Microsoft Threat Intelligence a présenté une analyse technique du rançongiciel DeadLock, une opération motivée par des considérations financières qui combine le chiffrement des environnements des victimes et la menace de publier les données volées, tout en utilisant une infrastructure décentralisée pour soutenir la négociation, les communications et la publication des fuites. Microsoft estime que cette conception pourrait accroître la résilience de certaines parties de l’infrastructure opérationnelle face aux tentatives de perturbation, car le logiciel ne dépend pas entièrement d’un seul domaine ou serveur traditionnel.
DeadLock est apparu pour la première fois en juillet 2025, et Microsoft a observé son utilisation par plusieurs groupes, dont un acteur affilié aux écosystèmes de rançongiciels Lynx et INC. En juillet 2026, les opérateurs avaient publié plus de 80 organisations compromises sur le site de fuite de données connu sous le nom de DeadLock blog, et plus de la moitié des victimes annoncées se trouvaient en Europe. L’opération a été observée dans des organisations des secteurs des technologies de l’information, de l’exploitation minière, du transport, de la logistique, de la fabrication, de l’hôtellerie, des biens de consommation et d’autres secteurs, en Europe, en Asie, en Amérique du Nord, en Amérique du Sud et en Afrique.
Préparation de l’attaque et neutralisation des protections
Le chiffreur déchiffre des paramètres intégrés à l’aide de XOR et d’une clé de 8 octets, puis vérifie la langue par défaut et la langue de l’interface utilisateur du système. Si l’une d’elles correspond à la liste d’exclusion, le logiciel se supprime et s’arrête sans chiffrer. Ce comportement indique l’utilisation d’un geofencing fondé sur la langue ou le pays afin d’éviter les environnements associés aux anciens États soviétiques et à la Communauté des États indépendants, ainsi qu’à certains pays du Moyen-Orient.
Le mécanisme d’exécution varie selon les paramètres de la ligne de commande et le niveau de privilèges. Lorsqu’un chemin de répertoire précis est fourni, le logiciel ignore les étapes de préparation et passe directement au chiffrement des fichiers accessibles. En revanche, lorsqu’il est exécuté sans paramètres et sans privilèges élevés, il tente de créer un fichier .cmd au nom aléatoire et de l’exécuter à l’aide de ShellExecuteW et de RunAs afin d’afficher une invite du contrôle de compte d’utilisateur, en réessayant jusqu’à 10 fois si l’utilisateur refuse la demande. Selon l’analyse dynamique de l’échantillon, le redémarrage avec des privilèges élevés n’a pas réussi, ce qui signifie que certaines étapes de préparation peuvent nécessiter l’exécution de l’échantillon depuis un contexte disposant déjà des privilèges requis.
Après avoir obtenu les privilèges d’administrateur, DeadLock active des privilèges tels que SeDebugPrivilege, SeRestorePrivilege, SeBackupPrivilege, SeTakeOwnershipPrivilege, SeAuditPrivilege et SeSecurityPrivilege. Il vide également la Corbeille sur tous les lecteurs et arrête les processus et services susceptibles d’entraver le chiffrement ou de faciliter la récupération, notamment Windows Defender, les services de sauvegarde et de Volume Shadow Copy, ainsi que certains services Hyper-V et Active Directory, en plus des outils de protection, de sauvegarde dans le cloud et d’accès à distance.
Le logiciel tente d’effacer les traces de la compromission en vidant les canaux des journaux d’événements, en désactivant leur journalisation future et en limitant les droits d’accès à ces journaux. Cela concerne les canaux standard et ceux personnalisés pour d’autres applications, au moyen d’interfaces de programmation traditionnelles et modernes ainsi que de modifications du registre.
Un chiffrement équilibrant rapidité et réactivité du système
DeadLock utilise un mécanisme visant à limiter la consommation de ressources pendant le chiffrement. Il surveille la mémoire et le taux d’inactivité du processeur avant d’envoyer chaque nouveau fichier aux threads de chiffrement ; l’envoi est temporairement suspendu si l’utilisation de la mémoire dépasse 29 % ou si la charge du processeur dépasse 70 %, puis reprend lorsque l’utilisation diminue. Ce mécanisme n’interrompt pas les fichiers dont le chiffrement a commencé ; il réduit le parallélisme et contribue à maintenir la réactivité du système, ce qui peut réduire le risque d’attirer l’attention de l’utilisateur en raison d’un gel de l’appareil ou d’une hausse inhabituelle de la consommation.
