Новини DeadLock Ransomware: Використання Polygon для обходу блокувань

Дослідники з безпеки виявили нову загрозу, яка підкреслює складне зловживання технологією блокчейн. Нещодавно виявлений тип програм-вимагачів використовує незмінну природу смарт-контрактів Polygon для підтримки командно-контрольної інфраструктури, яку надзвичайно важко зруйнувати за допомогою традиційних методів зупинки. Цей розвиток ознаменовує еволюцію підходів зловмисників до забезпечення стійкості інфраструктури в цифрову епоху.

Згідно з висновками, оприлюдненими кібербезпековою компанією Group-IB у середині січня, варіант програм-вимагачів під назвою DeadLock вперше з’явився минулого липня і з того часу працює здебільшого непоміченим. Хоча кампанія підтвердила поки що обмежену кількість жертв, експерти з безпеки попереджають, що базова техніка є тривожною інновацією, яку потенційно можуть застосувати більш відомі зловмисники у кримінальній екосистемі.

Технічний механізм атаки

Замість того, щоб покладатися на традиційні централізовані командні сервери — які служби безпеки регулярно виявляють і зупиняють — DeadLock використовує новий підхід, що базується на основних властивостях блокчейну. Після зараження системи та її шифрування зловмисне програмне забезпечення звертається до конкретного смарт-контракту, розміщеного в мережі Polygon. Цей контракт зберігає список активних проксі-серверів, які забезпечують зв’язок між зловмисниками та їхніми жертвами.

Елегантність цієї техніки полягає у її гнучкості. Коли дослідники безпеки виявляють і блокують певну адресу проксі, зловмисники можуть просто оновити контракт новими адресами, не потрібно повторно розгортати саму шкідливу програму. Важливо, що жертви не повинні ініціювати транзакції у блокчейні або витрачати газові збори — ransomware просто виконує операції читання для отримання актуальної конфігурації інфраструктури. Після встановлення зв’язку жертви отримують повідомлення з вимогою викупу та погрозами, що їхні викрадені дані будуть виставлені на аукціон, якщо не буде здійснена оплата.

Чому цей підхід створює постійні виклики для захисту

Наслідки цієї стратегії підкреслюють фундаментальну асиметрію між нападом і захистом у кібербезпеці. Традиційна інфраструктура програм-вимагачів зазвичай має одну точку відмови — командний сервер можна захопити, IP-адресу — заблокувати, домен — призупинити. На відміну від цього, зберігання конфігурацій у блокчейні не має такої централізованої цілі. Дані проксі зберігаються на тисячах розподілених вузлах по всьому світу, що робить звичайні операції з їхнього знищення практично безуспішними.

З точки зору захисту, зупинка однієї адреси смарт-контракту мало що змінює, оскільки нові можуть бути розгорнуті миттєво. Правоохоронні органи та служби безпеки не можуть просто “відключити” інфраструктуру, яка існує у децентралізованій мережі. Ця архітектурна перевага пояснює, чому Group-IB назвала цей метод особливо винахідливим, незважаючи на обмежений масштаб кампанії.

Огляд безпекової ситуації з Polygon

Важливо зазначити, що дослідники підкреслюють, що сам Polygon не має вразливостей, які використовуються у цій кампанії. DeadLock не використовує недоліки у протоколі блокчейну, Layer 2 рішеннях або сторонніх смарт-контрактах, таких як DeFi-протоколи, гаманці або мости. Зловмисники просто використовують публічну, незмінну природу даних у блокчейні — аналогічно старим технікам “EtherHiding”, задокументованим у попередніх дослідженнях безпеки.

Аналіз смарт-контрактів, пов’язаних із операцією DeadLock, показує, що їх розгортання відбувалося переважно з серпня по листопад минулого року. Користувачі та розробники Polygon не піддаються безпосередньому технічному ризику від цієї кампанії, але цей випадок слугує попередженням про те, як публічні блокчейни можуть стати інфраструктурою для поза-ланцюгової кримінальної діяльності у способах, що ускладнюють традиційне виявлення та злом.

Перспективи: ширші наслідки

Хоча DeadLock залишається відносно непомітним із мінімальною кількістю підтверджених жертв і без відомих зв’язків із великими програмами-віділками, дослідники безпеки наголошують, що головною проблемою є портативність цієї концепції. Такий підхід може бути адаптований більш досвідченими групами зловмисників для створення більш стійкої інфраструктури. Ця новина про програм-вимагачів підкреслює неприємну реальність: з розвитком технології блокчейн зловмисники знаходять нові способи використовувати її визначальні характеристики у кримінальних цілях.