El ransomware DeadLock usa contratos inteligentes de Polygon como escudos dinámicos de C2

El panorama de la ciberseguridad está siendo testigo de una peligrosa convergencia entre tácticas avanzadas de ransomware y las tecnologías descentralizadas de web3. Una variante de ransomware identificada como DeadLock está empleando la blockchain pública de Polygon como un mecanismo de comando y control (C2) resiliente e inmune a desmantelamientos, desafiando fundamentalmente los manuales tradicionales de defensa y disruptción.

La mecánica de un C2 con cortina blockchain

La innovación de DeadLock radica en desacoplar el payload del malware de sus instrucciones operativas. El binario en sí es relativamente estático, distribuido mediante campañas de phishing o kits de explotación. Sin embargo, su "cerebro"—la ubicación desde la que recibe comandos—se obtiene dinámicamente desde la blockchain de Polygon.

El análisis técnico revela el siguiente flujo de trabajo:

1. Génesis embebida: El binario de DeadLock contiene una frase semilla (seed phrase) o derivado de clave privada embebido. Al ejecutarse, genera una dirección de billetera de Polygon específica.
2. Consulta en cadena (On-Chain Polling): El malware consulta el explorador público de la blockchain de Polygon (a través de APIs o comunicación directa con nodos) para recuperar el historial de transacciones asociado a esa dirección de billetera.
3. Extracción de datos: Los atacantes controlan la infraestructura C2 enviando micro-transacciones (a menudo de valor insignificante en MATIC) a esta billetera. Las instrucciones C2 se codifican dentro del campo de datos de entrada (input data) de la transacción o como parámetros en funciones de transferencia de tokens (por ejemplo, transferencias de USDC con campos memo). Estos datos son públicos pero parecen un galimatías para observadores casuales.
4. Rotación dinámica: El malware decodifica estos datos en cadena para revelar la dirección IP o dominio actual del servidor C2 operativo. Cuando los defensores o las fuerzas del orden logran desmantelar un servidor, los atacantes simplemente envían una nueva transacción a la billetera con los nuevos detalles C2. El malware, que consulta regularmente, cambia sin problemas a la nueva infraestructura sin ningún cambio en el host infectado.

Por qué esto evade las defensas tradicionales

Este método explota las propiedades inherentes de las blockchains públicas: inmutabilidad, disponibilidad y descentralización.

• Órdenes inmutables: Una vez que una transacción con datos C2 se confirma en la red de Polygon, no puede ser alterada o eliminada. Los defensores no pueden "borrar" las instrucciones como podrían hacerlo con un registro de dominio comprometido.
• Siempre disponible: La blockchain de Polygon está distribuida globalmente y no tiene un único punto de fallo. A diferencia de un dominio C2 tradicional que puede ser sinkholeado o una IP que puede ser bloqueada, las instrucciones basadas en blockchain permanecen accesibles mientras la red exista.
• Tráfico camuflado: El tráfico de red desde un host infectado hacia los endpoints RPC de la blockchain de Polygon o exploradores públicos se asemeja a actividad web3 legítima, lo que dificulta distinguirlo de aplicaciones blockchain genuinas utilizadas dentro de una empresa.

Impacto en el panorama de amenazas y respuesta defensiva

La táctica de DeadLock representa un cambio de paradigma. Proporciona a los operadores de ransomware un canal C2 altamente resiliente y tremendamente difícil de interrumpir después de la infección. Los esfuerzos de desmantelamiento ahora deben centrarse en la capacidad del malware para leer la blockchain, en lugar de la ubicación desde la que lee.

Esto requiere una evolución en las estrategias defensivas:

1. Mejoras en la monitorización de red: Los equipos de seguridad deben monitorizar las conexiones salientes inesperadas desde activos corporativos hacia proveedores RPC de blockchain públicos o exploradores. Los análisis de comportamiento deben marcar procesos que generen y consulten direcciones de criptomonedas específicas sin interacción del usuario.
2. Ajuste de la Detección y Respuesta en Endpoints (EDR): Las soluciones EDR necesitan firmas y reglas de comportamiento para identificar el árbol de procesos único y los patrones de memoria de malware que realiza consultas en cadena y decodifica datos de transacciones.
3. Colaboración en inteligencia de amenazas: Compartir las direcciones de billetera y los patrones de frases semilla utilizados por DeadLock es crucial. Las listas de bloqueo de direcciones blockchain maliciosas conocidas pueden integrarse en herramientas de seguridad, de manera similar a las listas de bloqueo tradicionales de IP/dominio.
4. Disrupción proactiva: Si bien los datos en cadena no pueden cambiarse, la capacidad de la billetera para recibir nuevas instrucciones podría obstaculizarse potencialmente inundándola con transacciones espurias, aunque esto plantea cuestiones éticas y legales.

Conclusión: Un nuevo frente en la defensa cibernética

La adopción de la tecnología blockchain por actores de amenazas como el grupo DeadLock no es una amenaza futura teórica, es una realidad presente. Señala un movimiento hacia una infraestructura de cibercrimen más descentralizada, robusta y anónima. Para los profesionales de la ciberseguridad, esto subraya la necesidad urgente de expandir los modelos de amenaza más allá de los límites tradicionales de red y de desarrollar conocimientos en forense blockchain. La batalla ya no es solo por servidores y dominios; ahora también se libra en los ledgers inmutables de las blockchains públicas.