一种新发现的勒索软件正在利用多边形网络安全公司 Group-IB 周四警告称，利用智能合约进行代理服务器地址轮换和分发，可以渗透设备。

据该公司称，这款名为 DeadLock 的恶意软件于 2025 年 7 月首次被发现，迄今为止尚未引起太多关注，因为它缺乏公开的联盟计划和数据泄露网站，而且只感染了有限数量的受害者。

Group-IB在一份声明中表示：“尽管这种攻击方式低调且影响甚微，但它运用了创新方法，展现了一种不断发展的技能，如果各组织不认真对待这种新兴威胁，则可能变得危险。”博客.

DeadLock 的使用智能合约该公司指出，提供代理地址是一种“有趣的方法，攻击者可以运用这种技术的无限变体；想象力是唯一的限制”。Group-IB 还提到了最近的报告谷歌威胁情报小组重点指出，朝鲜黑客也采用了一种名为“EtherHiding”的类似技术。

什么是 EtherHiding？

EtherHiding 是一项活动披露去年，朝鲜黑客利用了以太坊利用区块链技术隐藏和传播恶意软件。受害者通常会被诱骗访问被入侵的网站（通常是 WordPress 页面），这些网站会加载一小段 JavaScript 代码。这段代码随后会从区块链中提取隐藏的有效载荷。区块链这使得攻击者能够以极强的抗拦截能力传播恶意软件。

EtherHiding 和 DeadLock 都将公开的去中心化账本改造为隐蔽通道，使得防御者难以封锁或拆除。DeadLock 利用了轮换代理，即定期更改用户 IP 地址的服务器，从而增加了追踪或封锁的难度。

Group-IB 承认“目前攻击的初始访问途径和其他重要阶段仍然未知”，但表示 DeadLock 感染会将加密文件重命名为“.dlock”扩展名，并将桌面背景替换为勒索信。

新版本还会警告受害者，敏感数据已被窃取，如果不支付赎金，这些数据可能会被出售或泄露。目前已发现至少三种恶意软件变种。

早期版本依赖于据称已被入侵的服务器，但研究人员现在认为该组织运营着自己的基础设施。然而，关键的创新之处在于DeadLock如何获取和管理服务器地址。

“Group-IB的研究人员在HTML文件中发现了与Polygon网络上的智能合约交互的JS代码，”声明解释说。“这个RPC列表包含了与Polygon网络或区块链交互的可用端点，充当连接应用程序和区块链现有节点的网关。”

其最新发现的版本还嵌入了受害者和攻击者之间的通信通道。DeadLock 会释放一个 HTML 文件，该文件充当加密消息应用程序 Session 的包装器。

Group-IB 表示：“HTML 文件的主要目的是促进 DeadLock 操作员和受害者之间的直接沟通。”