Un site de fuite sans serveur à saisir
DeadLock est une opération de ransomware écrite en Rust, observée pour la première fois par les chercheurs en sécurité de Microsoft en juillet 2025 et détaillée dans un billet technique publié le 10 août 2026. Comme la plupart des groupes de ransomware actuels, DeadLock pratique la double extorsion : il chiffre les systèmes de la victime et menace de publier les données volées si elle ne paie pas. Microsoft a également observé que l'outil est utilisé par plusieurs groupes, dont un affilié lié aux écosystèmes de ransomware Lynx et INC, ce qui montre que l'infrastructure de DeadLock est déjà réutilisée plutôt qu'exploitée par un seul groupe fermé.
Ce qui distingue DeadLock, c'est l'endroit où résident réellement son site de fuite et son infrastructure de négociation. Au lieu d'un serveur loué chez un hébergeur, DeadLock utilise deux contrats intelligents sur la blockchain Polygon : l'un stocke l'adresse actuelle de son proxy de discussion, l'autre les publications de son blog de fuite. Le navigateur d'un visiteur lit les deux via des requêtes gratuites en lecture seule adressées à des noeuds publics Polygon, sans qu'un portefeuille de cryptomonnaies soit nécessaire, et les opérateurs font tourner six points d'accès publics distincts pour qu'aucun opérateur de noeud ne puisse couper l'accès.
Pourquoi une blockchain résiste plus longtemps qu'un hébergeur
Un site de fuite de ransomware classique constitue par construction un point de défaillance unique : il repose sur un serveur, accessible via un compte d'hébergement ou un point d'entrée Tor, et un hébergeur, un bureau d'enregistrement de domaines ou une action des forces de l'ordre peut le mettre hors ligne en un après-midi. La version de DeadLock basée sur Polygon n'a pas d'équivalent. Le 'site' est un ensemble de transactions enregistrées sur un registre public que des milliers de noeuds validateurs indépendants copient et vérifient dans le monde entier, et le supprimer reviendrait à réécrire un historique de blockchain dont dépendent aussi d'autres participants étrangers à l'affaire, ce qui n'est pas réaliste.
L'évaluation de Microsoft sur cette conception est directe : l'architecture, selon les termes de l'entreprise, augmente probablement la résilience de l'infrastructure de communication, d'hébergement des fuites et de négociation de DeadLock, permettant aux opérateurs de se remettre de tentatives de perturbation tout en maintenant la continuité pour les victimes. C'est un aveu notable de la part de l'éditeur le mieux placé pour en juger, et c'est la preuve la plus claire à ce jour que l'infrastructure des ransomwares évolue délibérément vers des formes que les opérations de démantèlement ne peuvent plus atteindre facilement.
Session supprime le dernier maillon centralisé
Même un site de fuite hébergé sur une blockchain a besoin d'un moyen pour que l'opérateur communique avec la victime, et c'est là que DeadLock ferme sa seconde brèche. Les échanges entre victime et opérateur passent par Session, une messagerie décentralisée acheminée par onion routing, construite sur un réseau en essaim plutôt que sur un serveur central, ce qui garantit l'anonymat aux deux parties sans qu'aucune ne dépende d'une société pouvant être contrainte de livrer des journaux ou de fermer des comptes. DeadLock dérive même l'identité Session de chaque victime de façon déterministe à partir de ses propres identifiants de connexion, si bien qu'aucune étape d'inscription séparée ni aucun registre distinct n'est nécessaire.
Cela compte parce que l'infrastructure de discussion a longtemps été l'un des rares points sur lesquels les forces de l'ordre pouvaient agir. Les canaux Telegram et les serveurs de discussion hébergés sur Tor utilisés par d'autres groupes de ransomware ont des opérateurs ou un hébergement centralisés qui peuvent être mis sous pression, saisis ou bloqués. Session n'a ni l'un ni l'autre. Combiné au site de fuite sur Polygon, DeadLock a en pratique supprimé les deux points de contact centralisés sur lesquels reposaient les précédentes opérations de démantèlement contre des groupes de ransomware.
Chiffrement en Rust et une liste de victimes en croissance rapide
Le chiffreur lui-même est construit avec compétence, pas seulement l'infrastructure qui l'entoure. DeadLock est écrit en Rust et utilise une conception hybride associant la cryptographie à courbe elliptique Curve25519 au chiffrement de flux XChaCha20, générant une paire de clés éphémère et unique pour chaque fichier. Les fichiers chiffrés reçoivent l'extension .dlock. Rien de tout cela n'est exotique en soi, mais combiné à une infrastructure de diffusion et de négociation décentralisée, cela supprime la cible facile habituelle, un serveur saisissable ou un canal de discussion bloquable, sur laquelle les équipes de réponse s'appuyaient dans les affaires précédentes.
La liste des victimes s'allonge rapidement. Microsoft a recensé plus de 80 organisations publiées sur le site de fuite de DeadLock jusqu'en juillet 2026, plus de la moitié en Europe, réparties entre les technologies de l'information, l'exploitation minière, le transport et la logistique, la manufacture, l'hôtellerie et les biens de consommation, entre autres secteurs, en Europe, en Asie, en Amérique du Nord, en Amérique du Sud et en Afrique. Une analyse technique distincte du média The Hacker News avance un chiffre plus élevé, proche de 96, avec les concentrations les plus fortes en Italie, en Espagne, en Pologne, en Turquie et aux États-Unis, un écart qui s'explique probablement par le moment et la méthode de comptage plutôt que par une contradiction.
Ce qui change pour la réponse aux incidents des industriels
La manufacture figure directement parmi les secteurs victimes cités par Microsoft, et ce n'est pas un détail secondaire pour les propriétaires européens. Les sous-secteurs manufacturiers, dont les fabricants de machines, d'électronique et de composants automobiles, sont classés comme entités importantes au titre de la directive NIS2 de l'UE, ce qui signifie que les obligations de notification d'incident et un niveau minimal de gestion du risque cyber s'appliquent déjà avant même qu'une attaque survienne. Un incident de type DeadLock est exactement le scénario pour lequel le périmètre manufacturier de NIS2 a été rédigé, un point que l'ANSSI rappelle régulièrement aux entreprises françaises concernées.
Le changement pratique porte sur le poids qu'un plan de réponse aux incidents doit accorder à la marge de négociation par rapport à la préparation des sauvegardes. Les plans construits sur l'idée que 'nous pouvons faire fermer le site de fuite' ou que 'les forces de l'ordre peuvent perturber leurs communications' supposaient un serveur saisissable et un canal de discussion bloquable, et DeadLock n'a ni l'un ni l'autre. Cela ne rend pas la négociation inutile, mais cela signifie que le filet de sécurité, des sauvegardes propres, testées et hors ligne, associées à un processus de restauration répété, doit porter davantage de poids qu'auparavant, car l'option d'interruption sur laquelle les équipes de réponse comptaient historiquement n'est plus disponible de manière fiable face à cet opérateur.
À lire ensuite: CVSS 9.6 : faille frappe les load balancers 792 fois | Des agents IA autonomes ont attaqué le gouvernement taïwanais
