Deadlock: Ransomware lợi dụng Polygon để tránh bị phát hiện

CountdownToBroke · 2026-02-07T20:09:10+00:00

Ransomware Deadlock, được nhóm Group-IB phát hiện vào năm 2025, sử dụng công nghệ blockchain để tránh bị phát hiện và giao tiếp mã hóa với các nạn nhân. Nó sử dụng hạ tầng của Polygon và đã tiến hóa về độ tinh vi bằng cách tích hợp ứng dụng nhắn tin Session, làm phức tạp việc phản ứng với các sự cố an ninh.

CountdownToBroke

2026-02-07 20:09:10

Đang tạo bản tóm tắt

Các nhà điều tra của Group-IB đã xác định một mối đe dọa mới trong lĩnh vực tội phạm mạng cho thấy mức độ tinh vi ngày càng tăng của phần mềm độc hại hiện đại. Gia đình ransomware được biết đến với tên gọi Deadlock đã được phát hiện trong quý 2 năm 2025 và có khả năng tránh né đáng báo động. Điều đáng chú ý là Deadlock không chỉ tấn công các hệ thống thông thường mà còn triển khai một chiến lược mới lạ: tận dụng hạ tầng phi tập trung của Polygon để phân phối các thành phần độc hại và thay đổi địa chỉ của các máy chủ proxy một cách gần như không thể bị chặn.

Cách Deadlock sử dụng blockchain để che giấu

Cơ chế kỹ thuật của Deadlock đặc biệt tinh vi. Phần mềm độc hại này tiêm mã JavaScript vào các tệp HTML tương tác trực tiếp với mạng Polygon. Sau khi thực thi, nó sử dụng danh sách các nút RPC như cổng để lấy các địa chỉ cập nhật của các máy chủ do kẻ tấn công kiểm soát. Chiến thuật này tận dụng tính chất phân tán và giả danh của blockchain để xây dựng các kênh liên lạc bí mật, rất khó bị chặn bằng các kỹ thuật an ninh truyền thống.

Sự tiến hóa của các kỹ thuật tránh né tinh vi

Chiến lược che giấu này không hoàn toàn mới. Các nhà điều tra đã từng ghi nhận các phương pháp tương tự trong phần mềm độc hại EtherHiding, cũng sử dụng kiến trúc phi tập trung để tránh bị phát hiện. Tuy nhiên, Deadlock thể hiện một bước tiến về mặt chất lượng trong ứng dụng của nó. Các phân tích cho thấy hiện có ít nhất ba biến thể của Deadlock đang lưu hành, và phiên bản mới nhất đã nâng cao mức độ tinh vi của mình bằng cách tích hợp trực tiếp ứng dụng nhắn tin mã hóa Session.

Ảnh hưởng đến an ninh

Việc tích hợp Session vào biến thể mới nhất của Deadlock mở rộng đáng kể khả năng hoạt động của phần mềm độc hại. Các kẻ tấn công giờ đây có thể giao tiếp mã hóa trực tiếp với các nạn nhân, tạo điều kiện cho các cuộc đàm phán đòi tiền chuộc và phân phối hướng dẫn mà không bị phát hiện. Sự kết hợp giữa Polygon như hạ tầng phân phối và Session như kênh liên lạc tạo thành một kiến trúc tấn công đa mục đích, thách thức các cơ chế phản ứng sự cố truyền thống.

Xem bản gốc

Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.