Ransomware DeadLock: Cómo los Cibercriminales Ocultaron su Infraestructura en Contratos Inteligentes de Polygon
Investigadores de la firma de ciberseguridad Group-IB han descubierto un nuevo ransomware, bautizado como “DeadLock”, que emplea una técnica sofisticada para evadir su desactivación. El malware explota contratos inteligentes en la blockchain de Polygon para gestionar su infraestructura maliciosa, convirtiendo a la cadena de bloques en un servidor de comando y control descentralizado y extremadamente resistente.
El Mecanismo de DeadLock: Blockchain como Herramienta de Evasión
Una Amenaza de Bajo Perfil con Alto Potencial
Según el reporte publicado el jueves, el ransomware DeadLock fue descubierto por primera vez en julio de 2025 y ha mantenido una “baja exposición” en el panorama de amenazas. Los investigadores señalan que no está vinculado a sitios conocidos de filtración de datos o programas de afiliados de ransomware, y se tiene constancia de un “número limitado de víctimas reportadas”.
Sin embargo, Group-IB hace hincapié en que, a pesar de su perfil discreto, la metodología de DeadLock es innovadora y peligrosa, marcando un uso poco reportado de la blockchain Polygon con fines maliciosos.
La Ingeniería del Ataque: Contratos Inteligentes como Directores
La técnica central de DeadLock consiste en utilizar contratos inteligentes desplegados en la blockchain de Polygon para almacenar y rotar dinámicamente las direcciones de servidores proxy. En la práctica, el código del ransomware se comunica con una dirección de contrato inteligente específica para obtener y actualizar la infraestructura de comando y control (C2) necesaria para sus operaciones.
Tras infectar un sistema y cifrar los datos, el malware presenta a la víctima una nota de rescate que amenaza con vender la información robada si no se paga.
Por Qué Esta Técnica es Tan Peligrosa y Persistente
Infraestructura Descentralizada: Sin un Punto Único de Falla
La principal ventaja para los atacantes radica en la descentralización. Al almacenar las direcciones de los servidores proxy en un contrato inteligente dentro de la cadena de bloques, eliminan la existencia de un servidor central de mando y control que las autoridades o equipos de seguridad puedan “apagar” o deshabilitar.
Además, la naturaleza inmutable de la blockchain garantiza que la información replicada en miles de nodos distribuidos globalmente persista indefinidamente, haciendo casi imposible su eliminación una vez desplegada.
Un Paradigma con “Variantes Infinitas”
Los investigadores de Group-IB describen esta técnica como un paradigma de “variantes infinitas”. En su reporte, afirmaron:
“Este exploit de contratos inteligentes para entregar direcciones proxy es un método interesante donde los atacantes pueden literalmente aplicar infinitas variantes de esta técnica; la imaginación es el límite”.
Este enfoque no solo hace que DeadLock sea persistente, sino que también establece un precedente peligroso que otros actores maliciosos podrían adaptar y mejorar en futuros ataques.
Contexto y Antecedentes: No es la Primera Vez
El Precedente de “EtherHiding” y los Actores Norcoreanos
El uso de blockchains públicas para fines maliciosos no es un fenómeno nuevo. Un reporte de Google de octubre de 2025 ya documentó una táctica similar denominada “EtherHiding”, empleada por el grupo de amenazas norcoreano conocido como UNC5342.
Esta técnica consiste en almacenar y recuperar cargas maliciosas, como código JavaScript, a través de transacciones en blockchains públicas. Google explicó que este enfoque convierte efectivamente a la blockchain en un servidor C2 “descentralizado y altamente resiliente”.
La diferencia clave es que, mientras “EtherHiding” se centraba en almacenar *payloads* o cargas maliciosas, DeadLock utiliza la blockchain para almacenar y gestionar la *infraestructura* misma (las direcciones proxy).
Implicaciones y Perspectivas de Seguridad
El caso de DeadLock presenta un dilema fundamental para la seguridad: las características que hacen atractivas a las blockchains –descentralización, inmutabilidad y transparencia– están siendo explotadas para crear infraestructuras maliciosas altamente resistentes.
Los expertos subrayan la necesidad de que las organizaciones, especialmente aquellas que interactúan con ecosistemas Web3 o finanzas descentralizadas (DeFi), no subestimen amenazas de “bajo perfil” que utilizan técnicas avanzadas de evasión.
La identificación de DeadLock por parte de Group-IB resalta la importancia de la vigilancia proactiva y la investigación continua en ciberseguridad para detectar y comprender estas técnicas emergentes antes de que sean adoptadas de manera masiva por otros actores de amenazas.
