Les opérateurs de ransomware ont toujours cherché des moyens de maintenir leur infrastructure en vie même après que les chercheurs en sécurité et les forces de l'ordre commencent à la démanteler. Le dernier exemple en date provient d'un groupe appelé DeadLock, qui a étendu son utilisation de la blockchain Polygon et ajouté à sa panoplie d'extorsion l'application de messagerie Session, axée sur la confidentialité. La combinaison d'une blockchain dédiée au ransomware et d'outils de communication chiffrés rend beaucoup plus difficile pour les défenseurs de perturber les opérations du groupe, et signale un changement plus large dans la manière dont les cybercriminels détournent des technologies légitimes de protection de la vie privée à des fins illégitimes.
Comment DeadLock dissimule son infrastructure sur les contrats intelligents de Polygon
L'innovation centrale de DeadLock consiste à stocker des fragments de sa configuration de commande et de contrôle directement sur la blockchain Polygon, un réseau décentralisé normalement utilisé pour des applications légitimes telles que la finance décentralisée et les objets de collection numériques. Les données de la blockchain étant réparties sur des milliers de nœuds indépendants plutôt que de reposer sur un serveur unique, il n'existe aucun point central que la police ou les hébergeurs pourraient saisir pour faire cesser l'opération. Même si un point d'accès au contrat intelligent est bloqué, les données sous-jacentes persistent sur la chaîne et peuvent être récupérées depuis n'importe quel autre point du réseau.
Ce n'est pas une tactique entièrement nouvelle pour ce groupe. Une précédente couverture par vpn.social du dispositif de DeadLock basé sur Polygon détaillait comment le gang avait commencé à expérimenter le stockage des données de configuration C2 sur la chaîne pour survivre aux tentatives de démantèlement. Ce qui a changé depuis, c'est l'ampleur : DeadLock héberge désormais aussi le contenu des fuites – les données volées qu'il menace de publier si les victimes refusent de payer – au moyen d'une infrastructure adossée à la blockchain, ce qui réduit encore sa dépendance à l'égard des hébergements web traditionnels, qui peuvent être signalés et supprimés.
Pourquoi Session et les sites de fuite basés sur une blockchain résistent aux démantèlements par les forces de l'ordre
Parallèlement à son infrastructure blockchain, DeadLock a adopté Session, une application de messagerie chiffrée conçue avec la décentralisation et la protection des métadonnées à l'esprit. Session a été créée pour offrir aux utilisateurs ordinaires un moyen de communiquer sans qu'un serveur central n'enregistre qui parle à qui – une fonctionnalité de vie privée légitime et précieuse pour les journalistes, les militants et les citoyens soucieux de la surveillance. Entre les mains de DeadLock, cette même conception devient un outil pour négocier le paiement des rançons et coordonner l'extorsion sans laisser la piste de communication centralisée sur laquelle les enquêteurs s'appuient habituellement.
Les sites de fuite traditionnels des ransomwares résident sur des serveurs qui peuvent être saisis une fois leur hébergeur ou leur adresse IP identifiés. Le contenu hébergé sur une blockchain contourne entièrement ce problème. Il n'y a pas d'hébergeur unique à assigner, ni un seul serveur à mettre hors ligne. Combinée à des messageries chiffrées et décentralisées pour la communication avec les victimes, cette approche a effectivement éliminé la plupart des points de pression que les forces de l'ordre et les intervenants en cas d'incident utilisaient historiquement pour perturber les opérations de ransomware en cours d'attaque.
L'arme à double tranchant : les outils de confidentialité comme bouclier et comme arme
Ce qui rend cette histoire remarquable n'est pas que DeadLock ait inventé de nouvelles techniques d'attaque, mais qu'il ait détourné des outils conçus pour le bien. Polygon existe pour soutenir des applications transparentes et décentralisées. Session existe pour protéger les conversations privées des gens ordinaires contre la surveillance et la censure. Aucune de ces technologies n'a été conçue pour un usage criminel, mais toutes deux offrent précisément les propriétés de résilience que les groupes de ransomware recherchent.
C'est la même tension que l'on retrouve dans tout l'univers de la confidentialité et de la sécurité : le même chiffrement qui protège les messages d'un dissident face à un régime autoritaire protège aussi les négociations de rançon d'un criminel vis-à-vis des enquêteurs. Ce n'est pas un argument contre les technologies de confidentialité en elles-mêmes, mais cela rappelle que la décentralisation et le chiffrement fort changent la donne pour les défenseurs. Les stratégies de perturbation fondées sur le démantèlement, qui fonctionnaient assez bien contre les infrastructures de ransomware traditionnelles, sont bien moins efficaces face à des opérations qui ne dépendent plus de serveurs centralisés.
Ce que les entreprises peuvent faire pour renforcer leur résilience face à l'extorsion
Étant donné qu'il est désormais beaucoup plus difficile de perturber l'infrastructure de DeadLock après coup, l'accent pratique se reporte sur la prévention et la préparation. Les organisations doivent partir du principe qu'une fois qu'un groupe de ransomware a dérobé des données et établi le contact, il est peu probable que la mise hors ligne de son site de fuite ou le blocage de son canal de communication empêche la tentative d'extorsion. Cela rend les bonnes pratiques de sauvegarde, la segmentation du réseau et la détection rapide des intrusions avant l'exfiltration des données encore plus importantes qu'elles ne l'étaient déjà.
Les plans de réponse aux incidents doivent également tenir compte du fait qu'un site de fuite ne peut pas être simplement signalé et retiré. Les conseillers juridiques, les équipes de communication et les intervenants techniques doivent avoir une compréhension commune de la marche à suivre lorsque l'infrastructure de l'attaquant est effectivement impossible à arrêter par les canaux conventionnels.
Ce que cela signifie pour vous
Pour les utilisateurs individuels, les tactiques de DeadLock sont un bon rappel que les outils qui protègent votre propre vie privée – applications de messagerie chiffrée, services décentralisés et technologie blockchain – sont neutres par conception. Leur valeur dépend entièrement de qui les utilise et dans quel but. Vous n'avez pas besoin d'éviter les outils de confidentialité parce que des criminels les utilisent aussi ; vous devez comprendre que la résilience qu'ils offrent est à double tranchant. Pour les entreprises en particulier, le cas DeadLock souligne que stopper l'infrastructure de communication chiffrée d'un ransomware appuyée sur une blockchain après le début d'une attaque devient de moins en moins réaliste, ce qui augmente l'importance de la prévention.
Points clés à retenir
- Partez du principe que les sites de fuite et les canaux de négociation liés aux groupes de ransomware modernes peuvent ne pas être supprimés par des signalements ou des demandes de fermeture.
- Investissez dans la détection d'intrusion et la surveillance du réseau pour intercepter les attaques avant l'exfiltration des données, car les options de perturbation après une brèche se réduisent.
- Conservez des sauvegardes hors ligne et testées, afin que les demandes de rançon perdent leur pouvoir de levier, quelle que soit la résilience de l'infrastructure de l'attaquant.
- Révisez les plans de réponse aux incidents pour qu'ils traitent les infrastructures d'extorsion décentralisées et hébergées sur blockchain, et non plus seulement les sites de fuite traditionnels sur le web.
L'évolution de DeadLock montre que la lutte contre les ransomwares ne se résume plus à des démantèlements plus rapides. À mesure que les groupes s'appuient davantage sur des infrastructures décentralisées et chiffrées, la résilience doit commencer bien avant qu'une attaque n'atteigne la phase d'extorsion.
