Le ransomware DeadLock place son site de fuites sur Polygon pour échapper aux takedowns

La plupart des opérations de perturbation de ransomware commencent par le même geste : trouver le site de fuites, saisir le domaine, couper le canal de négociation. DeadLock est conçu pour rendre ce geste presque inutile. L'analyse de l'encrypteur par Microsoft Threat Intelligence décrit une opération dont l'infrastructure de récupération et de fuites repose sur la blockchain Polygon et le messager Session, une architecture que l'entreprise qualifie de « nettement plus résistante aux takedowns et à la censure » que les configurations basées sur des domaines que les défenseurs ont l'habitude de démanteler.

Le chat de récupération sur un smart contract

Lorsque DeadLock chiffre une machine, il dépose deux notes de rançon. La note texte est banale. La seconde, RECOVERY_CHAT.<UID>.html, est une véritable application monopage : un chat chiffré de bout en bout, un blog de fuites de données paginé et un explorateur de fichiers, le tout sans serveur backend.

La configuration vit sur Polygon. Un smart contract stocke l'URL du proxy de chat, un autre stocke les articles du blog avec titres, corps, horodatages, URL d'images et liens de pièces jointes. La page les récupère avec des requêtes eth_call en lecture seule vers des endpoints RPC publics de Polygon, en alternant six d'entre eux pour la redondance. Pas de wallet, pas de transactions.

Cela supprime les éléments dont une équipe de perturbation s'empare habituellement. Pas d'enregistrement de domaine, pas de DNS pour la configuration de base. Pour orienter les victimes vers un nouveau proxy de chat, les opérateurs mettent à jour un champ du contrat.

Session pour le chat, Wasabi pour les fuites

Le chat victime-opérateur passe par le réseau Session, un messager basé sur un essaim et routé en oignon. L'identité de la victime dérive de manière déterministe des identifiants qu'elle saisit sur la page : mêmes identifiants, même paire de clés, aucune inscription, et aucune récupération si ces identifiants sont perdus, comme l'avertit l'interface du chat elle-même. Les messages sont encodés en protobuf, avec padding, signés, scellés et enveloppés dans les requêtes oignon de Session, relayés par un proxy dont l'adresse provient du contrat blockchain.

Les fichiers divulgués suivent la même logique. Les liens de pièces jointes peuvent pointer vers des URI au protocole Wasabi, et l'application HTML embarque un navigateur compatible AWS S3 qui extrait les identifiants de l'URI, construit des requêtes signées AWS4-HMAC-SHA256 et génère des URL de téléchargement pré-signées. Les données volées deviennent consultables sans aucun serveur web à saisir.

Microsoft énumère les limites : la page nécessite toujours un endpoint RPC Polygon joignable, le chat meurt si le proxy s'éteint, et les images ou fichiers peuvent être purgés de l'hébergement CDN ou Wasabi. Mais les données du blog stockées dans le contrat résistent aux takedowns d'hébergement conventionnels, et l'essaim de Session n'a aucun serveur unique à débrancher.

Un encrypteur auto-bridé à la cryptographie solide

L'encrypteur est également le fruit d'une ingénierie soignée. Observé pour la première fois en juillet 2025, DeadLock pratique la double extorsion : il chiffre les systèmes tout en menaçant de publier les données volées. Une boucle de limitation consciente des ressources maintient la machine réactive pendant le chiffrement, avec un thread de surveillance qui interroge la mémoire et le CPU avant chaque envoi de fichier et marque une pause via un minuteur waitable lorsque l'utilisation de la mémoire dépasse 29 % ou que l'inactivité du CPU tombe sous 30 %. Cela limite à la fois les blocages visibles par l'utilisateur et le bruit de détection comportementale d'un CPU saturé.

Il refuse également de s'exécuter là où ses opérateurs se trouvent probablement. La configuration contient une liste d'exclusion de langues couvrant le russe, l'ukrainien, le biélorusse, d'autres langues parlées dans les anciens pays soviétiques et liés à la CEI, ainsi que plusieurs langues du Moyen-Orient. Une correspondance avec la langue du système ou de l'interface déclenche une auto-suppression immédiate avant tout chiffrement, un schéma que Microsoft estime courant chez les opérateurs de ransomware présumés opérer depuis ces régions.

La cryptographie résiste à l'examen. Les fichiers sont chiffrés avec XChaCha20, les clés étant enveloppées via Curve25519 ECDH à l'aide de la construction crypto_box de NaCl et d'une nouvelle paire de clés éphémères par fichier. Le chiffrement s'adapte à la taille du fichier :

Taille du fichier	Chiffrement
Moins d'environ 50 Mo	100 %
À partir d'environ 50 Mo	50 %, morceaux répartis
À partir d'environ 118 Mo	25 %, morceaux répartis
À partir d'environ 500 Mo	10 %, morceaux répartis
Au-dessus d'environ 1 Go	Mode chunked-full

L'approche par paliers détruit les bases de données et les images de machines virtuelles en une fraction du temps qu'un chiffrement intégral prendrait. Le verdict de Microsoft est sans détour : la conception « n'offre pas de voie pratique vers le déchiffrement sans la clé privée de l'attaquant ».

Sur le plan opérationnel, DeadLock n'a pas chômé. Depuis juillet 2025, les opérateurs ont publié plus de 80 organisations sur leur blog de fuites, dont plus de la moitié en Europe. La liste des victimes couvre l'informatique, l'exploitation minière, le transport et la logistique, la fabrication, l'hôtellerie et les biens de consommation en Asie, dans les Amériques et en Afrique également. Microsoft indique que plusieurs groupes déploient l'encrypteur, dont un affilié des écosystèmes de ransomware Lynx et INC.

Ce qui change pour les défenseurs

C'est la donne du takedown qui a changé. Si un groupe peut reconstruire son infrastructure orientée victimes en mettant à jour un contrat sur une chaîne publique, la tactique du sinkhole-et-attente cesse d'être une frappe décapitante. Les recommandations de Microsoft misent plutôt sur le blocage : protection fournie par le cloud, EDR en mode blocage, protection contre la falsification, perturbation automatique des attaques, accès contrôlé aux dossiers strict et règles de réduction de la surface d'attaque contre PSExec et WMI.

Cette évolution correspond à un schéma mis en évidence dans notre propre analyse de la vague d'extorsion de 2025, qui constatait que les affiliés de ransomware-as-a-service gagnaient entre 300 000 et 900 000 dollars par an et que les infrastructures critiques représentaient 41 % des incidents, contre 28 % en 2023. DeadLock est ce à quoi ressemble cette industrialisation une fois que la résistance aux takedowns devient une exigence de conception.

Aucune des pièces n'est exotique. Polygon, Session et Wasabi sont des services publics. Ce qui est nouveau, c'est l'assemblage. Attendez-vous à ce que d'autres groupes copient le modèle : la conception fonctionne, et le playbook du takedown n'a pas encore rattrapé son retard.