DeadLock i Polygon: ransomware wykorzystuje smart kontrakty do utrudniania działań obronnych

Wprowadzenie do problemu / definicja

DeadLock to rodzina ransomware, która pokazuje nowy etap rozwoju cyberwymuszeń. Zamiast opierać się wyłącznie na klasycznej infrastrukturze serwerowej, grupa wykorzystuje elementy ekosystemu blockchain do utrzymywania komunikacji z ofiarami i publikowania informacji związanych z wyciekiem danych.

W praktyce oznacza to przeniesienie części logiki operacyjnej do zdecentralizowanej warstwy trudniejszej do wyłączenia. Taki model utrudnia standardowe działania obronne, takie jak przejmowanie domen, blokowanie hostingu czy wyłączanie pojedynczych serwerów pośredniczących.

W skrócie

DeadLock stosuje model podwójnego wymuszenia: szyfrowanie danych i groźbę ich publikacji.
Grupa wykorzystuje smart kontrakty Polygon do dystrybucji lub rotacji adresów infrastruktury pośredniczącej.
Nota okupowa ma formę interaktywnej aplikacji HTML, a nie prostego komunikatu tekstowego.
Malware używa selektywnego szyfrowania, geofencingu, mechanizmów ograniczania obciążenia systemu i technik antyforensycznych.
Taka architektura zwiększa odporność operacji na zakłócenia i komplikuje reakcję na incydent.

Kontekst / historia

DeadLock pojawił się w krajobrazie zagrożeń w połowie 2025 roku i początkowo pozostawał mniej widoczny niż najbardziej rozpoznawalne marki ransomware. Z czasem analitycy zaczęli jednak wiązać tę rodzinę z bardziej dojrzałym zapleczem operacyjnym oraz niestandardowym podejściem do komunikacji z ofiarami.

W 2026 roku badacze zwrócili szczególną uwagę na wykorzystanie zdecentralizowanej infrastruktury do podtrzymywania procesu negocjacji i obsługi treści powiązanych z wyciekami. To ważna zmiana, ponieważ wskazuje, że operatorzy ransomware coraz częściej traktują blockchain nie jako dodatek, lecz jako realny komponent odporności operacyjnej.

Analiza techniczna

Od strony technicznej DeadLock wykorzystuje hybrydowy model szyfrowania, łącząc Curve25519 z XChaCha20. Oprogramowanie szyfruje pliki selektywnie, pomijając część katalogów, rozszerzeń i nazw, aby przyspieszyć działanie lub zachować stabilność systemu. Po zakończeniu procesu zaszyfrowane dane otrzymują rozszerzenie „.dlock”.

Jednym z najbardziej charakterystycznych elementów kampanii jest interaktywna nota okupowa HTML. Nie pełni ona wyłącznie funkcji informacyjnej, ale działa jak lokalnie uruchamiana aplikacja webowa, oferując czat z operatorem, elementy bloga wyciekowego i funkcje związane z przeglądaniem danych lub obsługą procesu wymuszenia.

Kluczowe znaczenie ma sposób pozyskiwania adresów infrastruktury pośredniczącej. Osadzony w nocie JavaScript komunikuje się ze smart kontraktami w sieci Polygon, skąd pobierane są dane potrzebne do rotacji adresów proxy. Dzięki temu operatorzy mogą dynamicznie zmieniać punkty komunikacyjne bez polegania na stałych domenach łatwych do zablokowania.

Taki model oznacza, że nawet skuteczne wyłączenie części serwerów nie musi przerwać całego procesu negocjacji. Mechanizm publikowania nowych lokalizacji pozostaje bowiem dostępny poprzez zdecentralizowaną warstwę, co znacząco podnosi koszt i złożoność działań obronnych.

W analizach technicznych wskazywano również na wykorzystanie komunikatora Session, geofencingu zależnego od języka lub regionu, ograniczania aktywności szyfrującej przy wysokim użyciu CPU lub pamięci oraz działań antyforensycznych. W środowiskach Windows malware może używać PowerShell do zatrzymywania usług, usuwania kopii woluminów, modyfikacji logów i samo-usunięcia po zakończeniu ataku.

Konsekwencje / ryzyko

Największe ryzyko związane z DeadLock nie wynika wyłącznie z samego szyfrowania, ale z większej odporności infrastruktury wymuszeń na zakłócenia. Organizacje przyzwyczajone do klasycznych metod reagowania mogą napotkać trudności, gdy część logiki przeciwnika została przeniesiona do smart kontraktów i lokalnych aplikacji HTML.

Dla ofiar oznacza to potencjalnie dłuższą dostępność kanałów negocjacyjnych oraz większą presję reputacyjną związaną z ryzykiem publikacji danych. Dla zespołów IR i SOC to z kolei konieczność rozszerzenia analizy o artefakty JavaScript, identyfikatory blockchain, adresy portfeli i logikę komunikacji z siecią Web3.

Rekomendacje

Organizacje powinny zaktualizować procedury reagowania tak, aby obejmowały analizę lokalnych plików HTML, nietypowych skryptów JavaScript i połączeń związanych z usługami blockchain. W praktyce potrzebne jest połączenie klasycznej telemetrii endpointowej z dodatkowymi regułami wykrywającymi zachowania charakterystyczne dla nowego modelu wymuszeń.

Wzmocnić ochronę punktów końcowych i segmentację sieci.
Ograniczyć uprawnienia administracyjne oraz monitorować nadużycia PowerShell.
Wykrywać próby usuwania Volume Shadow Copies i czyszczenia logów.
Monitorować tworzenie not okupowych HTML oraz uruchamianie lokalnych aplikacji webowych.
Identyfikować masowe operacje na plikach zakończone nadaniem rozszerzenia „.dlock”.
Przygotować kopie zapasowe offline i regularnie testować ich odtwarzanie.

W przypadku incydentu warto zabezpieczyć nie tylko próbki binarne, ale także lokalne pliki HTML, skrypty PowerShell, artefakty rejestru oraz wszelkie identyfikatory związane z infrastrukturą blockchain. To może mieć kluczowe znaczenie dla odtworzenia pełnego łańcucha ataku i skutecznego ograniczenia dalszych działań przeciwnika.

Podsumowanie

DeadLock pokazuje, że ransomware ewoluuje w kierunku wielowarstwowych platform wymuszeń, które łączą klasyczne techniki szyfrowania z odporną infrastrukturą zdecentralizowaną. Wykorzystanie smart kontraktów Polygon do rotacji adresów proxy i wspierania komunikacji z ofiarą utrudnia takedowny oraz zmusza zespoły bezpieczeństwa do rozszerzenia zakresu analizy o komponenty Web3.

Dla obrońców to wyraźny sygnał, że skuteczna reakcja na nowoczesne kampanie ransomware wymaga już nie tylko znajomości malware, sieci i hosta, ale również zrozumienia mechanizmów wykorzystywanych w ekosystemach blockchain.