Jak DeadLock deaktivuje Windows Defender a maže zálohy

DeadLock je finančně motivovaná ransomware operace, která upoutala pozornost tím, že kombinuje známé metody průniku s infrastrukturou navrženou speciálně tak, aby odolávala pokusům o odstavení. Podle bezpečnostních výzkumníků, kteří tuto skupinu sledují, útočníci za DeadLockem jednoduše nespustí malware a nedoufají, že proklouzne bez povšimnutí. Místo toho metodicky neutralizují obranu oběti ještě předtím, než vůbec začne šifrování.

Tento proces obvykle začíná deaktivací Windows Defenderu, čímž zmizí vestavěná ochrana, na kterou mnoho organizací spoléhá jako na svou hlavní obrannou linii. Odtud DeadLock zaměřuje své útoky na zálohovací systémy, což je obzvlášť ničivý krok, protože zálohy jsou často nejrychlejší cestou, jak se oběť může zotavit bez zaplacení výkupného. Nakonec skupina vymaže systémové protokoly událostí Windows, čímž zničí velkou část forenzních stop, které by bezpečnostní týmy normálně použily k rekonstrukci útoku a pochopení toho, jak k němu došlo.

Tato kombinace je promyšlená. V okamžiku, kdy jsou soubory skutečně zašifrovány, oběť již přišla o svou záchrannou síť a o značnou část schopnosti útok vyšetřovat. Toto není malware typu „přijít a uchvátit“; jde o systematickou operaci navrženou tak, aby maximalizovala pákový efekt vůči oběti.

Proč samotná ochrana koncových bodů proti modernímu ransomwaru nestačí

Příručka DeadLocku je naléhavou připomínkou, že koncový antivirus, i když jde o schopný produkt jako Windows Defender, není samostatným řešením. Pokud získá útočník ransomwaru v síti dostatečná oprávnění k deaktivaci bezpečnostního softwaru, smazání záloh a vymazání protokolů, znamená to, že se už dávno dostal za bod, kde ho mohl jediný nástroj zastavit.

Moderní ransomware skupiny s tímto scénářem stále více počítají. Předpokládají, že obránci antivirus používají, a vestavějí do svého postupu kroky, jak ho cíleně vypnout nebo obejít. Tím se skutečné bojiště přesouvá z otázky „zachytí antivirus ten soubor“ na otázku „jak rychle lze podezřelý laterální pohyb, eskalaci oprávnění nebo neobvyklou administrativní aktivitu detekovat a zastavit ještě před zahájením šifrování“.

Proto bezpečnostní týmy stále častěji mluví o detekci a reakci, nikoli jen o prevenci. Jediné kompromitované pověření nebo špatně nakonfigurovaný systém stačí útočníkovi k tomu, aby se dostal do bodu, kdy už ochranu nevypíná, ale deaktivuje. Nástroje pro koncové body zůstávají cenné, ale fungují nejlépe jako jedna z několika vrstev, nikoli jako poslední obranná linie.

Vrstevnatá obrana: Segmentace sítě, VPN a offline zálohy

Protože je taktika DeadLocku postavena na odstranění možností obnovy oběti, nejúčinnější protiopatření se zaměřují na omezení toho, jak daleko může útočník postoupit, a na zajištění cest obnovy, ke kterým se útočník nedostane.

Segmentace sítě je jedním z nejpraktičtějších kroků, které mohou organizace podniknout. Rozdělením sítí na menší izolované zóny nezíská útočník z jedné kompromitované pracovní stanice nebo serveru automaticky přístup k zálohovacím serverům, řadičům domény ani jiným cenným systémům. Toto omezení může znamenat rozdíl mezi incidentem uzavřeným v jednom místě a odstavením celé organizace.

Stejně důležitý je i bezpečný vzdálený přístup. VPN a další šifrované přístupové nástroje pomáhají zajistit, že spojení do firemních sítí, zejména pro vzdálené zaměstnance a dodavatele třetích stran, jsou ověřována a monitorována, nikoli ponechána jako otevřené dveře. V kombinaci s přísným řízením přístupu to snižuje počet vstupních bodů, které může útočník jako DeadLock využít k získání prvotní opory, než začne eskalovat oprávnění.

Zvláštní pozornost si zaslouží offline nebo neměnné zálohy, vzhledem k tomu, že se DeadLock specificky zaměřuje na ničení dat pro obnovu. Zálohy, které jsou odpojené od sítě nebo uložené způsobem, který brání úpravám i administrátorským účtem, nelze smazat ani zašifrovat spolu s produkčními systémy. Stejně důležité jako samotné vytváření záloh je pravidelné testování, zda se z nich data opravdu správně obnoví.

Co taktika DeadLocku prozrazuje o decentralizované infrastruktuře ransomwaru

Kromě technických kroků podnikaných vůči jednotlivým obětem ukazují volby infrastruktury DeadLocku na širší trend mezi provozovateli ransomwaru: budování systémů navržených tak, aby přežily tlak ze strany vymáhání práva a pokusů o likvidaci. Decentralizovaná infrastruktura ztěžuje obráncům a úřadům narušit celou operaci zásahem na jediný server či doménu, což znamená, že skupina může pokračovat v činnosti i poté, co jsou části její sítě odhaleny nebo zabaveny.

Tato odolnost odráží to, co se stalo po jednom z potvrzených průniků DeadLocku. Únik dat ransomwaru DeadLock, který odhalil desetiletí záznamů společnosti Diater ukázal, kolik škody může napáchat jediný úspěšný průnik, jakmile jsou odstraněny zálohy a detekční schopnosti – a jak dlouhodobé následky to může mít pro organizace a jednotlivce, jejichž data byla zasažena.

Co to znamená pro vás

Pro většinu čtenářů jsou cíli DeadLocku organizace, nikoli jednotlivci, ale základní poučení platí obecně. Pokud spravujete IT pro firmu nebo nesete odpovědnost za ochranu jakýchkoli citlivých dat, počítejte s tím, že odhodlaný útočník, který získá oporu, se pokusí vypnout vaše bezpečnostní nástroje a zničit vaše zálohy, nejen zašifrovat soubory. Stavte svou obranu na tomto předpokladu, nikoli na naději, že antivirus sám zachytí prvotní pokus.

Pro zaměstnance a vzdálené pracovníky to zároveň podtrhuje význam používání zabezpečených monitorovaných připojení namísto improvizovaného vzdáleného přístupu při napojování na pracovní systémy, protože právě slabá vstupní místa jsou tím, na co operace jako DeadLock spoléhají, aby se mohly rozběhnout.

Konkrétní opatření, která lze přijmout

  • Nespoléhejte se na koncový antivirus jako na jedinou obranu; kombinujte ho s monitorováním neobvyklé eskalace oprávnění a laterálního pohybu.
  • Segmentujte sítě tak, aby jediné kompromitované zařízení nemohlo dosáhnout na zálohovací systémy nebo kritickou infrastrukturu.
  • Udržujte offline nebo neměnné zálohy a pravidelně testujte obnovení.
  • Používejte VPN a silnou autentizaci pro vzdálený přístup ke snížení počtu odhalených vstupních bodů.
  • Prostudujte si reálné incidenty, jako je únik dat Diater spojený s DeadLockem, abyste pochopili praktické důsledky opomenutí vrstevnaté obrany.

Ochrana proti ransomwaru DeadLock nespočívá v nalezení jednoho dokonalého nástroje. Spočívá v budování překrývajících se obranných vrstev, aby i když jedna vrstva selže, útočník stále narážel na překážky dříve, než dosáhne bodu, odkud není návratu.