デッドロック：Polygonを悪用して監視をかわすランサムウェア

Group-IBの研究者は、現代のマルウェアの高度化を示す新たなサイバー犯罪の脅威を特定しました。Deadlockとして知られるランサムウェアのファミリーは、2025年第2四半期に発見され、驚くべき回避能力を備えています。注目すべきは、Deadlockは従来のシステムだけでなく、新たな戦略を採用している点です：それはPolygonの分散型インフラを利用して悪意のあるコンポーネントを配布し、プロキシサーバーのアドレスをほぼ追跡不可能な方法でローテーションさせるのです。

Deadlockがブロックチェーンを利用して隠れる方法

Deadlockの技術的仕組みは非常に巧妙です。マルウェアはHTMLファイルにJavaScriptコードを注入し、直接Polygonネットワークとやり取りします。一度実行されると、RPCノードのリストをゲートウェイとして利用し、攻撃者が管理するサーバーの最新のアドレスを取得します。この戦術は、ブロックチェーンの分散性と擬似匿名性を利用して、従来のセキュリティ技術ではブロックしにくい隠された通信チャネルを構築します。

高度な回避技術の進化

この隠蔽戦略は完全に新しいものではありません。研究者たちはすでに、分散型アーキテクチャを利用して検出を回避するEtherHidingというマルウェアで類似の手法を記録しています。しかし、Deadlockはその適用において質的な進歩を示しています。分析によると、現在少なくとも3つのDeadlockのバリアントが流通しており、最新のバージョンは暗号化されたメッセージングアプリSessionを直接統合することで、その高度さを増しています。

セキュリティへの影響

最新のDeadlockバリアントにSessionを組み込むことで、マルウェアの運用能力は大幅に拡大しています。攻撃者は今や被害者と暗号化されたまま直接通信でき、身代金交渉や指示の配布を検出されずに行うことが可能です。Polygonを配布インフラとして、Sessionを通信チャネルとして組み合わせることで、多目的な攻撃アーキテクチャを構築し、従来のインシデント対応メカニズムに挑戦しています。