Deadlock: El ransomware que abusa de Polygon para evadir la vigilancia

Investigadores de Group-IB han identificado una nueva amenaza de ciberdelincuencia que demuestra la sofisticación creciente del malware moderno. La familia de ransomware conocida como Deadlock fue descubierta en el segundo trimestre de 2025 y presenta capacidades alarmantes de evasión. Lo notable es que Deadlock no solo ataca sistemas convencionales, sino que implementa una estrategia novedosa: aprovecha la infraestructura descentralizada de Polygon para distribuir sus componentes maliciosos y rotar direcciones de servidores proxy de manera prácticamente imposible de interceptar.

Cómo Deadlock utiliza blockchain para ocultarse

El mecanismo técnico de Deadlock es particularmente ingenioso. El malware inyecta código JavaScript en archivos HTML que interactúan directamente con la red Polygon. Una vez ejecutado, utiliza listas de nodos RPC como puertas de enlace para obtener direcciones actualizadas de servidores controlados por los atacantes. Esta táctica aprovecha la naturaleza distribuida y pseudoanónima de la blockchain para construir canales de comunicación encubiertos que resultan enormemente difíciles de bloquear mediante técnicas de seguridad tradicionales.

La evolución de técnicas evasivas sofisticadas

Esta estrategia de ocultamiento no es completamente nueva. Investigadores ya habían documentado métodos similares en el malware EtherHiding, que también utilizaba arquitecturas descentralizadas para evadir detección. Sin embargo, Deadlock representa un avance cualitativo en su aplicación. Los análisis revelan que actualmente existen al menos tres variantes de Deadlock circulando en la naturaleza, y la versión más reciente ha escalado su sofisticación al integrar directamente la aplicación de mensajería cifrada Session.

Implicaciones para la seguridad

Esta integración de Session en la última variante de Deadlock amplía significativamente las capacidades operativas del malware. Los atacantes pueden ahora comunicarse de forma cifrada directamente con las víctimas, facilitando negociaciones de rescate y distribución de instrucciones sin exposición detectabilidad. La combinación de Polygon como infraestructura de distribución y Session como canal de comunicación crea una arquitectura de ataque multipropósito que desafía los mecanismos tradicionales de respuesta a incidentes.