Le ransomware DeadLock utilise la blockchain pour échapper aux démantèlements

Comment DeadLock utilise la blockchain pour résister aux démantèlements

Les groupes de ransomware dépendent depuis longtemps de serveurs, de domaines et d'hébergeurs que les chercheurs en sécurité et les forces de l'ordre peuvent finir par saisir ou mettre sur liste noire. Le groupe de ransomware DeadLock tente de supprimer ce point faible de l'équation. Selon des informations récentes, DeadLock stocke désormais des informations d'infrastructure critiques, telles que des adresses de proxy ou de communication, sur une blockchain publique plutôt que sur des serveurs pouvant être mis hors ligne par des moyens classiques.

En ancrant ces données dans un registre décentralisé, DeadLock rend beaucoup plus difficile pour les défenseurs de perturber les opérations par une seule action coordonnée. Les démantèlements traditionnels reposent sur l'identification d'un point de défaillance central : un hébergeur, un bureau d'enregistrement de domaines ou une adresse IP pouvant être sinkholée. Lorsque ces informations se trouvent sur une blockchain, il n'existe aucune entreprise ou entité unique à qui signifier une demande légale, et aucun serveur unique à saisir. Les données persistent sur un réseau distribué de nœuds que personne ne contrôle individuellement, ce qui est exactement la propriété de résilience que la technologie blockchain a été conçue pour fournir, désormais réutilisée au service d'une infrastructure criminelle.

Ce n'est pas la seule mesure prise par le groupe en faveur de la décentralisation et de l'évasion. DeadLock a également été observé en train d'ajouter l'application de messagerie Session à son arsenal afin de maintenir les communications avec les victimes même lorsque d'autres canaux sont perturbés. Ensemble, ces choix indiquent une stratégie délibérée : intégrer de la redondance à chaque couche de l'opération afin qu'aucun effort de perturbation isolé ne puisse tout arrêter.

Pourquoi les tactiques traditionnelles de perturbation des ransomwares perdent du terrain

Pendant des années, le manuel standard de lutte contre l'infrastructure des ransomwares a reposé sur la coopération entre chercheurs en sécurité, hébergeurs et forces de l'ordre pour identifier et démanteler les serveurs de commande et de contrôle, les portails de négociation et les sites de divulgation. Cette approche a plutôt bien fonctionné contre les groupes qui s'appuient sur un hébergement web centralisé, car ces services sont en fin de compte soumis à la juridiction légale et aux conditions d'utilisation des fournisseurs.

Une infrastructure basée sur la blockchain contourne une grande partie de ce levier. Il n'y a pas d'hébergeur à presser ni de bureau d'enregistrement central à avertir. Même si les défenseurs identifient les adresses blockchain utilisées par DeadLock, le réseau sous-jacent continue de fonctionner malgré tout. Cela renvoie la charge aux défenseurs, qui doivent se concentrer sur d'autres goulets d'étranglement, comme les méthodes de distribution du malware, les flux de paiement ou les terminaux où le chiffrement se produit réellement, au lieu d'attendre qu'un démantèlement unique et net de l'infrastructure résolve le problème.

Cela signale aussi une tendance plus large qui mérite d'être suivie. À mesure que les technologies décentralisées deviennent plus faciles à utiliser et plus largement disponibles, d'autres opérateurs de ransomware expérimenteront probablement des techniques de résilience similaires, ce qui signifie que les défenseurs ne doivent pas considérer qu'il s'agit d'une tactique ponctuelle limitée à un seul groupe.

Ce que cela signifie pour les organisations et les personnes à risque

Pour la plupart des organisations, l'impact pratique de l'infrastructure blockchain de DeadLock tient moins à la technologie elle-même qu'à ce qu'elle représente : les groupes de ransomware deviennent plus difficiles à perturber de l'extérieur, ce qui signifie que la prévention et le confinement à l'intérieur de votre propre réseau comptent plus que jamais. Attendre que les forces de l'ordre ou les chercheurs démantèlent l'infrastructure d'un groupe n'est plus un filet de sécurité fiable, si cela l'a jamais été.

Cela est particulièrement pertinent pour les petites et moyennes entreprises qui peuvent supposer que les efforts de perturbation des ransomwares finiront par neutraliser les menaces à leur place. L'approche de DeadLock rappelle que la responsabilité de la résilience incombe avant tout aux organisations ciblées, et non à l'écosystème de démantèlement qui tente de rattraper son retard après coup.

Mesures défensives : isolation du réseau, VPN et réduction de la surface d'attaque

La bonne nouvelle, c'est que les fondamentaux de la défense contre les ransomwares n'ont pas changé simplement parce que l'infrastructure dorsale d'un groupe est plus difficile à démanteler. Quelques mesures pratiques restent très efficaces :

• Segmentez votre réseau afin qu'un seul appareil ou compte compromis ne puisse pas atteindre tous les systèmes. L'isolation du réseau limite la propagation d'un ransomware même après un accès initial.
• Utilisez un VPN pour l'accès à distance plutôt que d'exposer le protocole de bureau à distance ou d'autres ports de gestion directement sur Internet. Réduire la surface d'attaque publique complique la recherche d'un point d'entrée pour les attaquants.
• Conservez des sauvegardes hors ligne et testées afin que la récupération des données ne dépende pas d'une négociation avec les attaquants ni de l'attente d'un démantèlement de l'infrastructure.
• Appliquez des correctifs et surveillez les terminaux de manière rigoureuse, car un ransomware nécessite encore généralement une première prise de pied par hameçonnage, services exposés ou logiciels non corrigés avant qu'un backend basé sur la blockchain n'entre en jeu.

Aucune de ces mesures ne nécessite d'outils exotiques, mais elles exigent de la régularité et un suivi, ce qui est souvent là où les organisations échouent.

Conclusion

L'utilisation par DeadLock d'une infrastructure blockchain pour résister aux démantèlements montre que les opérateurs de ransomware s'adaptent plus vite que les outils traditionnellement utilisés pour les combattre. Cette approche d'infrastructure blockchain ne change pas ce qui arrête réellement une attaque : une segmentation réseau solide, un accès à distance restreint et des sauvegardes fiables. Les organisations qui traitent ces fondamentaux comme des priorités permanentes, plutôt que comme des projets ponctuels, seront bien mieux positionnées, quelle que soit la résilience de l'infrastructure d'un groupe donné.