DeadLock : la blockchain au service du chantage
Le paysage des ransomwares franchit un nouveau cap. Selon une analyse technique détaillée publiée le 10 août 2026 par Microsoft Threat Intelligence, le groupe derrière le ransomware DeadLock a déployé une infrastructure de communication et de fuite de données décentralisée, s'appuyant sur la blockchain Polygon pour rendre ses opérations particulièrement difficiles à démanteler.
Apparu pour la première fois en juillet 2025, DeadLock pratique la double extorsion classique — chiffrement des systèmes d'une part, vol et menace de publication des données d'autre part. Mais c'est son architecture de résilience qui le distingue : au lieu de s'appuyer sur des serveurs traditionnels ou des services Tor susceptibles d'être saisis, les opérateurs utilisent des smart contracts sur la blockchain Polygon pour stocker et distribuer leurs adresses de proxy de communication ainsi que les publications de leur site de fuite.
Polygon comme registre d'infrastructure
Le mécanisme est aussi ingénieux qu'inquiétant. DeadLock dépose sur la machine victime un fichier HTML interactif (RECOVERY_CHAT.<UID>.html) qui fait office d'application web autonome : chat chiffré de bout en bout, blog de fuite paginé et navigateur de fichiers volés, le tout sans serveur backend traditionnel.
Au lieu d'utiliser une URL Tor classique, cette page HTML interroge un smart contract sur la blockchain Polygon via un appel lecture seule (eth_call) pour récupérer l'adresse actuelle du serveur proxy de chat. Les opérateurs peuvent ainsi remplacer le proxy à volonté sans modifier l'application côté victime, et sans avoir à enregistrer ou maintenir des domaines susceptibles d'être saisis.
Deux adresses de portefeuilles Polygon ont été identifiées par les chercheurs :
- 0x8EF7c3e531d871D3B9D559722DE77EB1dEc19dAe : stocke l'URL du serveur proxy (
138.226.236[.]51/prrq.php) - 0x757984507c82c8dA1d3969c535dB5706eEE6426C : stocke les publications du blog de fuite
Le contenu du blog de fuite lui-même est hébergé sur la blockchain Polygon, accessible via le protocole Wasabi, ce qui permet aux victimes et au public de consulter les données volées sans qu'aucun serveur web ne soit nécessaire. Les communications chiffrées avec les victimes passent par le réseau décentralisé Session, une alternative à Signal conçue pour fonctionner sans serveur central.
Une résilience qui n'est pas absolue
Microsoft souligne toutefois que cette architecture n'est pas invulnérable. Les communications passent toujours par un proxy personnalisé qui peut être ciblé ; les points de terminaison RPC publics de Polygon doivent rester accessibles pour que le système fonctionne ; et les fichiers hébergés sur Wasabi peuvent être supprimés. La résistance aux perturbations est donc réelle, mais pas absolue.
Le cabinet Group-IB, qui avait publié une première analyse de DeadLock en janvier 2026, avait alors souligné l'originalité de l'approche : « Cette exploitation des smart contracts pour livrer des adresses de proxy est une méthode intéressante où les attaquants peuvent littéralement appliquer une infinité de variantes de cette technique. » Group-IB avait également noté que DeadLock avait initialement gardé un profil bas, sans site de fuite public ni affiliation à un programme connu, les premières victimes n'ayant été découvertes qu'à la fin mai 2026 selon Ransomware.Live.
Des victimes principalement européennes
L'évolution du nombre de victimes témoigne d'une montée en puissance rapide. Microsoft indique que plus de 80 organisations étaient listées sur le site de fuite en juillet 2026. The Hacker News, citant des données plus récentes d'août 2026, fait état de 96 victimes revendiquées, la majorité situées en Italie, Espagne, Pologne, Turquie et États-Unis.
Les secteurs ciblés couvrent un spectre large : technologies de l'information, mines, transport et logistique, manufacture, hôtellerie, biens de consommation. La présence géographique des victimes s'étend à l'Europe, l'Asie, l'Amérique du Nord et du Sud, ainsi qu'à l'Afrique.
Microsoft a observé que le malware DeadLock est déployé par plusieurs groupes distincts, dont un affilié précédemment lié aux écosystèmes de ransomwares Lynx et INC — deux opérations de chantage qui ont elles-mêmes fait l'objet de démantèlements ou de récentes attentions des forces de l'ordre.
