Image credit: magnific
Ransomware DeadLock Manfaatkan Blockchain Polygon – Grup peretas di balik operasi Ransomware DeadLock mengadopsi pendekatan baru dengan memanfaatkan infrastruktur terdesentralisasi berbasis teknologi blockchain.
Langkah ini dilakukan untuk melindungi komunikasi dengan korban serta aktivitas situs pemerasan (data-leak site) agar tidak mudah ditutup oleh aparat penegak hukum.
Kelompok ancaman ini pertama kali muncul pada pertengahan 2025 dan menerapkan taktik pemerasan ganda (double-extortion), yaitu mencuri data sensitif sebelum mengunci dan mengenkripsi berkas sistem korban.
Hingga Juli 2026, situs pemerasan DeadLock tercatat telah mempublikasikan 80 organisasi korban, sebagian besar berasal dari:
- Sektor TI.
- Pertambangan.
- Transportasi.
- Manufaktur.
- Perhotelan.
- Dan barang konsumsi.
Peneliti mencatat bahwa malware ini didistribusikan oleh beberapa kelompok afiliasi peretas, termasuk yang sebelumnya terhubung dengan ekosistem ransomware Lynx dan INC.Micr
|
Baca juga: Bahaya Ekstensi Pencuri di Cursor |
Komunikasi via Blockchain Polygon
Alih-alih mengandalkan situs Tor konvensional yang berisiko disita penegak hukum, DeadLock menggunakan blockchain Polygon untuk menyimpan data konfigurasi serta postingan daftar korban.
Mekanisme Teknis Infrastruktur Terdesentralisasi:
- Pengambilan Alamat C2 via Smart Contract: Halaman HTML pemerasan melakukan kueri pembacaan (read-only eth_call) ke smart contract di blockchain Polygon untuk mendapatkan alamat chat-proxy terbaru secara otomatis.
- Jaringan Komunikasi Terenkripsi: DeadLock memanfaatkan jaringan terdesentralisasi Session untuk mengamankan percakapan negosiasi dengan korban.
- Penyimpanan Berkas Bocoran: Berkas curian di-hosting di layanan cloud Wasabi.
Pendekatan ini memungkinkan operator mengubah alamat proxy obrolan tanpa perlu memperbarui aplikasi di sisi korban, sekaligus mengurangi ketergantungan pada domain web biasa.
Meski demikian, peneliti menegaskan bahwa sistem ini tidak sepenuhnya kebal dari gangguan, penyedia cloud seperti Wasabi tetap dapat menghapus berkas curian jika menerima laporan penyalahgunaan, dan akses ke endpoint RPC publik Polygon masih dapat dibatasi.
Proses Kerja dan Fitur Enkripsi
Laporan peneliti juga mengungkap detail mekanisme enkripsi DeadLock. Secara bawaan, skrip ransomware dikonfigurasi untuk mengecualikan sistem yang berlokasi di negara-negara bekas Uni Soviet.
Termasuk kawasan Commonwealth of Independent States (CIS), Iran, Suriah, Oman, dan Yaman.
- Sistem Target: Malware menghapus berkas cadangan (backups), menghentikan layanan virtualisasi, dan mengosongkan Recycle Bin.
- Proses Enkripsi Efisien: DeadLock mengenkripsi direktori non-sistem menggunakan kunci unik XChaCha20 per berkas yang dilindungi enkripsi kurva eliptis Curve25519.
- Penggunaan Sumber Daya Terbatas: Ransomware dikonfigurasi untuk menggunakan maksimal 29% memori sistem dan 70% CPU, sehingga korban masih dapat menggunakan komputer tanpa merasakan efek penurunan performa yang drastis saat enkripsi berlangsung.
- Enkripsi Berkas Besar: Untuk mempercepat proses, berkas berukuran besar dienkripsi secara parsial menggunakan blok 512-byte, yang sudah cukup untuk membuat berkas tidak dapat dipulihkan.
- Perubahan Identitas Berkas: Berkas terenkripsi diubah namanya menggunakan ekstensi .dlock, ikon berkas diganti, nota tebusan dalam format TXT ditinggalkan, dan wallpaper desktop diubah sebagai penanda bahwa sistem t
Pelaku meminta tebusan dalam bentuk cryptocurrency Bitcoin atau Monero. Sebagai imbalannya, peretas menjanjikan dekriptor berkas, penghapusan data curian, informasi vektor akses awal yang mereka gunakan, serta rekomendasi keamanan.
|
Baca juga: Curi Webcam Bikin Zoom Palsu |
Panduan Mitigasi dan Pencegahan
Untuk membentengi sistem dari ancaman ransomware DeadLock, Microsoft merekomendasikan beberapa langkah perlindungan endpoint:
1. Perketat Keamanan Endpoint
Aktifkan perlindungan antivirus berbasis cloud, jalankan EDR dalam block mode, aktifkan proteksi manipulasi (tamper protection), serta fitur otomatisasi investigasi dan pemulihan.
2. Pembatasan Akses Berkas
Gunakan fitur Controlled Folder Access untuk mencegah perubahan berkas tanpa izin dari aplikasi yang tidak dikenal.
3. Aturan Pengurangan Area Serangan (Attack-Surface Reduction)
Aktifkan aturan ASR untuk memblokir eksekusi berkas tidak tepercaya serta mencegah pergerakan lateral (lateral movement) yang memanfaatkan utilitas seperti PsExec dan WMI.
Sumber berita:
