DeadLock, un groupe de ransomware observé depuis 2025, chercherait à rendre ses opérations d’extorsion plus difficiles à interrompre. D’après les analyses relayées par des équipes de renseignement, l’acteur combine des mécanismes décentralisés avec une approche cryptographique et des méthodes de manipulation système, dans le but de conserver la continuité des communications avec les victimes et l’accès aux données exfiltrées.
Ce qui retient particulièrement l’attention, ce sont ses contrats Polygon utilisés pour organiser une infrastructure de proxy et un canal de publication lié aux fuites. Résultat : au lieu de dépendre uniquement de domaines ou d’un serveur unique, la logique de routage peut évoluer sans que les points d’entrée côté victime ne soient constamment modifiés.
Une résilience accrue côté communication et fuite
Selon Microsoft Threat Intelligence, DeadLock exploite une “écosystème de récupération” associant un réseau de messagerie à des services adossés à la blockchain. L’idée est de fournir aux victimes des moyens de contact et de consultation des ressources nécessaires tout au long du cycle d’extorsion.
Les observations indiquent également que le ransomware n’aurait pas été déployé uniquement par un acteur isolé : plusieurs entités, dont des affiliés liés à d’autres familles, auraient été impliquées dans des campagnes distinctes. Ce contexte suggère que le modèle d’infrastructure peut être réutilisé ou maintenu même lorsque l’exécution opérationnelle change.
Double extorsion et pression via publication
DeadLock a été repéré pour la première fois en juillet 2025 et appliquerait une stratégie de double extorsion. D’une part, le groupe chiffre l’environnement de la victime. D’autre part, il menace de publier des données exfiltrées si la somme demandée n’est pas versée.
Les chiffres disponibles au moment des analyses récentes font état de 96 victimes revendiquées. La répartition géographique mentionnée comprend notamment l’Italie, l’Espagne, la Pologne, la Türkiye, ainsi que les États-Unis.
Pour limiter l’identification et la traçabilité, certaines campagnes seraient restées moins visibles que d’autres variantes, notamment en l’absence d’affiliation ouverte clairement documentée et de site dédié aux fuites (DLS) au moment où l’analyse a été menée.
Chiffrement, extensions et messages côté utilisateur
Sur les systèmes touchés, les analyses indiquent des marqueurs techniques distinctifs. Les fichiers seraient chiffrés avec une extension du type .dlock, tandis que des icônes seraient modifiées via un fichier .ico écrit sur le disque.
En parallèle, l’écran de la victime afficherait un message lié au verrouillage de l’infrastructure, invitant l’utilisateur à ouvrir la note de rançon. Ce type de communication vise à cadrer le comportement de la victime et à orienter sa “réponse” vers les canaux prévus par les attaquants.
Modèle de chiffrement sélectif et conception cryptographique hybride
DeadLock adopte un chiffrement sélectif : certaines répertoires, extensions et noms de fichiers seraient exclus du processus de chiffrement. Cette approche peut aider à préserver des composants nécessaires au fonctionnement du système, tout en réduisant l’impact “visuel” de l’attaque.
Côté cryptographie, le ransomware combinerait Curve25519 (courbes elliptiques) avec le chiffrement par flot XChaCha20 pour la phase de chiffrement des données. Cette association vise à fournir à la fois robustesse et efficacité opérationnelle.
Note HTML interactive : un chat chiffré et un accès aux fuites
Une particularité importante concerne la création d’une note en format HTML (notamment un fichier du type RECOVERY_CHAT.<UID>.html) déposée dans les racines des lecteurs et sur le Bureau. Contrairement à une simple note texte, cette page HTML se comporterait comme une application web autonome.
Les informations rapportées indiquent que cette page intègre une interface de discussion chiffrée de bout en bout, un blog de fuites paginé et un navigateur de fichiers. Et surtout, l’approche limiterait le besoin d’un serveur applicatif “classique” à l’arrière.
L’objectif serait de permettre des échanges directs entre l’opérateur et la victime, en alternative au téléchargement d’une application de messagerie. Dans ce modèle, la page HTML interagirait avec un serveur agissant comme proxy, dont l’adresse serait gérée de façon décentralisée.
Le rôle des contrats Polygon
Le point clé est l’utilisation de contrats Polygon pour orchestrer une rotation d’adresses de proxy. Concrètement, du code JavaScript au sein de la page HTML interrogerait des contrats afin d’obtenir l’adresse courante du proxy. Les analyses décrivent ce mécanisme comme une façon de rendre l’infrastructure plus résistante aux opérations de censure et de retrait.
