Une opération de ransomware connue sous le nom de DeadLock a trouvé un nouveau moyen de maintenir son infrastructure d'attaque en vie : dissimuler des parties de sa configuration de commande et contrôle (C2) sur la blockchain Polygon. Le groupe, qui a déjà revendiqué plus de 80 victimes dans le monde via la double extorsion, utilise les mêmes principes de décentralisation qui animent les cryptomonnaies pour rendre ses opérations plus difficiles à stopper par les défenseurs et les forces de l'ordre.

Comment DeadLock dissimule son infrastructure de commandement sur Polygon

Les ransomwares traditionnels reposent sur des serveurs que les chercheurs en sécurité et les forces de l'ordre peuvent identifier, saisir ou rediriger une fois découverts. Les opérateurs de DeadLock semblent contourner cette vulnérabilité en stockant les données de configuration C2 directement sur la blockchain Polygon, un réseau public généralement utilisé pour les transactions en cryptomonnaie et les applications décentralisées.

En inscrivant les détails de configuration dans des transactions blockchain ou des contrats intelligents, le malware peut récupérer des instructions à partir d'une source qui n'est hébergée sur aucun serveur unique. Il n'y a pas de domaine à saisir ni d'hébergeur à contraindre de débrancher. Tant que le réseau Polygon lui-même fonctionne, les données sur lesquelles DeadLock s'appuie restent accessibles. Cela reflète une tendance plus large signalée par les équipes de sécurité dans d'autres familles de malwares qui expérimentent avec des infrastructures on-chain, mais son apparition dans une campagne de ransomware active souligne la rapidité avec laquelle ces techniques se propagent au-delà de la recherche de preuve de concept.

Cette approche s'appuie sur des tactiques que DeadLock a déjà montré être prêt à utiliser de manière agressive. Comme détaillé dans un précédent rapport sur la façon dont DeadLock ransomware tue Defender, les sauvegardes et les journaux d'événements, le groupe associe des méthodes d'intrusion classiques à une attention délibérée visant à éliminer tout ce qui pourrait aider une victime à récupérer ou les enquêteurs à retracer l'attaque.

Pourquoi les C2 basés sur la blockchain sont plus difficiles à démanteler que les serveurs traditionnels

Les démantèlements de ransomwares reposent généralement sur l'identification et la perturbation de points de défaillance centralisés : un serveur de commandement, un bureau d'enregistrement de domaines, un hébergeur disposé à coopérer. Les blockchains publiques n'offrent pas ce genre de cible unique. Polygon, comme d'autres réseaux blockchain, est distribué sur des milliers de nœuds indépendants sans opérateur central qui puisse simplement supprimer une transaction ou bloquer une adresse.

Cette résilience est précisément ce qui rend les registres décentralisés attractifs pour les attaquants cherchant à survivre aux efforts de répression. Même si les chercheurs en sécurité identifient le contrat ou l'adresse de portefeuille spécifique utilisé par DeadLock, supprimer ces données de la blockchain n'est pas réaliste une fois qu'elles ont été enregistrées. Les enquêteurs peuvent surveiller l'activité et éventuellement tracer les portefeuilles associés, mais ils ne peuvent pas actionner les mêmes leviers que contre un serveur loué dans un centre de données. Cela déplace l'équilibre du combat : les défenseurs doivent davantage se concentrer sur la détection du comportement du malware sur les systèmes infectés plutôt que de compter sur la perturbation de sa chaîne d'approvisionnement d'infrastructure.

Qui est ciblé et ce que la double extorsion signifie pour les victimes

Le nombre de victimes de DeadLock, désormais plus de 80 organisations dans le monde, reflète un modèle de double extorsion devenu standard parmi les groupes de ransomware motivés par l'argent. Le malware chiffre les fichiers de la victime, coupant l'accès aux systèmes critiques, tandis que les opérateurs menacent simultanément de divulguer publiquement les données volées si aucune rançon n'est payée. Cela donne aux victimes deux raisons distinctes de payer : rétablir les opérations et éviter une exposition de données préjudiciable.

Les conséquences de cette deuxième menace se sont concrétisées dans un cas couvert précédemment sur ce site, où une violation de données par le ransomware DeadLock a exposé une décennie d'enregistrements chez Diater, une entreprise biopharmaceutique dont les données de santé sensibles ont été mises en danger. Cet incident illustre comment les campagnes de double extorsion ne s'arrêtent pas à la décision de payer ou non ; les données divulguées peuvent circuler longtemps après la résolution de l'attaque, affectant des patients, des clients ou des partenaires qui n'ont joué aucun rôle direct dans la violation.

Ce que cela signifie pour vous

La plupart des lecteurs ne seront pas des cibles directes d'un groupe de ransomware comme DeadLock, mais les répercussions de ces attaques touchent les gens ordinaires dont les données personnelles se trouvent dans les systèmes des organisations ciblées. Une configuration C2 résistante à la blockchain ne change pas ce qu'il advient de votre côté en cas de violation : vos informations peuvent toujours se retrouver exposées dans une fuite, quelle que soit la sophistication de l'infrastructure dorsale de l'attaquant.

Pour les entreprises, la leçon est plus directe. Les groupes de ransomware empruntent des techniques de résilience au monde de la crypto précisément parce que les démantèlements sont devenus un véritable moyen de dissuasion. Cela signifie que le combat doit de plus en plus se dérouler en amont, au moment de l'intrusion et du chiffrement, plutôt que de compter sur la perturbation de l'infrastructure après coup.

Défenses pratiques contre les ransomwares comme DeadLock

Quelques fondamentaux importent toujours plus qu'un produit de sécurité unique. Conservez des sauvegardes hors ligne et immuables, que les ransomwares ne peuvent pas atteindre ni supprimer en même temps que vos systèmes principaux. Segmentez les réseaux pour qu'un seul terminal compromis ne puisse pas entraîner le chiffrement complet des lecteurs partagés et des serveurs. Maintenez à jour les outils de détection des terminaux et surveillez les comportements associés à la désactivation des logiciels de sécurité ou à l'effacement des journaux d'événements, un schéma que DeadLock a utilisé avant de prendre le contrôle total d'un réseau.

L'émergence de la résistance au démantèlement des C2 de ransomware par la blockchain nous rappelle que les attaquants s'adaptent plus vite que n'importe quel outil défensif ne peut suivre. Une sécurité en couches, des sauvegardes testées et une détection rapide restent le moyen le plus fiable de limiter les dégâts lorsque la prévention seule ne suffit pas. Se tenir informé de la manière dont des groupes comme DeadLock opèrent, et prendre dès maintenant des mesures de protection de base, reste la façon la plus pratique de réduire votre exposition à la prochaine violation qui fera la une des journaux.