DeadLock Ransomware : analyse du chiffreur Rust de Microsoft

Un ransomware Rust qui neutralise les EDR depuis le noyau Windows

Le 10 août 2026, Microsoft Threat Intelligence a publié sur son Security Blog une analyse technique approfondie de DeadLock, ransomware apparu pour la première fois en juillet 2025. L'analyse couvre le flux d'exécution du chiffreur, ses techniques d'évasion de défense, sa conception du chiffrement et ses comportements post-chiffrement, incluant un système de récupération décentralisé inédit. Cisco Talos Intelligence avait déjà documenté le vecteur d'infection initial quelques semaines plus tôt, mais c'est la publication de Microsoft qui confirme l'ampleur globale de la menace et décrit la sophistication qui distingue DeadLock de la masse des ransomwares contemporains.

Ce qui distingue immédiatement DeadLock, c'est son choix de Rust comme langage de développement. Rust est réputé pour ses performances et sa sécurité mémoire native, ce qui rend le binaire compilé considérablement plus difficile à analyser par les outils de rétro-ingénierie classiques. Les auteurs de malwares adoptent de plus en plus ce langage, suivant une tendance déjà observée avec des familles comme BlackCat (ALPHV). Mais la véritable originalité de DeadLock ne réside pas dans le choix du langage : c'est sa capacité à aveugler l'infrastructure de détection de l'entreprise avant même de commencer à chiffrer les fichiers.

Pour contourner les solutions EDR, DeadLock exploite la technique BYOVD — "Bring Your Own Vulnerable Driver". Le principe : l'attaquant charge dans le noyau Windows un pilote légitime mais vulnérable, signé par un éditeur reconnu, pour désactiver les processus de sécurité opérant en espace noyau. Selon Cisco Talos, il s'agit d'un pilote de l'antivirus Baidu, référencé CVE-2024-51324, dont la faille d'"Improper Privilege Management" permet à un utilisateur non privilégié de terminer n'importe quel processus système au niveau noyau. L'EDR est ainsi tué avant d'avoir pu observer l'activité malveillante.

Une fois l'EDR aveuglé, DeadLock exécute des scripts PowerShell qui bypasse le contrôle de compte utilisateur (UAC), désactive la protection en temps réel de Windows Defender, coupe les protections basées sur le cloud, bloque l'envoi de rapports de menaces à Microsoft, arrête les services de sauvegarde et de base de données, et supprime la totalité des Volume Shadow Copies. Cette séquence prive les équipes de réponse à incident de toute capacité de restauration rapide et efface la chronologie des événements dans les journaux Windows. Selon Cisco Talos, l'attaquant disposait d'un accès au réseau de la victime cinq jours avant le déploiement du ransomware — un délai de reconnaissance typique des opérations professionnelles.

Le chiffreur intègre un mécanisme de régulation adaptative basé sur les ressources disponibles. Contrairement à d'autres ransomwares qui monopolisent CPU et I/O — déclenchant des alertes de performance — DeadLock module son activité pour maintenir la réactivité du système pendant le chiffrement. Les utilisateurs peuvent continuer à travailler pendant que leurs fichiers sont progressivement chiffrés, sans que le ralentissement ne trahisse l'intrusion. C'est une sophistication tactique rare qui témoigne du soin apporté à l'opérationnalité dans des environnements monitorés.

Sur le plan de l'infrastructure, DeadLock se démarque par un système de récupération décentralisé. La majorité des ransomwares dirige les victimes vers un site Tor centralisé pour négocier et payer. DeadLock s'appuie sur Session Messenger pour les communications, exploitant son chiffrement de bout en bout pour échapper à la surveillance des forces de l'ordre. Selon Group-IB et SOCprime, le groupe utiliserait également des contrats intelligents sur la blockchain Polygon pour une partie de son infrastructure de paiement — une approche qui rend le traçage des fonds nettement plus complexe. Les victimes reçoivent une note de rançon promettant un "chiffrement de niveau militaire" et décrivant un processus de récupération en six étapes, avec paiement en Bitcoin ou Monero.