Le logiciel crée des threads pour traiter les répertoires à un rythme égal à deux fois le nombre de cœurs du processeur et renomme les fichiers en ajoutant un identifiant et l’extension .dlock. Sa conception cryptographique combine Curve25519 et XChaCha20 : une clé et un nonce différents sont générés pour chaque fichier, puis l’échange de clés Curve25519 est utilisé pour encapsuler la clé de chiffrement symétrique. Selon Microsoft, la conception cryptographique n’offre pas de moyen pratique de déchiffrer les fichiers sans la clé privée de l’attaquant.
DeadLock applique également une politique de chiffrement fondée sur la taille du fichier. Les fichiers volumineux peuvent être chiffrés partiellement par blocs de 512 octets répartis sur des intervalles, ce qui rend le fichier inutilisable tout en réduisant le temps nécessaire à l’opération. Après le chiffrement, le logiciel ajoute une queue structurée contenant les données nécessaires au déchiffrement, la clé publique éphémère, un identifiant aléatoire du fichier et des indicateurs précisant la méthode de chiffrement utilisée.
Une infrastructure de récupération décentralisée
Le logiciel dépose des notes de rançon textuelles dans les répertoires chiffrés, ainsi que des fichiers HTML à la racine des lecteurs et dans les dossiers du bureau. Le fichier RECOVERY_CHAT.<UID>.html fonctionne comme une application autonome intégrant une conversation chiffrée de bout en bout, un site de fuite de données et un navigateur de fichiers, sans dépendre d’un serveur principal traditionnel.
DeadLock stocke les données de configuration et le contenu du site de fuite dans des contrats intelligents sur la blockchain Polygon. L’application obtient l’adresse du serveur relais par des requêtes de lecture adressées à des points de terminaison RPC publics, en basculant entre six points afin d’assurer un certain degré de continuité. L’opérateur peut modifier l’adresse du serveur relais par l’intermédiaire du contrat intelligent sans changer l’infrastructure visible par la victime ni enregistrer un nouveau domaine.
Les communications avec les victimes passent par le réseau décentralisé Session, qui utilise un routage similaire à celui de Tor et un stockage reposant sur des groupes de nœuds. L’identité Session de la victime est dérivée de manière déterministe des identifiants de connexion ; les mêmes données produisent donc la même paire de clés, et la création d’un compte n’est pas nécessaire. Toutefois, l’oubli des identifiants rend l’identité irrécupérable, selon ce qu’affiche l’interface de conversation.
La page de récupération prend également en charge l’affichage des fichiers divulgués hébergés via Wasabi. L’application comprend un navigateur compatible avec AWS S3 qui analyse les identifiants à partir du lien, crée des requêtes signées avec l’algorithme AWS4-HMAC-SHA256 et génère des liens de téléchargement pré-signés.
Limites de la résilience et recommandations défensives
Cette infrastructure ne rend pas l’opération totalement indépendante de l’infrastructure traditionnelle. L’accès à la conversation dépend du serveur relais, la page nécessite au moins un point de terminaison RPC public, tandis que les images et fichiers divulgués peuvent être supprimés des services CDN ou de Wasabi. Néanmoins, les opérateurs dépendent moins d’un serveur de messagerie ou d’un domaine unique, ce qui complique certains efforts de blocage et de retrait.
Microsoft recommande d’activer la protection cloud dans Microsoft Defender Antivirus ou une solution équivalente, d’exécuter l’EDR en mode blocage, d’activer la protection contre les falsifications et de configurer l’investigation et la remédiation automatiques. Microsoft recommande également d’activer Automatic Attack Disruption dans Microsoft Defender XDR, d’appliquer Controlled Folder Access et d’utiliser des règles de réduction de la surface d’attaque, notamment le blocage de l’exécution des fichiers exécutables qui ne satisfont pas aux critères de prévalence, d’ancienneté ou de fiabilité, ainsi que le blocage de la création de processus issus de commandes PSExec et WMI, en tenant compte de l’impact de compatibilité sur certains serveurs.
Microsoft Defender Antivirus identifie les composants de la menace sous le nom Ransom:Win32/Deadlock.*, tandis que des alertes telles que la détection d’un comportement de rançongiciel, la suppression des sauvegardes ou la modification du fond d’écran peuvent indiquer une activité liée à l’opération, Microsoft signalant toutefois que certaines de ces alertes peuvent être générées par d’autres menaces. La publication de Microsoft comprend également des indicateurs de compromission, des détections de Defender et des recommandations d’atténuation, ce qui en fait une référence pratique pour les équipes de défense qui évaluent la capacité de leurs environnements à résister à DeadLock ou à des opérations de rançongiciel similaires.