Le ransomware sur blockchain n’est plus une hypothèse de laboratoire : le groupe DeadLock héberge désormais son infrastructure d’extorsion sur des contrats intelligents Polygon, rendant les opérations de démantèlement judiciaire quasi inopérantes. Pour une PME-ETI, ce changement d’architecture a une conséquence directe : il ne faut plus compter sur la disparition du serveur de l’attaquant pour limiter les dégâts.
Pourquoi le ransomware sur blockchain change la donne
Historiquement, la réponse coordonnée aux campagnes d’extorsion reposait sur un point faible unique : l’infrastructure. Un site de fuite saisi, un serveur de commande et contrôle mis hors ligne, un domaine de négociation bloqué — et la campagne s’arrêtait. Les opérations de démantèlement internationales ont bâti leur efficacité sur cette dépendance.
DeadLock supprime ce point faible. Selon les analyses publiées cette semaine, le groupe s’appuie sur trois briques :
- Des contrats intelligents Polygon pour la rotation des proxys : l’adresse du serveur de négociation actif est lue sur la chaîne, pas dans un fichier de configuration.
- Session pour les communications avec la victime, un protocole décentralisé sans numéro de téléphone ni serveur central à saisir.
- Des fuites hébergées sur la chaîne, donc impossibles à retirer par une injonction adressée à un hébergeur.
Le résultat est une infrastructure sans propriétaire identifiable et sans bouton d’arrêt. Le ransomware sur blockchain transforme le démantèlement en jeu du chat et de la souris permanent, là où il était auparavant un coup décisif.
Ce que cela implique concrètement pour une PME-ETI
Aucune PME française ne va poursuivre un contrat Polygon en justice. L’implication est ailleurs : la fenêtre de survie de la campagne adverse n’est plus une variable sur laquelle vous pouvez compter. Si votre plan de réponse suppose implicitement qu’une opération internationale finira par couper la tête du groupe, ce plan repose sur une hypothèse qui vient d’expirer.
Déplacer l’effort défensif vers l’amont
Quand on ne peut plus agir sur l’infrastructure de l’attaquant, il ne reste qu’un levier : réduire la probabilité et l’impact de l’intrusion initiale. C’est une bascule stratégique, pas un simple ajustement d’outillage.
1. Traiter la détection avant chiffrement comme l’objectif principal
Les groupes d’extorsion modernes passent plusieurs jours en reconnaissance interne avant de déclencher le chiffrement : énumération de partages, scan réseau avec des outils légitimes, mouvement latéral par RDP. C’est cette phase qui reste détectable. Nous avions détaillé cette approche dans Ransomware Akira : détecter l’intrusion avant le chiffrement, et la logique s’applique intégralement ici.
Signaux à instrumenter en priorité :
- Un scanner réseau légitime (SoftPerfect NetScan, Advanced IP Scanner) lancé depuis un poste qui n’appartient pas à l’IT.
- Un binaire de scan qui engendre une session RDP dans les minutes qui suivent.
- Une authentification administrateur depuis une machine qui n’en avait jamais émis.
- La désactivation ou l’arrêt d’un service de sécurité sur un serveur de fichiers.
2. Verrouiller les portes d’entrée réellement utilisées
Les campagnes récentes n’innovent pas sur l’accès initial : équipements de périmètre non corrigés, contournement de MFA, comptes VPN sans second facteur. Le gang Gunra exploite des failles Fortinet et contourne la MFA ; le groupe lié à Sandworm distribue un client WireGuard piégé via de faux entretiens d’embauche. Rien de tout cela n’exige un zero-day.
La priorité opérationnelle reste donc classique et mesurable : correctifs sur les équipements exposés sous sept jours, MFA résistante au phishing sur tous les accès distants, et inventaire des comptes de service à privilèges. Le sujet de l’identité comme vecteur principal est traité dans Attaques par identité : la nouvelle porte des ransomwares.
3. Rendre l’exfiltration coûteuse, pas seulement le chiffrement improbable
Avec un ransomware sur blockchain, la publication des données volées devient irréversible : il n’y a plus de site de fuite à faire tomber. La double extorsion cesse d’être une menace négociable et devient un fait accompli dès la publication. Les contrôles à renforcer :
- Surveillance des volumes sortants vers les services de stockage et de transfert grand public.
- Cloisonnement des partages contenant les données réglementées, avec journalisation des accès en masse.
- Chiffrement applicatif des jeux de données les plus sensibles, afin qu’une exfiltration brute produise un contenu inexploitable.
Repenser le plan de réponse à l’ère du ransomware sur blockchain
Trois ajustements concrets à porter au plan de continuité :
- Supprimer toute hypothèse de démantèlement des scénarios de crise. La négociation ne s’appuie plus sur une pression temporelle exercée sur l’attaquant.
- Tester la restauration, pas la sauvegarde. Un jeu de sauvegardes hors ligne et immuable dont la restauration n’a jamais été chronométrée n’est pas un plan, c’est une intention.
- Préparer la communication de fuite en amont. Si la publication est irréversible, le délai de réaction réglementaire (72 h RGPD) devient le seul facteur maîtrisable.
Le ransomware sur blockchain ne rend pas les attaques plus sophistiquées techniquement : il rend leur infrastructure plus difficile à éteindre. Pour une PME-ETI, la conclusion est simple et exigeante — la défense se joue désormais entièrement avant le chiffrement, dans la détection de la reconnaissance interne et le verrouillage des accès distants.
Sources
- BleepingComputer — DeadLock ransomware uses blockchain to resist infrastructure takedown
- The Hacker News — DeadLock Ransomware Uses Polygon Smart Contracts
- Dark Reading — Gunra Ransomware Gang Exploits Fortinet Flaws, Bypasses MFA
- BleepingComputer — Sandworm hackers target IT pros with trojanized WireGuard VPN client