L'analyse de Microsoft met en lumière un comportement de géofencing : le ransomware est conçu pour ne pas s'exécuter dans les environnements associés à d'anciens pays soviétiques et aux États membres de la Communauté des États Indépendants (CEI). Cette caractéristique commune à de nombreuses familles ransomware constitue un indicateur technique suggérant une origine russophone des opérateurs, sans qu'aucune attribution formelle n'ait été émise à ce stade.

Le site de fuite "DeadLock blog" comptabilisait plus de 80 organisations victimes fin juillet 2026. La répartition géographique est frappante : 57 % des victimes déclarées sont localisées dans la région Europe-Russie, avec l'Espagne (9 victimes), l'Italie (8) et la Pologne (6) en tête des pays européens. Parmi les victimes nominativement citées figurent la chaîne hôtelière espagnole SH Hoteles et le fabricant de matériels agricoles italiens Zaffrani. Les secteurs des services aux entreprises (19 victimes) et de la fabrication industrielle (12) sont les plus représentés. La présence en Asie, Amérique du Nord, Amérique du Sud et Afrique indique une opération sans contrainte géographique autre que la liste d'exclusion CIS. Le double chantage — chiffrement des données couplé à la menace de publication — est systématique.

Pourquoi DeadLock redéfinit les standards de la menace ransomware en 2026

La publication de cette analyse illustre l'évolution structurelle du paysage des ransomwares. DeadLock n'est pas un outil opportuniste : c'est une démonstration que des groupes criminels investissent massivement dans l'ingénierie logicielle de qualité. L'utilisation de Rust, du BYOVD, d'un chiffreur à régulation adaptative et d'une infrastructure décentralisée forme une combinaison qui dépasse en sophistication la plupart des familles connues, y compris des groupes établis comme LockBit 3.0 ou Cl0p. La convergence entre professionnalisme du développement et opérationnalité tactique est l'indicateur le plus préoccupant de la maturité de ce groupe.

La technique BYOVD est particulièrement préoccupante car elle ne nécessite aucune vulnérabilité zero-day sur le système cible : il suffit d'importer un pilote vulnérable connu, signé et en apparence légitime. Microsoft maintient une liste de blocage des pilotes vulnérables via sa politique HVCI (Hypervisor-Protected Code Integrity), mais son déploiement reste inégal dans les environnements legacy. Pour les RSSI, c'est un rappel que la surface d'attaque ne se limite pas aux applications : le noyau lui-même est un territoire contesté, et toute organisation n'ayant pas activé HVCI opère avec une ligne de défense manquante contre cette classe d'attaques.

La concentration de plus de 57 % des victimes en Europe interpelle directement les organisations soumises à la directive NIS2 et au règlement DORA. Une compromission par DeadLock constitue un incident de sécurité à notifier aux autorités compétentes — l'ANSSI en France, le BSI en Allemagne, l'INCIBE en Espagne — dans des délais stricts. Sous NIS2, les entités essentielles disposent de 24 heures pour la notification initiale et de 72 heures pour le rapport intermédiaire. Les sanctions pour manquement peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel. Au-delà de la conformité, l'impact d'une interruption dans les secteurs critiques — transport, logistique, industrie — peut déclencher des répercussions en cascade sur des chaînes d'approvisionnement entières.

Pour les équipes de sécurité, la réponse à DeadLock requiert un rehaussement de la première ligne de défense au niveau noyau. Microsoft recommande d'activer la Tamper Protection dans Defender for Endpoint, de déployer HVCI pour bloquer les pilotes non approuvés, et d'implémenter une surveillance proactive des chargements de pilotes inhabituels via des règles de détection comportementales. La résistance au ransomware passe aussi par l'immuabilité des sauvegardes — des copies offline hors de portée des scripts PowerShell — et par des plans de réponse à incident testés régulièrement incluant des scénarios de destruction des VSS.

Ce qu'il faut retenir

• DeadLock exploite CVE-2024-51324 (pilote Baidu) via BYOVD pour neutraliser les EDR avant chiffrement en Rust — une combinaison qui rend la détection classique inefficace.
• Plus de 80 victimes en un an, 57 % en Europe avec l'Espagne, l'Italie et la Pologne en tête — les secteurs des services IT et de la fabrication industrielle sont les plus exposés.
• Activer HVCI, la Tamper Protection de Defender et isoler les sauvegardes hors ligne constituent les mesures de mitigation prioritaires face à cette famille.