DeadLock exploite Polygon pour rendre le ransomware plus difficile à neutraliser

Une opération de double extorsion visant 96 victimes

DeadLock est un ransomware détecté pour la première fois en juillet 2025. Le groupe chiffre les environnements Windows et menace de publier les données exfiltrées.

Au cours du mois, il a revendiqué 96 victimes, principalement en Italie, en Espagne, en Pologne, en Türkiye et aux États-Unis. La première série de cas n’a été identifiée qu’à la fin du mois de mai 2026.

Microsoft Threat Intelligence a observé ce malware utilisé par plusieurs acteurs, notamment des affiliés associés à Lynx et au ransomware INC. Une analyse publiée en janvier décrivait DeadLock comme relativement moins exposé que d’autres groupes : il ne semblait pas lié à des programmes d’affiliation connus et n’utilisait pas de site public traditionnel pour publier les données volées.

Fonctionnement du malware sur les systèmes Windows

Les fichiers chiffrés reçoivent l’extension .dlock. DeadLock remplace également les icônes par des fichiers .ico personnalisés et modifie le fond d’écran pour afficher le message « Your infrastructure DeadLocked ».

Le chiffrement repose sur Curve25519 et XChaCha20, mais il n’est pas appliqué de manière indiscriminée : le malware exclut certains répertoires, extensions et noms de fichiers. Pour réduire la visibilité de l’attaque, il limite la consommation des ressources et interrompt son activité lorsque l’utilisation de la mémoire dépasse 29 % ou que la charge CPU excède 70 %.

La variante Windows peut utiliser PowerShell pour :

• arrêter les services non autorisés ;
• empêcher leur redémarrage ;
• supprimer les Volume Shadow Copies ;
• effacer le script utilisé.

DeadLock modifie également le Registre Windows afin de désactiver la journalisation des événements, puis supprime les journaux. Après le chiffrement, un fichier batch efface le binaire du ransomware avant de se supprimer lui-même.

AnyDesk a été observé comme outil de contrôle à distance des hôtes compromis. Aucune version logicielle précise n’a été communiquée.

Chat, négociation et fuites hébergés sur Polygon

La caractéristique la plus notable réside dans l’infrastructure décentralisée. Le malware dépose dans les répertoires racine des disques et sur les bureaux le fichier RECOVERY_CHAT.<UID>.html.

Il s’agit d’une application web autonome qui comprend :

• un chat interactif chiffré de bout en bout ;
• un blog paginé destiné à publier les données ;
• un navigateur de fichiers ;
• aucun backend traditionnel exposé à la victime.

Le code JavaScript intégré interagit avec des smart contracts sur le réseau Polygon afin de récupérer et de faire tourner les adresses des serveurs proxy. Les opérateurs peuvent ainsi modifier les URL sans mettre à jour les domaines affichés aux victimes ni leurs enregistrements DNS.

Le blog utilisé pour publier les données volées est lui aussi hébergé sur la blockchain Polygon et chargé depuis la page de récupération. Cette architecture complique la censure, les opérations de takedown et le blocage des domaines.

La note de rançon impose l’utilisation de Session pour communiquer et demande un paiement en Bitcoin ou en Monero. Avant le paiement, les opérateurs peuvent prouver qu’ils détiennent la clé en renvoyant un fichier déchiffré. Certaines notes promettent également un rapport technique sur l’intrusion ainsi que des recommandations pour éviter de nouvelles attaques.

Indicateurs utiles pour la réponse à incident

Aucun correctif ni procédure défensive spécifique n’a été indiqué. Les éléments à rechercher comprennent :

• les fichiers portant l’extension .dlock ;
• les fichiers .ico inhabituels et le fond d’écran « Your infrastructure DeadLocked » ;
• RECOVERY_CHAT.<UID>.html ;
• des exécutions suspectes de PowerShell ;
• la suppression des Volume Shadow Copies ;
• des modifications du Registre désactivant les journaux ;
• une utilisation inattendue d’AnyDesk ;
• la suppression des binaires après le chiffrement.

L’impact est important : outre l’indisponibilité des fichiers, l’attaque peut exposer des données sensibles, détruire des copies utiles à la restauration et réduire les éléments disponibles pour l’analyse forensique. La décentralisation ne rend pas le ransomware invulnérable, mais elle permet de maintenir plus facilement les communications opérationnelles, même après le blocage de serveurs ou de domaines traditionnels.