Plutôt que de modifier en permanence des domaines visibles côté victime, l’opérateur pourrait actualiser l’URL de proxy “en coulisses” via le mécanisme décentralisé. Cela complique les efforts visant à neutraliser les points d’accès, car l’adressage peut changer sans que le dispositif côté victime doive être reconfiguré manuellement à chaque itération.
Le modèle est présenté comme une évolution par rapport aux canaux de communication habituels du ransomware, notamment parce qu’il peut conserver une continuité même après certains types de perturbations.
Blog de fuite hébergé via blockchain et lecture sans serveur web
La même logique d’infrastructure décentralisée est aussi associée à un blog de données lié aux contenus exfiltrés. Les contenus seraient accessibles via une interaction avec une couche de distribution s’appuyant sur des protocoles qui permettent de naviguer les informations sans exiger un serveur web traditionnel.
Dans les éléments mentionnés, deux adresses de portefeuille associées à l’acteur sont citées : l’une stockant l’information relative à l’URL de proxy, l’autre liée aux billets de blog. Le but n’est pas uniquement de “publier”, mais de conserver un chemin d’accès stable à la consultation des fuites, même si des serveurs classiques disparaissent.
Geofencing et mécanismes d’évasion
Au-delà de l’aspect blockchain, DeadLock inclurait des techniques destinées à éviter certains environnements. Un géofencing basé sur la langue ou le pays serait utilisé pour réduire les exécutions dans des contextes associés à des régions particulières, avec des exclusions mentionnées pour des pays liés à l’espace post-soviétique et à une partie du Moyen-Orient.
Le ransomware intégrerait aussi un mécanisme de temporisation “aware” des ressources. Pendant le chiffrement, il viserait à préserver la réactivité du système : le processus serait mis en pause si la mémoire dépasserait un seuil (indiqué à 29%) ou si la charge CPU dépasserait 70%. Ce type de contrôle peut rendre l’activité plus discrète et retarder l’identification.
Enfin, pour compliquer la collecte d’indices, l’attaque ferait un effacement systématique des traces. Les analyses rapportent une suppression de journaux, et une désactivation du logging via des manipulations dans la base de registre afin d’empêcher l’enregistrement de nouveaux événements.
Arrêt de services, suppression des clichés et nettoyage après chiffrement
Sur Windows, le code de verrouillage s’appuierait sur un script PowerShell. Ce script viserait l’arrêt de services ne figurant pas sur une liste d’autorisation, et empêcherait leur démarrage automatique après redémarrage.
Le processus inclurait également la suppression des Volume Shadow Copies — des instantanés pouvant faciliter la restauration — puis l’effacement du script lui-même. Après chiffrement réussi, un script batch serait créé pour supprimer l’exécutable et retirer le binaire du disque.
Pourquoi les contrats Polygon changent le jeu pour la disruption
Dans la description fournie, l’approche avec contrats Polygon est présentée comme un facteur de résilience face aux efforts de retrait. En substance, elle permettrait de maintenir la communication et l’accès aux contenus de fuite en adaptant l’infrastructure de proxy via une couche décentralisée.
Pour les équipes chargées de la réponse et de la neutralisation, ce type de design implique un défi supplémentaire : il ne suffit plus de “couper un serveur”. L’adressage et la distribution peuvent être mis à jour via des mécanismes blockchain, réduisant l’impact direct de certaines actions de fermeture ponctuelles.
Ce que les organisations peuvent retenir
Au-delà de la sophistication technique, l’affaire met en lumière un axe clair : les opérateurs de ransomware cherchent à industrialiser des canaux de contact et de publication capables de survivre aux perturbations. L’association entre modèles décentralisés et composants d’évasion (effacement de journaux, contrôle de ressources, suppressions de copies) rend l’attaque plus durable.
Pour renforcer la posture défensive, les organisations devraient se concentrer sur la détection précoce, la réduction de la surface d’exécution, et la préparation d’un plan de réponse qui prend en compte des scénarios où les canaux de négociation et de fuite ne dépendent pas d’un seul point de défaillance.
En résumé : DeadLock chercherait à augmenter la résilience de son extorsion en combinant des pratiques d’ingénierie logicielle et d’infrastructure décentralisée, avec les contrats Polygon comme brique centrale pour la rotation de proxy et l’accès à des contenus liés aux fuites.
Source: https://thehackernews.com/2026/08/deadlock-ransomware-uses-polygon-smart.html