Un chiffrement pensé pour la discrétion
Le rapport de Microsoft plonge en détail dans le chiffreur lui-même, écrit en Rust. Son schéma cryptographique hybride combine Curve25519 (courbe elliptique pour l'échange de clés) avec le chiffrement symétrique XChaCha20 pour le contenu des fichiers. Chaque fichier dispose de sa propre clé symétrique unique, encapsulée via la construction crypto_box de la bibliothèque NaCl. Selon Microsoft, la construction cryptographique est solide et ne présente pas de voie pratique de déchiffrement sans la clé privée de l'attaquant.
Une caractéristique distinctive est le mécanisme de limitation de ressources (resource-aware throttling). DeadLock surveille en continu l'utilisation de la mémoire et du CPU : si la mémoire dépasse 29 % ou si la charge CPU dépasse 70 %, le dispatch de nouveaux fichiers vers le chiffrement est mis en pause. L'objectif est de maintenir la machine suffisamment réactive pour que la victime ne se rende compte de rien pendant l'opération, et pour que les patterns de consommation de ressources ressemblent à une activité normale, échappant ainsi à la détection comportementale.
Pour les gros fichiers, DeadLock applique une stratégie de chiffrement partiel par paliers :
| Taille du fichier | Pourcentage chiffré |
|---|---|
| < 50 Mo | 100 % |
| 50 – 118 Mo | 50 % |
| 118 – 500 Mo | 25 % |
| 500 Mo – 1 Go | 10 % |
| > 1 Go | mode « chunked-full » |
Ce chiffrement intermittent par blocs de 512 octets rend les fichiers inutilisables tout en accélérant considérablement le processus — un compromis crucial pour les bases de données, images de machines virtuelles et sauvegardes.
Geofencing et anti-forensics
Comme de nombreux ransomwares, DeadLock implémente un filtre géographique fondé sur la langue système : il s'auto-supprime immédiatement si la langue détectée correspond à un pays de l'ex-URSS ou de la CEI (Russie, Ukraine, Biélorussie, Kazakhstan, etc.), ainsi que l'Iran, la Syrie, Oman et le Yémen. Un pattern qui suggère fortement que les opérateurs opèrent depuis cette région.
Côté anti-forensique, le malware est méthodique : il vide la corbeille, supprime les clichés instantanés Volume Shadow Copy, désactive Windows Defender et les services de sauvegarde, stoppe les services Hyper-V et Active Directory, et efface tous les journaux d'événements Windows via trois méthodes complémentaires (API classique, manipulation du registre, énumération via wevtapi.dll). Après l'encryption, un script batch supprime le binaire du ransomware lui-même.
Les fichiers chiffrés reçoivent l'extension .dlock, un identifiant propre à la victime, une icône personnalisée, et le fond d'écran est remplacé par un message : « Your infrastructure DeadLocked ».
Rançon en Bitcoin ou Monero
La note de rançon, déposée sous forme de fichier TXT et de la page HTML interactive, exige un paiement en Bitcoin ou Monero. En échange, les opérateurs promettent un décrypteur, la suppression des données volées, des détails sur le vecteur d'accès initial, et même un « rapport de sécurité » avec des recommandations pour éviter de futures attaques — une promesse dont la sincérité reste évidemment invérifiable.
Recommandations de défense
Microsoft recommande aux organisations de renforcer leurs défenses des terminaux via :
- Un antivirus livré depuis le cloud avec protection en mode bloc
- EDR en mode bloc avec protection contre les falsifications
- Investigation et remédiation automatisées
- Controlled Folder Access pour restreindre les modifications de fichiers non autorisées
- Règles de réduction de la surface d'attaque pour bloquer les exécutables non fiables et les mouvements latéraux via PsExec et WMI
L'émergence de DeadLock marque une étape significative dans l'évolution des ransomwares : la blockchain n'est plus seulement un moyen de percevoir des paiements anonymes, elle devient une pièce maîtresse de l'infrastructure opérationnelle, conçue pour résister aux efforts coordonnés de démantèlement. Les forces de l'ordre, qui ont multiplié les saisies d'infrastructures Tor et de domaines ces dernières années, devront désormais s'adapter à un adversaire qui déplace une partie de sa logique de commande sur des registres blockchain immuables et décentralisés.