Un regard approfondi sur l'encrypteur de DeadLock basé sur Rust

Une nouvelle analyse technique des chercheurs en sécurité de SOCFortress, publiée sur Medium en août 2026, offre aux défenseurs un aperçu détaillé de DeadLock, un ransomware motivé financièrement qui a discrètement bâti l'une des infrastructures d'extorsion les plus résilientes observées ces dernières années. La recherche examine comment l'encrypteur du malware est construit, pourquoi le groupe a choisi le langage de programmation Rust, et comment DeadLock a conçu ses systèmes de récupération et de communication pour survivre aux démantèlements par les forces de l'ordre et les experts en sécurité.

Rust est devenu un choix de plus en plus populaire parmi les développeurs de ransomware car il compile en binaires rapides et sûrs sur le plan mémoire, notoirement difficiles à rétro-ingénier pour les analystes de sécurité comparés aux malwares écrits dans des langages plus anciens comme C ou Delphi. Pour DeadLock, cela se traduit par un encrypteur qui non seulement verrouille rapidement les fichiers des victimes, mais résiste également au type d'analyse statique sur lequel les chercheurs s'appuient généralement pour créer des signatures de détection ou des outils de récupération. Des rapports antérieurs sur le groupe ont déjà détaillé comment le ransomware DeadLock tue Windows Defender, désactive les sauvegardes et efface les journaux d'événements avant même le début du chiffrement, une combinaison qui prive les victimes à la fois de leur dernière ligne de défense et des preuves médico-légales nécessaires pour reconstituer ce qui s'est passé.

Infrastructure de récupération décentralisée conçue pour survivre aux démantèlements

Ce qui distingue DeadLock de nombreux autres ransomware n'est pas seulement l'encrypteur lui-même, mais aussi l'infrastructure qui l'entoure. Les opérations traditionnelles de ransomware dépendent de serveurs de commande et de contrôle centralisés, de sites de fuite et de portails de négociation, qui peuvent tous être saisis, sinkholés ou mis sur liste noire une fois identifiés par les chercheurs. DeadLock a adopté une approche différente en distribuant des parties essentielles de son opération sur des plateformes décentralisées beaucoup plus difficiles à fermer.

Les chercheurs ont constaté que le groupe stocke des portions de sa configuration de commande et de contrôle directement sur la blockchain, une approche documentée dans des rapports sur la manière dont le ransomware DeadLock utilise la blockchain pour échapper aux démantèlements. Étant donné que les enregistrements blockchain sont immuables et distribués sur des milliers de nœuds, il n'existe aucun serveur unique que les défenseurs peuvent mettre hors ligne. Une analyse connexe relie spécifiquement ce comportement à la blockchain Polygon, que le groupe a utilisée pour ancrer les données de configuration hors de portée des démantèlements d'infrastructure conventionnels.

DeadLock a également déplacé la communication avec les victimes loin des portails de négociation traditionnels du dark web. Le groupe a adopté l'application de messagerie chiffrée Session pour les négociations de rançon, un changement couvert dans des rapports antérieurs sur la manière dont le ransomware DeadLock a ajouté l'application Session pour échapper aux démantèlements. La conception décentralisée et résistante aux métadonnées de Session rend beaucoup plus difficile pour les enquêteurs de tracer les communications jusqu'aux opérateurs, ajoutant une couche supplémentaire de résilience à une opération déjà difficile à perturber.

L'ampleur des dégâts jusqu'à présent

La sophistication technique derrière DeadLock n'est pas théorique. En juillet 2026, l'opération avait déjà été liée à plus de 80 victimes connues, selon le suivi du renseignement sur les menaces cité parallèlement aux recherches plus larges sur le groupe. Les retombées financières et de réputation de ces attaques ont été significatives. L'un des incidents les plus notables a impliqué la société biopharmaceutique Diater, où la violation du ransomware DeadLock a exposé une décennie de dossiers, soulignant comment les tactiques de double extorsion, voler les données avant de les chiffrer, peuvent causer des dommages durables même pour les organisations qui parviennent à récupérer leurs systèmes.

Ce que cela signifie pour vous

Pour les utilisateurs quotidiens, DeadLock est un rappel que les groupes de ransomware se professionnalisent à un rythme rapide. Ce n'est pas un pirate solitaire avec un simple script de chiffrement ; c'est une opération qui utilise des langages de programmation modernes, la technologie blockchain et des applications de messagerie axées sur la confidentialité pour construire quelque chose qui ressemble davantage à une entreprise distribuée et résiliente. Si vous travaillez dans une organisation qui pourrait être ciblée, ou si vous êtes un consommateur dont les données personnelles pourraient être entraînées dans une violation d'entreprise comme celle de Diater, le risque pratique est le même : les données volées peuvent être exposées ou vendues, qu'une rançon soit payée ou non.

La bonne nouvelle est que les fondamentaux de la défense contre les ransomware n'ont pas changé simplement parce que l'infrastructure derrière eux est devenue plus sophistiquée. Les attaquants ont toujours besoin d'une première porte d'entrée, que ce soit par hameçonnage, accès à distance exposé ou logiciels non corrigés, avant qu'un encrypteur puisse s'exécuter.

Points clés à retenir

Maintenez des sauvegardes hors ligne et testées que le ransomware ne peut pas atteindre ou désactiver à distance. Gardez la protection des points de terminaison et les outils de journalisation à jour, car DeadLock cible spécifiquement des outils comme Windows Defender et les journaux d'événements pour effacer ses traces. Méfiez-vous des pièces jointes ou liens non sollicités, car l'accès initial commence encore généralement par de l'ingénierie sociale de base. Si vous recevez une notification indiquant que vos données ont été impliquées dans une violation liée à un groupe de ransomware, traitez-la sérieusement et surveillez les signes d'usurpation d'identité ou d'utilisation abusive des identifiants. Comme le montre le ransomware DeadLock, rester informé de l'évolution de ces groupes est l'une des étapes les plus pratiques que chacun puisse prendre pour protéger ses données.