieren, wodurch herkömmliche Blockiermethoden unwirksam werden.

DeadLock hat trotz seiner technischen Raffinesse ein ungewöhnlich niedriges Profil: Es operiert ohne Partnerprogramm oder öffentliches Datenleck-Portal.

Was macht DeadLock anders

Im Gegensatz zu typischen Ransomware-Gruppen, die Opfer öffentlich blamieren, droht DeadLock damit, die gestohlenen Daten auf illegalen Märkten zu verkaufen.

Der Malware-Code integriert JavaScript in HTML-Dateien, die mit Smart Contracts im Polygon-Netzwerk kommunizieren.

Diese Verträge fungieren als dezentrale Repositorien für Proxy-Adressen, die die Malware durch Lesezugriffe auf die Blockchain abruft, ohne Transaktionsgebühren zu verursachen.

Die Forscher identifizierten mindestens drei Varianten von DeadLock, wobei die neuesten Versionen verschlüsselte Nachrichten über Session für die direkte Kommunikation mit den Opfern verwenden.

Warum blockchain-basierte Angriffe wichtig sind

Der Ansatz spiegelt ähnliche Techniken wider, die Bedrohungsgruppen nach Beobachtungen staatlicher Akteure bei der Nutzung vergleichbarer Methoden dokumentiert haben.

Diese Ausnutzung von Smart Contracts zur Bereitstellung von Proxy-Adressen ist eine interessante Methode, bei der Angreifer unendlich viele Varianten dieser Technik anwenden können.

Die in der Blockchain gespeicherte Infrastruktur ist schwer zu entfernen, da dezentrale Einträge nicht beschlagnahmt oder wie herkömmliche Server getrennt werden können.

DeadLock-Infektionen benennen Dateien mit der Erweiterung “.dlock” und setzen PowerShell-Skripte ein, um Windows-Dienste zu deaktivieren und Schattenkopien zu löschen.

Berichten zufolge haben frühere Angriffe Schwachstellen in Antivirensoftware ausgenutzt und Techniken wie “bring-your-own-vulnerable-driver” verwendet, um Erkennungsprozesse auf Endpunkten zu beenden.

Die Forscher erkennen an, dass es noch Lücken im Verständnis der initialen Zugriffsmethoden von DeadLock und seiner gesamten Angriffskette gibt, bestätigten jedoch, dass die Gruppe kürzlich ihre Operationen mit neuer Proxy-Infrastruktur reaktiviert hat.

Die Nutzung dieser Technik durch staatliche Akteure sowie durch finanziell motivierte Cyberkriminelle zeigt eine besorgniserregende Entwicklung darin, wie Gegner die Widerstandsfähigkeit der Blockchain für böswillige Zwecke ausnutzen.