- Group-IB a publié son rapport le 15 janvier et a déclaré que cette méthode pourrait rendre les perturbations plus difficiles pour les défenseurs.
- Le malware lit les données en chaîne, de sorte que les victimes ne paient pas de frais d'essence.
- Les chercheurs ont déclaré que Polygon n'était pas vulnérable, mais que la tactique pourrait se propager.
Les groupes de ransomwares s'appuient généralement sur des serveurs de commande et de contrôle pour gérer les communications après avoir pénétré dans un système.
Mais les chercheurs en sécurité affirment désormais qu’une souche discrète utilise l’infrastructure blockchain d’une manière qui pourrait être plus difficile à bloquer.
Dans un rapport publié le 15 janvier, la société de cybersécurité Group-IB a déclaré qu'une opération de ransomware connue sous le nom de DeadLock abuse des contrats intelligents Polygon (POL) pour stocker et faire pivoter les adresses des serveurs proxy.
Ces serveurs proxy sont utilisés pour relayer la communication entre les attaquants et les victimes une fois les systèmes infectés.
Étant donné que les informations se trouvent en chaîne et peuvent être mises à jour à tout moment, les chercheurs ont averti que cette approche pourrait rendre le backend du groupe plus résilient et plus difficile à perturber.
Contrats intelligents utilisés pour stocker les informations de proxy
Group-IB a déclaré que DeadLock ne dépend pas de la configuration habituelle de serveurs de commande et de contrôle fixes.
Au lieu de cela, une fois qu'une machine est compromise et chiffrée, le ransomware interroge un contrat intelligent spécifique déployé sur le réseau Polygon.
Ce contrat stocke la dernière adresse proxy utilisée par DeadLock pour communiquer. Le proxy agit comme une couche intermédiaire, aidant les attaquants à maintenir le contact sans exposer directement leur infrastructure principale.
Étant donné que les données du contrat intelligent sont lisibles publiquement, le logiciel malveillant peut récupérer les détails sans envoyer de transactions blockchain.
Cela signifie également que les victimes n’ont pas besoin de payer de frais d’essence ni d’interagir avec leur portefeuille.
DeadLock lit uniquement les informations, traitant la blockchain comme une source persistante de données de configuration.
Infrastructure rotative sans mises à jour de logiciels malveillants
L’une des raisons pour lesquelles cette méthode se démarque est la rapidité avec laquelle les attaquants peuvent modifier leurs voies de communication.
Group-IB a déclaré que les acteurs derrière DeadLock peuvent mettre à jour l'adresse proxy stockée dans le contrat chaque fois que nécessaire.
Cela leur donne la possibilité de faire pivoter l’infrastructure sans modifier le ransomware lui-même ni lancer de nouvelles versions dans la nature.
Dans les cas de ransomware traditionnels, les défenseurs peuvent parfois bloquer le trafic en identifiant les serveurs de commande et de contrôle connus.
Mais avec une liste de proxys en chaîne, tout proxy signalé peut être remplacé simplement en mettant à jour la valeur stockée du contrat.
Une fois le contact établi via le proxy mis à jour, les victimes reçoivent des demandes de rançon ainsi que des menaces selon lesquelles les informations volées seront vendues si le paiement n'est pas effectué.
Pourquoi les retraits deviennent plus difficiles
Group-IB a averti que l’utilisation des données de la blockchain de cette manière rend les perturbations beaucoup plus difficiles.
Il n’existe pas de serveur central unique qui puisse être saisi, supprimé ou arrêté.
Même si une adresse proxy spécifique est bloquée, les attaquants peuvent passer à une autre sans avoir à redéployer le malware.
Étant donné que le contrat intelligent reste accessible via les nœuds distribués de Polygon dans le monde entier, les données de configuration peuvent continuer d'exister même si l'infrastructure du côté des attaquants change.
Les chercheurs ont déclaré que cela donne aux opérateurs de ransomware un mécanisme de commande et de contrôle plus résilient par rapport aux configurations d'hébergement conventionnelles.
Une petite campagne avec une méthode inventive
DeadLock a été observé pour la première fois en juillet 2025 et est resté relativement discret jusqu’à présent.
Group-IB a déclaré que l'opération ne comptait qu'un nombre limité de victimes confirmées.
Le rapport indique également que DeadLock n'est pas lié à des programmes d'affiliation de ransomwares connus et ne semble pas exploiter de site public de fuite de données.
Bien que cela puisse expliquer pourquoi le groupe a reçu moins d’attention que les grandes marques de ransomwares, les chercheurs affirment que son approche technique mérite une surveillance étroite.
Group-IB a averti que même si DeadLock reste petit, sa technique pourrait être copiée par des groupes cybercriminels plus établis.
Aucune vulnérabilité Polygon impliquée
Les chercheurs ont souligné que DeadLock n'exploite aucune vulnérabilité dans Polygon lui-même.
Il n’attaque pas non plus les contrats intelligents tiers tels que les protocoles financiers décentralisés, les portefeuilles ou les ponts.
Au lieu de cela, les attaquants abusent de la nature publique et immuable des données de la blockchain pour masquer les informations de configuration.
Group-IB a comparé cette technique aux approches précédentes « EtherHiding », dans lesquelles les criminels utilisaient des réseaux blockchain pour distribuer des données de configuration malveillantes.
Plusieurs contrats intelligents liés à la campagne ont été déployés ou mis à jour entre août et novembre 2025, selon l'analyse du cabinet.
Les chercheurs ont déclaré que l’activité reste limitée pour l’instant, mais que le concept pourrait être réutilisé sous de nombreuses formes différentes par d’autres acteurs de la menace.
Bien que les utilisateurs et les développeurs de Polygon ne soient pas confrontés à des risques directs liés à cette campagne spécifique, Group-IB a déclaré que cette affaire est un autre rappel que les blockchains publiques peuvent être utilisées à mauvais escient pour soutenir des activités criminelles hors chaîne d'une manière difficile à détecter et à démanteler.