DeadLock, un groupe de rançongiciels qui est apparu pour la première fois en juillet
- Le groupe de rançongiciels DeadLock utilise les contrats intelligents Polygon pour faire pivoter les adresses de serveurs proxy et contourner le blocage défensif.
- DeadLock évite les tactiques traditionnelles de double extorsion, menaçant plutôt de vendre les données volées en privé tout en offrant des rapports de sécurité aux victimes qui paient.
- Les chercheurs en cybersécurité avertissent que les techniques basées sur la blockchain de DeadLock imitent celles utilisées par des acteurs nord-coréens.
a fait l'actualité à nouveau, et cette fois-ci, il est accusé d'abuser des contrats intelligents de la blockchain Polygon pour gérer et faire tourner les adresses des serveurs proxy, selon une recherche publiée par la société de cybersécurité Group-IB. 2025, Après avoir chiffré les systèmes d'une victime, DeadLock dépose un fichier HTML qui agit comme un wrapper pour la plateforme de messagerie décentralisée, Session.
Le code JavaScript intégré dans le fichier interroge un contrat intelligent Polygon spécifique pour obtenir l'URL du proxy actuel, qui relaie ensuite les messages chiffrés entre la victime et l'ID de session de l'attaquant.
Après avoir chiffré les systèmes d'une victime, DeadLock dépose un fichier HTML qui sert de wrapper pour la plateforme de messagerie décentralisée, Session.
Comment fonctionne le ransomware DeadLock sur Polygon ?
Les chercheurs de Group-IB ont noté que l'exploitation des contrats intelligents pour fournir des adresses de proxy est une méthode intéressante où les attaquants peuvent appliquer une infinité de variantes de cette technique, l'imagination étant la seule limite.
Ces appels en lecture seule à la blockchain ne génèrent aucune transaction ni frais, ce qui les rend gratuits pour les attaquants à maintenir.
L'enquête de Cisco Talos a révélé que DeadLock obtient un accès initial en exploitant la CVE-2024-51324, une vulnérabilité de Baidu Antivirus, en utilisant une technique connue sous le nom de « bringing your own vulnerable driver » pour terminer les processus de détection et de réponse aux extrémités.
La technique n'est pas bien documentée et sous-signalement, mais son utilisation gagne progressivement du terrain dans la nature, selon les chercheurs en sécurité.
DeadLock met au point de nouvelles tactiques d'extorsion
DeadLock met au point de nouvelles tactiques d'extorsion tactiques
DeadLock se distingue de la plupart des opérations de rançongiciel car il abandonne l'approche habituelle de double extorsion et ne dispose pas de site de fuite de données où il pourrait publier ses attaques.
Au lieu de cela, le groupe menace de vendre les données volées sur les marchés souterrains tout en offrant aux victimes des rapports de sécurité et promet de ne pas les cibler à nouveau si la rançon est payée.
Le suivi d'infrastructure de Group-IB n'a établi aucun lien entre DeadLock et des programmes d'affiliation de rançongiciels connus. En fait, le groupe maintient une relative discrétion. Cependant, ils ont trouvé des copies de contrats intelligents qui ont été créées et mises à jour pour la première fois en août 2025 et mises à jour ultérieurement en novembre 2025.
Group-IB a déclaré avoir réussi « à suivre son infrastructure via les transactions blockchain, révélant des schémas de financement et des serveurs actifs ».
Des acteurs étatiques adoptent des méthodes similaires techniques
Le Google Threat Intelligence Group a observé que l'acteur de menace nord-coréen UNC5342 utilisait une technique apparentée appelée EtherHiding pour livrer des logiciels malveillants et faciliter le vol de cryptomonnaies depuis février 2025.
Polygon est une blockchain de couche 2 construite sur l'infrastructure de couche 1 d'Ethereum.
Polygon est une blockchain de couche 2 construite sur l'infrastructure de couche 1 d'Ethereum.
Bien que DeadLock reste à faible volume et à faible impact, les chercheurs en sécurité avertissent qu'il applique des méthodes innovantes qui mettent en évidence un ensemble de compétences qui pourrait devenir dangereux si les organisations ne prennent pas au sérieux la menace qu'il représente.
Outre l'appel aux entreprises à être proactives dans la détection des logiciels malveillants, Group-IB a recommandé qu'elles ajoutent davantage de couches de sécurité, telles que l'authentification multifactorielle et des solutions basées sur les identifiants.
L'entreprise de cybersécurité a également déclaré que les entreprises devraient disposer d'une sauvegarde des données, former leurs employés, corriger les vulnérabilités et, surtout, « ne jamais payer la rançon », mais contacter rapidement des experts en réponse aux incidents si elles sont attaquées.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
