Hacker verstecken sich hinter Blockchain: Ein Ransomware-Raub, der allen Raubüberfällen ein Ende setzt!

von

Die Ransomware DeadLock hat durch ihr Versteckspiel mit Polygon-Smart-Contracts eine nahezu uneinnehmbare Festung errichtet. 🏰💻

Der heimtückische Plan, wie er von den Cybersicherheitsdetektiven der Group-IB enthüllt wurde, nutzt die Blockchain-Technologie wie ein schelmischer Taschendieb, der sich an den Sicherheitsleuten vorbeischleicht. DeadLock nutzt Polygon-Smart-Contracts, um die Kontrolle über Proxy-Server zu übernehmen und umgeht dabei traditionelle Sicherheitsmaßnahmen mit der Finesse eines Fuchses auf der Jagd.

Die schlauen Schurken von Group-IB haben in einem Beitrag auf 🕵️‍♂️👻

Blockchain: Der neue Spielplatz für schelmische Schurken

DeadLock wurde im Juli 2025 veröffentlicht und sorgte kaum für Aufsehen. Keine auffälligen Websites, die mit offengelegten Daten übersät sind, keine auffälligen Affiliate-Links. Die Opferliste war so klein wie eine Maus im Schrank und hielt ihr Unheil geheim.

Beim Verschlüsseln eines Systems spioniert DeadLock mit Proxy-Adressen in spezielle Polygon-Smart-Verträge ein und ermöglicht es Angreifern, ihren Opfern nette Bemerkungen – oder sozusagen Drohungen – zuzuflüstern.

Die Lösung verfügt über beeindruckende Stärken: Angreifer können die Proxy-Adressen nach Lust und Laune wechseln und so den Bug-Bounty-Jägern ausweichen, ohne ihre Schadsoftware-verhindernden Verteidigungsteams neu aufstellen zu müssen.

Klüger als ein Drittklässler und dennoch schlüpfrig

Herkömmliche Befehls- und Kontrollserver sind eine leichte Beute und können von Sicherheitsbehörden überfallen werden. Aber nicht DeadLock. Es wirft sie beiseite wie die Zeitung von gestern. Keine Bedingungen oder zentraler Server, da die Daten frei über ein Band global verteilter Knoten übertragen werden und so eine Festung entsteht, die jeder Niederlage lacht.

Ein kleiner JavaScript-Schnipsel, den die guten Leute von Group-IB in HTML-Dateien gefunden haben, wird die Smart Contracts des Polygon-Netzwerks kontaktieren und Proxy-URLs abrufen, als ob sie nur Fetzen von den Bakery-Messengern für ihre Missetaten abholen würden.

Evolution: Von einfachen Schlössern zu Blockchain-Schlüsseln

Die frühen Possen von DeadLock im Juni 2025 waren so spannend wie eine Gute-Nacht-Geschichte über Dateiverschlüsselung. Aber haltet eure Plätze fest, denn der August brachte Eskalationen mit düsteren Hinweisen auf Datendiebstahl. Um den Spaß noch zu steigern, stehen die Opfer nun vor der verlockenden Wahl zwischen verschlüsseltem Chaos und der Gefahr einer öffentlichen Datenparade.

Neuere Modelle von DeadLock kamen mit Boni wie Sicherheitsberichten und Versprechen von Angreifern, die flüsterten: „Wir lassen Sie in Ruhe, aber nur, wenn Sie aushusten.“ Zahlungen sorgten für Datenvernichtung, wie ein schlechtes Märchenversprechen mit einer Wendung.

Ein Transaktionswalzer enthüllte intelligente Verträge, die mit einer einzigen Wallet abgeschlossen wurden, wobei das Sahnehäubchen der Partei von August bis November 2025 in einem Karussell an Börsen von derselben Adresse finanziert wurde.

Ein Raubüberfall, den die Welt neidisch beobachtet

Vor DeadLock waren es nordkoreanische Hacker, die mit einer speziellen Technik die Show stahlen. Die klugen Köpfe von Google bezeichneten es als „EtherHiding“, eine plündernde Bedrohung, die intelligente Verträge nutzt, um Hässlichkeitsbrocken auf Ethereum-Blockchains zu verstecken, wie Ostereier auf einem Kinderfest – für neugierige Blicke fast unsichtbar.

Die engagierten Detektive der Group-IB haben die Entwicklung von DeadLock bemerkt – es ist ein zurückhaltender Titan mit einem bedrohlichen Schatten, der lauert. Opfer befinden sich in einer lächerlichen misslichen Lage mit Dateien, die mit einem .dlock-Stempel versehen sind, einem Hintergrundbild mit Lösegeldforderungen anstelle von Blumen, Symbolen, auf denen Marionettenglocken klingeln, und dem stets wachsamen Auge der AnyDesk-Software.

Es kommt zu Unfug, wenn PowerShell-Skripte durch Systeme huschen, Schattenkopien auswerfen und Dienste schließen, Dateien hinter einer soliden Verschlüsselungsmauer sperren und Schlüssel in Diebesunterkünften versteckt sind, die für Normalsterbliche unerreichbar sind.

Spüren Sie die Schurken bis in ihre Krümel auf

Die Breadcrumb-Spur hinterließ historische Proxy-Server und enthüllte die Spur von Breadcrumbs: Frühe Infrastrukturen wurden über kompromittierte WordPress-Sites, cPanel-Setups und Shopware eingerichtet. Aktuelle Proxys waren deutlich mit dem digitalen Siegel der Angreifer gekennzeichnet. Den Sherlock-Spürhunden bei Group-IB fielen Server auf, die einen Sherlock-SSH-Fingerabdruck und ähnliche SSL-Zertifizierungen teilten.

Diese schurkischen Schiffe hatten jeweils eine Vorliebe für Vesta-Kontrollpanels und Proxy-freundliche Apache-Server und orchestrierten ihre hinterhältigen Pläne, während sie gleichzeitig lästige Transaktionsgebühren vermeideten, da verdeckte Operationen mit minimalem Aufwand aufrechterhalten werden konnten.

Group-IB folgte dem Geld, ähnlich wie Raupen, die sich in digitale Detektive verwandelten. Entschlüsselte Eingaben enthüllten frühere Proxy-Häuser, und die hinterhältige setProxy-Methode wurde verwendet, um Adressen wie ein Chamäleon im Frühling zu ändern.

Keine raffinierten Exploits

Forscher fanden heraus, dass der arme DeadLock keinen Trick im Spielautomaten der Polygon-Plattform finden konnte. Es wurde kein DeFi-Orakel angegriffen oder versucht, eine Brücke zu erschüttern, es wurden keine Schwachstellen gefunden oder missbraucht. Es tanzte einfach zur Musik der Blockchain-Werbung und der ewigen Persistenz von Vertragsdaten.

Der wahre Kicker? Den Polygon-Benutzern und -Entwicklern wurde kein Schaden zugefügt – die Windows-Systeme blieben ihrem Geschwätz überlassen wie klatschende Stadtbewohner, während die Blockchain ebenso standhaft blieb wie die unverzichtbare Infrastruktur mit Hornlösungen in der Hand.

Diese cleveren Early-Access-Techniken von Cisco Talos – ich muss meinen Hut ziehen – haben Schwachstellen in Baidu Antivirus aufgedeckt, die die Systemverteidigung so nutzlos machen könnten wie eine Schokoladen-Teekanne und Prozessabbrüche zunichte machen könnten, um Endpunkterkennungssysteme hilflos zu machen.

Weiterlesen

2026-01-17 03:19