Как DeadLock използва блокчейн, за да устои на сваляния

Групите за рансъмуер отдавна разчитат на сървъри, домейни и хостинг доставчици, които изследователи по сигурността и правоприлагащи органи в крайна сметка могат да изземат или блокират. Групата за рансъмуер DeadLock се опитва да премахне това слабо място от уравнението. Според скорошни публикации DeadLock вече съхранява критична инфраструктурна информация, като прокси или комуникационни адреси, в публичен блокчейн, а не на сървъри, които могат да бъдат свалени чрез конвенционални средства.

Като закрепва тези данни към децентрализиран регистър, DeadLock прави много по-трудно за защитаващите да нарушат операциите с едно координирано действие. Традиционните сваляния разчитат на идентифициране на централна точка на отказ: хостинг доставчик, регистратор на домейни или IP адрес, който може да бъде поет чрез sinkhole. Когато тази информация вместо това живее в блокчейн, няма нито една компания или структура, на която да се връчи съдебно разпореждане, и няма нито един сървър за изземване. Данните се съхраняват в разпределена мрежа от възли, които никой не контролира поотделно, което е точно свойството за устойчивост, което блокчейн технологията е проектирана да осигури, сега пренасочено за престъпна инфраструктура.

Това не е единственият ход на групата към децентрализация и избягване. Наблюдавано е също, че DeadLock добавя приложението за съобщения Session към инструментариума си, за да поддържа комуникацията с жертвите дори след като други канали бъдат нарушени. Заедно тези избори сочат към преднамерена стратегия: изграждане на резервираност във всеки слой на операцията, така че нито едно отделно усилие за прекъсване да не може да спре цялото нещо.

Защо традиционните тактики за прекъсване на рансъмуер губят почва

Години наред стандартният подход за борба с инфраструктурата на рансъмуера включваше сътрудничество между изследователи по сигурността, хостинг доставчици и правоприлагащи органи за идентифициране и демонтиране на командни и контролни сървъри, портали за преговори и сайтове за изтичане на данни. Този подход работи сравнително добре срещу групи, които разчитат на централизиран уеб хостинг, тъй като тези услуги в крайна сметка подлежат на правна юрисдикция и условията за ползване на доставчика.

Базираната на блокчейн инфраструктура заобикаля голяма част от този лост. Няма хостинг компания, върху която да се оказва натиск, и няма централен регистратор, който да бъде уведомен. Дори ако защитаващите идентифицират блокчейн адресите, които DeadLock използва, основната мрежа продължава да работи независимо от това. Това прехвърля тежестта обратно върху защитаващите да се съсредоточат върху други точки на контрол, като методите за разпространение на зловредния софтуер, потоците на плащания или крайните точки, където всъщност се извършва криптирането, вместо да очакват едно чисто еднократно сваляне на инфраструктурата да реши проблема.

Това също сигнализира за по-широка тенденция, която си струва да се наблюдава. Тъй като децентрализираните технологии стават по-лесни за използване и по-широко достъпни, други оператори на рансъмуер вероятно ще експериментират с подобни техники за устойчивост, което означава, че защитаващите не трябва да приемат, че това е еднократна тактика, ограничена до една група.

Какво означава това за организациите и лицата в риск

За повечето организации практическото въздействие на блокчейн инфраструктурата на DeadLock е по-малко свързано със самата технология и повече с това, което тя представлява: групите за рансъмуер стават все по-трудни за прекъсване отвън, което означава, че превенцията и ограничаването в собствената ви мрежа имат по-голямо значение от всякога. Разчитането на правоприлагащите органи или изследователите да демонтират инфраструктурата на дадена група вече не е надеждна предпазна мрежа, ако изобщо някога е била.

Това е особено актуално за малкия и средния бизнес, който може да предполага, че усилията за прекъсване на рансъмуера в крайна сметка ще неутрализират заплахите вместо тях. Подходът на DeadLock е напомняне, че отговорността за устойчивостта е преди всичко в организациите, които са обект на атака, а не в екосистемата за сваляне, която се опитва да навакса след факта.

Отбранителни стъпки: мрежова изолация, VPN и намаляване на атакуваната повърхност

Добрата новина е, че основите на защитата срещу рансъмуер не са се променили само защото задната инфраструктура на дадена група е по-трудна за сваляне. Няколко практически стъпки остават високоефективни:

  • Сегментирайте мрежата си, така че едно компрометирано устройство или акаунт да не може да достигне всяка система. Мрежовата изолация ограничава докъде може да се разпространи рансъмуерът дори след първоначален достъп.
  • Използвайте VPN за отдалечен достъп, вместо да излагате протокола за отдалечен работен плот или други портове за управление директно в интернет. Намаляването на публичната атакувана повърхност затруднява нападателите да намерят входна точка на първо място.
  • Поддържайте офлайн, тествани резервни копия, така че възстановяването на данни да не зависи от преговори с нападатели или от изчакване на сваляне на инфраструктура.
  • Актуализирайте и наблюдавайте крайните точки агресивно, тъй като рансъмуерът все още обикновено изисква първоначална опора чрез фишинг, изложени услуги или неактуализиран софтуер, преди изобщо да влезе в игра базиран на блокчейн бекенд.

Нито една от тези мерки не изисква екзотични инструменти, но те изискват последователност и довеждане докрай, което често е мястото, където организациите се провалят.

Заключение

Използването на блокчейн инфраструктура от DeadLock, за да устои на сваляния, показва как операторите на рансъмуер се адаптират по-бързо от инструментите, традиционно използвани за борба с тях. Подходът на DeadLock с блокчейн инфраструктура не променя това, което всъщност спира атаката: силна мрежова сегментация, ограничен отдалечен достъп и надеждни резервни копия. Организациите, които третират тези основи като постоянни приоритети, а не като еднократни проекти, ще бъдат далеч по-добре позиционирани, независимо колко устойчива става инфраструктурата на която и да е група.