Résumé

  • Microsoft qualifie DeadLock d’opération rançongicielle émergente et financièrement motivée reposant en partie sur une infrastructure décentralisée.
  • L’écosystème de récupération associe la messagerie Session à des services adossés à une blockchain pour stocker et livrer les ressources d’extorsion.
  • Plusieurs groupes ont déployé DeadLock selon Microsoft, dont un affilié lié aux écosystèmes Lynx et INC.
  • Observé pour la première fois en juillet 2025, le dispositif combine chiffrement et menace de publier des données exfiltrées.
  • Plus de 80 organisations figuraient sur le site de fuite en juillet 2026, dont plus de la moitié en Europe; il s’agit de revendications d’opérateurs.
  • Indicateurs, détections Defender et mesures d’atténuation sont publiés, sans que l’architecture distribuée devienne indestructible.

La continuité de l’extorsion est conçue en amont

Après le chiffrement, l’opérateur doit maintenir un canal, présenter des preuves, livrer des instructions et négocier. DeadLock traite ces fonctions comme une architecture à part entière plutôt que comme une simple page placée à côté du logiciel malveillant.

Cette conception rend la suppression d’un domaine moins décisive. Elle ne supprime pas les points faibles, mais oblige à comprendre la fonction de chaque service avant d’évaluer l’effet d’une action.

Session déplace le canal de discussion

Microsoft observe l’emploi de Session pour communiquer avec les victimes. La négociation ne dépend donc plus entièrement d’un portail web classique ou d’un compte hébergé de manière centrale.

Les équipes de réponse doivent identifier et conserver les traces utiles tout en sécurisant les terminaux. Elles ne peuvent pas conclure à la fin du contact après le blocage d’une seule adresse.

Les ressources circulent par des services adossés à une blockchain

Des services reposant sur une blockchain servent aussi à stocker et remettre des ressources d’extorsion. Microsoft estime que cet assemblage augmente vraisemblablement la résilience. Ce jugement ne signifie ni disponibilité garantie ni immunité à une opération coordonnée.

Cartographier stockage, publication, messagerie, paiement et hébergement traditionnel permet de chercher des dépendances communes. La distribution peut déplacer la pression sans la faire disparaître.

Le nom du malware ne désigne pas un acteur unique

DeadLock a été observé entre les mains de plusieurs groupes, notamment d’un affilié aux environnements Lynx et INC. Un même chiffreur et des infrastructures partagées peuvent traverser plusieurs relations d’affiliation.

L’attribution doit donc séparer auteur du code, détenteur d’accès, déployeur et opérateur de services. Réunir tous les incidents sous une organisation unique dépasserait les éléments publiés.

Les 80 noms constituent un registre de revendications

Le site affichait plus de 80 organisations en juillet 2026 et plus de la moitié se trouvaient en Europe, selon l’observation de Microsoft. Ce tableau mesure l’activité déclarative de l’opérateur, pas un recensement indépendant et exhaustif.

Une revendication peut être contestée, dupliquée ou incomplète. Elle signale une portée probable; l’impact confirmé exige des éléments provenant des victimes ou d’enquêtes.

Le filtrage géographique n’est pas un passeport

Le chiffreur en Rust adapte sa charge aux ressources, tente d’élever ses privilèges, arrête services et processus, perturbe les journaux et offre plusieurs modes de chiffrement. Il exclut aussi certaines langues ou certains pays.

La liste touche l’ancien espace soviétique, des environnements liés à la CEI et certaines zones du Moyen-Orient. Elle décrit le comportement de l’échantillon, non la nationalité certaine de ses opérateurs.

Relier le poste compromis aux services extérieurs

Les indicateurs et détections Microsoft doivent être combinés à la surveillance des privilèges, de l’exfiltration, des arrêts de service et de l’intégrité des journaux. L’objectif n’est pas seulement de reconnaître le binaire.

Une réponse complète relie accès initial, vol, chiffrement, contact, livraison de ressources et réutilisation par des affiliés. C’est à cette échelle que plusieurs perturbations peuvent produire un effet durable.

Sources