Deadlock : Le ransomware qui abuse de Polygon pour échapper à la surveillance

Des chercheurs de Group-IB ont identifié une nouvelle menace de cybercriminalité qui démontre la sophistication croissante des malwares modernes. La famille de ransomwares connue sous le nom de Deadlock a été découverte au deuxième trimestre de 2025 et présente des capacités alarmantes d’évasion. Ce qui est remarquable, c’est que Deadlock ne cible pas seulement les systèmes conventionnels, mais met en œuvre une stratégie innovante : il exploite l’infrastructure décentralisée de Polygon pour distribuer ses composants malveillants et faire tourner les adresses des serveurs proxy de manière pratiquement impossible à intercepter.

Comment Deadlock utilise la blockchain pour se cacher

Le mécanisme technique de Deadlock est particulièrement ingénieux. Le malware injecte du code JavaScript dans des fichiers HTML qui interagissent directement avec le réseau Polygon. Une fois exécuté, il utilise des listes de nœuds RPC comme passerelles pour obtenir des adresses actualisées de serveurs contrôlés par les attaquants. Cette tactique exploite la nature distribuée et pseudo-anonyme de la blockchain pour construire des canaux de communication dissimulés qui sont extrêmement difficiles à bloquer par des techniques de sécurité traditionnelles.

L’évolution des techniques d’évasion sophistiquées

Cette stratégie de dissimulation n’est pas totalement nouvelle. Des chercheurs avaient déjà documenté des méthodes similaires dans le malware EtherHiding, qui utilisait également des architectures décentralisées pour échapper à la détection. Cependant, Deadlock représente une avancée qualitative dans son application. Les analyses révèlent qu’il existe actuellement au moins trois variantes de Deadlock circulant dans la nature, et la version la plus récente a accru sa sophistication en intégrant directement l’application de messagerie chiffrée Session.

Implications pour la sécurité

Cette intégration de Session dans la dernière variante de Deadlock étend considérablement les capacités opérationnelles du malware. Les attaquants peuvent désormais communiquer de manière chiffrée directement avec les victimes, facilitant les négociations de rançon et la distribution d’instructions sans risque de détection. La combinaison de Polygon comme infrastructure de distribution et de Session comme canal de communication crée une architecture d’attaque polyvalente qui défie les mécanismes traditionnels de réponse aux incidents.