Tin tức về DeadLock Ransomware: Sử dụng Polygon để vượt qua các lệnh gỡ bỏ

Các nhà nghiên cứu an ninh đã cảnh báo về một mối đe dọa mới nổi nổi bật với việc lợi dụng tinh vi công nghệ blockchain. Một dòng ransomware mới được phát hiện đang khai thác tính bất biến của các hợp đồng thông minh Polygon để duy trì hạ tầng chỉ huy và kiểm soát, điều này cực kỳ khó bị phá vỡ bằng các phương pháp tiêu chuẩn như tiêu diệt truyền thống. Sự phát triển này đánh dấu một bước tiến trong cách các tác nhân đe dọa tiếp cận khả năng phục hồi của hạ tầng trong kỷ nguyên số.

Theo các phát hiện được công ty an ninh mạng Group-IB công bố giữa tháng Một, biến thể ransomware có tên DeadLock lần đầu xuất hiện vào tháng Bảy năm ngoái và kể từ đó hoạt động chủ yếu trong bóng tối. Mặc dù chiến dịch mới chỉ xác nhận một số ít nạn nhân, các chuyên gia an ninh cảnh báo rằng kỹ thuật nền tảng này là một sáng kiến đáng lo ngại có thể được các tác nhân đe dọa có uy tín hơn trong hệ sinh thái tội phạm sao chép lại.

Cơ chế kỹ thuật đằng sau cuộc tấn công

Thay vì dựa vào các máy chủ chỉ huy tập trung truyền thống — mà các đội ngũ an ninh thường xuyên xác định và vô hiệu hóa — DeadLock sử dụng một phương pháp mới khai thác các đặc tính cốt lõi của blockchain. Khi hệ thống bị nhiễm và mã hóa, phần mềm độc hại sẽ truy vấn một hợp đồng thông minh cụ thể được triển khai trên mạng Polygon. Hợp đồng này duy trì danh sách các địa chỉ proxy server đang hoạt động, giúp các kẻ tấn công liên lạc với nạn nhân.

Điểm tinh tế của kỹ thuật này nằm ở tính linh hoạt vốn có. Khi các nhà nghiên cứu an ninh phát hiện và chặn một địa chỉ proxy cụ thể, các kẻ tấn công có thể đơn giản cập nhật hợp đồng với các địa chỉ mới mà không cần triển khai lại phần mềm độc hại. Quan trọng là, nạn nhân không cần thực hiện các giao dịch blockchain hay chi phí gas — ransomware chỉ thực hiện các thao tác đọc để lấy cấu hình hạ tầng mới nhất. Sau khi thiết lập liên lạc thành công, nạn nhân sẽ nhận được tin nhắn đòi tiền chuộc kèm theo các mối đe dọa rằng dữ liệu bị đánh cắp sẽ bị đem đấu giá trừ khi thanh toán được thực hiện.

Tại sao phương pháp này tạo ra thách thức phòng thủ lâu dài

Những tác động của chiến lược này làm nổi bật sự bất đối xứng cơ bản giữa tấn công và phòng thủ trong an ninh mạng. Hạ tầng ransomware truyền thống thường có điểm yếu duy nhất — một máy chủ chỉ huy có thể bị chiếm giữ, một địa chỉ IP có thể bị đưa vào danh sách đen, một tên miền có thể bị đình chỉ. Ngược lại, việc lưu trữ cấu hình dựa trên blockchain không có mục tiêu trung tâm như vậy. Dữ liệu proxy tồn tại trên hàng nghìn nút phân tán trên toàn cầu, khiến các hoạt động tiêu diệt truyền thống gần như vô hiệu.

Về mặt phòng thủ, việc tắt một địa chỉ hợp đồng thông minh duy nhất không mang lại nhiều ý nghĩa khi các địa chỉ mới có thể được triển khai ngay lập tức. Cảnh sát và các đội ngũ an ninh không thể “rút phích” hạ tầng tồn tại trên một mạng lưới phi tập trung. Ưu thế kiến trúc này giải thích tại sao Group-IB lại nhấn mạnh phương pháp này là sáng tạo mặc dù chiến dịch hiện tại còn hạn chế về phạm vi.

Làm rõ bức tranh an ninh của Polygon

Một điểm phân biệt quan trọng: các nhà nghiên cứu nhấn mạnh rằng chính Polygon không chứa các lỗ hổng có thể khai thác trong chiến dịch này. DeadLock không lợi dụng các lỗi trong giao thức blockchain, giải pháp Layer 2, hay các hợp đồng thông minh của bên thứ ba như các giao thức DeFi, ví hoặc cầu nối. Thay vào đó, các tác nhân đe dọa chỉ đơn giản khai thác tính công khai, bất biến của dữ liệu blockchain — tương tự các kỹ thuật “EtherHiding” đã được ghi nhận trong các nghiên cứu an ninh trước đây.

Phân tích các hợp đồng thông minh liên quan đến hoạt động DeadLock cho thấy hoạt động triển khai tập trung từ tháng Tám đến tháng Mười Một năm ngoái. Người dùng và nhà phát triển Polygon không gặp rủi ro kỹ thuật trực tiếp từ chiến dịch này, nhưng trường hợp này là một lời cảnh báo về cách các blockchain công khai có thể trở thành hạ tầng cho các hoạt động tội phạm ngoài chuỗi, vượt ra ngoài khả năng phát hiện và phá vỡ truyền thống.

Nhìn về phía trước: Những tác động rộng hơn

Trong khi DeadLock còn khá ít nổi bật với số lượng nạn nhân xác nhận ít và không có liên kết rõ ràng với các chương trình ransomware theo dịch vụ lớn, các nhà nghiên cứu an ninh nhấn mạnh rằng tính di động của ý tưởng này mới là mối lo ngại thực sự. Cùng một phương pháp có thể được các nhóm đe dọa đã thành lập sử dụng để xây dựng hạ tầng bền vững hơn. Tin tức về ransomware này phản ánh một thực tế không thoải mái: khi công nghệ blockchain trưởng thành, các đối tượng xấu cũng ngày càng sáng tạo trong việc khai thác đặc điểm nổi bật của nó để phục vụ mục đích tội phạm.