DeadLock ransomware dùng Polygon smart contracts để tăng khả năng chống gián đoạn
"DeadLock ransomware has been observed using decentralized infrastructure, including Session messaging and Polygon smart contracts, to support victim communications, proxy rotation, and data-leak hosting. The malware uses double extortion, selective encryption, geofencing, log wiping, and an HTML recovery portal; no CVE is mentioned, and the main impact is harder-to-disrupt extortion operations rather than a software vulnerability. No specific fix is described beyond disruption/takedown challenges and defensive awareness."
Tăng mức độ đe dọa do hạ tầng phi tập trung và xoay vòng proxy làm khó takedown; đồng thời có xóa log và xóa Shadow Copies để cản trở điều tra.
Có thể gây gián đoạn vận hành, mất dữ liệu và áp lực tống tiền kéo dài; việc liên lạc và rò rỉ dữ liệu qua hạ tầng khó chặn làm tăng chi phí ứng phó.
Nhóm DeadLock ransomware được ghi nhận đang dùng hạ tầng phi tập trung để hỗ trợ liên lạc với nạn nhân và vận hành trang rò rỉ dữ liệu, nhằm làm cho hoạt động tống tiền khó bị triệt phá hơn. Theo Microsoft Threat Intelligence, hệ sinh thái khôi phục của nhóm kết hợp Session messaging với các dịch vụ dựa trên blockchain để lưu trữ và phân phối tài nguyên phục vụ quá trình tống tiền.
DeadLock xuất hiện từ tháng 7/2025, áp dụng double extortion: vừa mã hóa dữ liệu, vừa đe dọa công bố dữ liệu đánh cắp. Đến thời điểm báo cáo, nhóm đã tuyên bố 96 nạn nhân, chủ yếu tại Italy, Spain, Poland, Türkiye và Mỹ. Mã độc dùng đuôi .dlock, thay đổi hình nền, xóa log, vô hiệu hóa ghi log và xóa Volume Shadow Copies để cản trở điều tra.
Điểm đáng chú ý là nạn nhân có thể được yêu cầu dùng Session hoặc trang HTML recovery portal tương tác trực tiếp, trong đó có chat mã hóa đầu-cuối và data leak blog. Nhóm còn dùng Polygon smart contracts để xoay vòng địa chỉ proxy, khiến việc chặn và thu hồi hạ tầng khó hơn.
Khuyến nghị: tăng giám sát PowerShell, AnyDesk, hành vi xóa shadow copy, thay đổi registry và lưu lượng tới Session/Polygon; đồng thời chuẩn bị sao lưu ngoại tuyến, phân đoạn mạng và quy trình ứng phó tống tiền.