Deadlock: O ransomware que abusa de Polygon para evitar a vigilância

Investigadores da Group-IB identificaram uma nova ameaça de cibercrime que demonstra a crescente sofisticação do malware moderno. A família de ransomware conhecida como Deadlock foi descoberta no segundo trimestre de 2025 e apresenta capacidades alarmantes de evasão. O que é notável é que Deadlock não só ataca sistemas convencionais, mas também implementa uma estratégia inovadora: aproveita a infraestrutura descentralizada da Polygon para distribuir os seus componentes maliciosos e rotacionar endereços de servidores proxy de forma praticamente impossível de interceptar.

Como Deadlock utiliza blockchain para se esconder

O mecanismo técnico do Deadlock é particularmente engenhoso. O malware injeta código JavaScript em ficheiros HTML que interagem diretamente com a rede Polygon. Uma vez executado, utiliza listas de nós RPC como portas de ligação para obter endereços atualizados de servidores controlados pelos atacantes. Esta tática aproveita a natureza distribuída e pseudo-anónima da blockchain para construir canais de comunicação encobertos que se revelam enormemente difíceis de bloquear através de técnicas de segurança tradicionais.

A evolução de técnicas evasivas sofisticadas

Esta estratégia de ocultação não é completamente nova. Investigadores já tinham documentado métodos semelhantes no malware EtherHiding, que também utilizava arquiteturas descentralizadas para evadir a deteção. No entanto, Deadlock representa um avanço qualitativo na sua aplicação. As análises revelam que atualmente existem pelo menos três variantes do Deadlock a circular na natureza, e a versão mais recente escalou a sua sofisticação ao integrar diretamente a aplicação de mensagens cifrada Session.

Implicações para a segurança

Esta integração do Session na última variante do Deadlock amplia significativamente as capacidades operacionais do malware. Os atacantes podem agora comunicar de forma cifrada diretamente com as vítimas, facilitando negociações de resgate e distribuição de instruções sem exposição detectável. A combinação da Polygon como infraestrutura de distribuição e do Session como canal de comunicação cria uma arquitetura de ataque multipropósito que desafia os mecanismos tradicionais de resposta a incidentes.