Le logiciel malveillant DeadLock exploite les contrats intelligents Polygon pour se cacher

Un ransomware récemment découvert, baptisé « DeadLock », exploite furtivement les contrats intelligents Polygon pour faire pivoter et distribuer des adresses proxy, affirment des chercheurs de la société de cybersécurité Group-IB.

La société a rapporté jeudi que le ransomware DeadLock, découvert pour la première fois en juillet, a connu une « faible exposition » car il n'est lié à aucun site de fuite de données ou programme d'affiliation connu et compte un « nombre limité de victimes signalées ».

Cependant, Group-IB a averti que même si le ransomware est « discret », il utilise des « méthodes innovantes » qui pourraient être dangereuses pour les organisations qui ne prennent pas le malware au sérieux, « d'autant plus que l'abus de cette blockchain spécifique à des fins malveillantes n'a pas été largement signalé. »

DeadLock exploite les contrats intelligents Polygon pour stocker et faire pivoter les adresses des serveurs proxy utilisées pour communiquer avec les victimes. Le code intégré dans le ransomware interagit avec une adresse de contrat intelligent spécifique et utilise une fonction pour mettre à jour dynamiquement l'infrastructure de commande et de contrôle.

Une fois que les victimes ont été infectées par le logiciel malveillant et que le cryptage a eu lieu, DeadLock les menace d'une demande de rançon et de la vente des données volées si leurs demandes ne sont pas satisfaites.

Des variantes infinies de la technique peuvent être appliquées

En stockant les adresses proxy sur la chaîne, Group-IB a déclaré que DeadLock crée une infrastructure extrêmement difficile à perturber, car il n'y a pas de serveur central à démonter et les données de la blockchain persistent indéfiniment sur les nœuds distribués dans le monde entier.

En rapport: Les pirates trouvent un nouveau moyen de cacher les logiciels malveillants dans les contrats intelligents Ethereum

« Cet exploit des contrats intelligents pour fournir des adresses proxy est une méthode intéressante où les attaquants peuvent littéralement appliquer des variantes infinies de cette technique ; l'imagination est la limite », ajoute-t-il.

Les acteurs nord-coréens de la menace ont découvert « EtherHiding »

La militarisation des contrats intelligents pour la diffusion de logiciels malveillants n'est pas nouvelle, Group-IB notant une tactique appelée « EtherHiding » signalée par Google en octobre.