Hacker verstecken sich hinter Blockchain: Neuer Ransomware umgeht Abschaltungen

_DeadLock-Ransomware nutzt Polygon-Smart-Contracts, um Proxy-Server zu erstellen und eine nahezu unabschaltbare Infrastruktur zu betreiben. _

Die von Cybersicherheitsfirma Group-IB aufgedeckte Ransomware-Bedrohung nutzt Blockchain-Technologie als Exploit. DeadLock basiert auf Polygon-Smart-Contracts, um die Kontrolle über Proxy-Server zu umgehen und herkömmliche Sicherheitsverteidigungen zu umgehen.

Group-IB hat auf X einen Beitrag veröffentlicht, in dem erklärt wird, dass die Ransomware Polygon-Smart-Contracts verwendet, um Proxy-Adressen zu erstellen. Es handelt sich um einen unauffälligen, wenig berichteten Trick, der sehr effektiv darin ist, herkömmliche Sicherheitsprotokolle zu umgehen.

Blockchain wird zur kriminellen Infrastruktur

DeadLock wurde im Juli 2025 veröffentlicht und hielt ein ungewöhnlich niedriges Profil. Keine öffentliche Datenleck-Seite, keine Affiliate-Programmlinks, und die Opferzahl war begrenzt, was eine minimale Exposition gewährleistete.

Die Untersuchung von Group-IB enthüllte neue Taktiken. Sobald ein System verschlüsselt ist, prüft die Ransomware spezielle Polygon-Smart-Contracts, die die bestehenden Proxy-Adressen enthalten, was Angreifern und Opfern ermöglicht, über diese Proxys zu kommunizieren.

Die Blockchain-Lösung hat bedeutende Stärken: Angreifer können Proxy-Adressen in Echtzeit ändern und müssen keine Malware neu bereitstellen, was die Verteidigungsteams vor praktisch unmögliche Abschalt-Situationen stellt.

Smart Contract Rotation widersteht Erkennung

Konventionelle Command-and-Control-Server sind anfällig für Schwachstellen, die von Sicherheitsbehörden blockiert oder von Strafverfolgungsbehörden beschlagnahmt werden können. DeadLock beseitigt diese Schwächen.

Daten werden on-chain gespeichert. Die Informationen zu den Verträgen werden von verteilten Knotenpunkten weltweit gehalten, was zu keinem zentralen Server führt, der abgeschaltet werden kann, und die Infrastruktur ist außergewöhnlich widerstandsfähig.

JavaScript-Code wurde von Group-IB in HTML-Dateien gefunden. Der Code wird Polygon-Netzwerk-Smart-Contracts abfragen und Proxy-URLs automatisch extrahieren, um Routing-Nachrichten an Angreifer zu senden.

Evolution von einfacher Verschlüsselung zu Blockchain

Frühe DeadLock-Beispiele wurden erstmals im Juni 2025 veröffentlicht und enthielten Lösegeldnotizen, die nur die Dateiverschlüsselung erwähnten. Spätere Versionen waren deutlich fortschrittlicher.

Im August 2025 wurden explizite Warnungen vor Datendiebstahl hinzugefügt. Es bestand die Gefahr, dass gestohlene Daten von den Angreifern verkauft werden könnten, was die Opfer in einen Dilemma versetzte: Sie hatten verschlüsselte Dateien und könnten Datenlecks erleiden.

Die neuen Modelle bieten Mehrwertdienste. Sicherheitsberichte spezifizieren, wie die Verletzung erfolgen wird, und die Angreifer versprechen nicht, in Zukunft jemanden zu targeting, um sicherzustellen, dass die Daten nach Zahlungseingang vollständig zerstört werden.

Transaktionsanalysen zeigen Muster der Infrastruktur: eine Wallet erstellte mehrere Smart Contracts, und dieselbe Adresse stellte Gelder für diese Operationen auf der FixedFloat-Börse bereit. Vertragsänderungen fanden zwischen August und November 2025 statt.

Ähnliche Techniken gewinnen weltweit an Bedeutung

Nordkoreanische Hacker waren die ersten, die ähnliche Techniken verwendeten, und Google Threat Intelligence Group hat eine EtherHiding-Technik dokumentiert, die im Februar 2025 bekannt wurde.

EtherHiding infiltriert Smart Contracts in Blockchains mit bösartigem Code. Diese Payloads werden in öffentlichen Ledgern wie Ethereum und BNB Smart Chain gespeichert und hinterlassen nur wenige Spuren.

Group-IB-Experten beobachteten die Reife von DeadLock, was die sich ändernden Fähigkeiten der Kriminellen zeigt. Die geringe aktuelle Wirkung verbirgt eine bedrohliche Zukunftsperspektive.

Opfer bleiben mit verschlüsselten Dateien mit der Erweiterung .dlock sowie mit einem Windows-Hintergrundbild, das durch Lösegeldnachrichten ersetzt wurde, alle System-Icons modifiziert und ständiger Kontrolle durch die Remote-Access-Software AnyDesk.

PowerShell-Skripte entfernen Schattenkopien und stoppen Dienste, was die Verschlüsselung maximiert und die Wiederherstellung ohne Entschlüsselungsschlüssel äußerst erschwert.

Infrastruktur-Tracking deckt Muster auf

Die Analyse historischer Proxy-Server ergab wichtige Informationen. WordPress-Seiten, cPanel-Setups und Shopware wurden kompromittiert und zur Ausführung von Proxys mit früherer Infrastruktur genutzt. Jetzt werden aktuelle Server als vom Angreifer kontrollierte Infrastruktur eingestuft.

Ein Paar der neuesten Server hat denselben SSH-Fingerprint und ein ähnliches SSL-Zertifikat. Beide unterstützen nur Vesta-Control-Panels, und die Apache-Webserver unterstützen Proxy-Anfragen.

Blockchain-Leseoperationen sind kostenlos. Angreifer tragen keine Transaktionskosten, und die Infrastruktur erfordert nur minimalen Wartungsaufwand.

Group-IB überwachte Transaktionen zu den Smart Contracts. Die Decodierung der Eingabedaten lieferte die historischen Proxy-Adressen, und die setProxy-Methode wird verwendet, um die Adressen zu aktualisieren.

Keine Polygon-Schwachstelle ausgenutzt

Forscher heben hervor, dass DeadLock keine Schwachstellen auf der Polygon-Plattform gefunden hat, keine Schwachstellen bei DeFi-Protokollen ausgenutzt wurden oder Wallets oder Bridges kompromittiert wurden.

Die Methode nutzt die Öffentlichkeit der Blockchain aus. Nicht-flüchtiger Speicher von Daten ist eine ideale Infrastruktur, und die Informationen der Verträge sind stets verfügbar. Das Problem der geografischen Verteilung erschwert die Durchsetzung zusätzlich.

Es besteht keine direkte Bedrohung für Polygon-Nutzer und keine Sicherheitsgefahr für Entwickler. Die Kampagne ist spezifisch für Windows-Systeme; Blockchain wird nur als Infrastruktur genutzt.

Frühzeitige Zugriffstechniken wurden von Cisco Talos entdeckt. CVE-2024-51324 ermöglicht den Zugriff. Die Schwachstelle in Baidu Antivirus erlaubt die Beendigung von Prozessen, was die Endpoint-Detection-Systeme innerhalb kurzer Zeit unwirksam macht.