Hvordan DeadLock deaktiverer Windows Defender og sletter sikkerhedskopier

DeadLock er en økonomisk motiveret ransomware-operation, der har tiltrukket sig opmærksomhed for at kombinere velkendte indtrængningsteknikker med en infrastruktur, der specifikt er bygget til at modstå nedlukningsforsøg. Ifølge sikkerhedsforskere, der overvåger gruppen, dropper DeadLocks operatører ikke blot malware og håber, at det slipper forbi sikkerhedsværktøjer. I stedet neutraliserer de metodisk et offers forsvar, før krypteringen overhovedet begynder.

Processen starter typisk med at deaktivere Windows Defender og fjerne den indbyggede beskyttelse, som mange organisationer stoler på som deres primære forsvarslinje. Derfra retter DeadLock sig mod backup-systemer – et særligt ødelæggende skridt, fordi sikkerhedskopier ofte er den hurtigste måde for et offer at gendanne uden at betale en løsesum. Til sidst sletter gruppen Windows-hændelseslogfiler og udsletter dermed meget af det bevismateriale, som responshold normalt ville bruge til at rekonstruere angrebet og forstå, hvordan det skete.

Kombinationen er bevidst. Når filerne faktisk krypteres, har offerorganisationen allerede mistet sit sikkerhedsnet og meget af sin evne til at efterforske indtrængningen. Dette er ikke smash-and-grab malware; det er en struktureret operation designet til at maksimere presset på offeret.

Hvorfor endpoint-sikkerhed alene fejler mod moderne ransomware

DeadLocks spillebog er en tydelig påmindelse om, at endpoint-antivirus, selv når det er et kompetent produkt som Windows Defender, ikke er en selvstændig løsning. Hvis en ransomware-operatør opnår tilstrækkelige privilegier på et netværk til at deaktivere sikkerhedssoftware, slette sikkerhedskopier og rydde logfiler, betyder det, at de allerede er nået langt forbi det punkt, hvor et enkelt værktøj kunne have stoppet dem.

Moderne ransomware-grupper planlægger i stigende grad dette præcise scenarie. De går ud fra, at forsvarerne har antivirus kørende, og de indbygger trin specifikt for at slå det fra eller arbejde uden om det. Det flytter den reelle slagmark fra "vil antivirus fange filen" til "hvor hurtigt kan mistænkelig lateral bevægelse, privilegieeskalering eller usædvanlig administrativ aktivitet opdages og stoppes, før krypteringen starter."

Det er grunden til, at sikkerhedsteams i stigende grad taler om detektion og respons frem for udelukkende forebyggelse. En enkelt kompromitteret legitimationsoplysning eller et fejlkonfigureret system kan være nok til, at en angriber når til det punkt, hvor de deaktiverer beskyttelser i stedet for at undgå dem. Endpoint-værktøjer er stadig værdifulde, men de fungerer bedst som ét lag blandt flere, ikke som den sidste forsvarslinje.

Lagdelt forsvar: Netværkssegmentering, VPN'er og offline sikkerhedskopier

Fordi DeadLocks taktikker er bygget op omkring at fjerne et offers gendannelsesmuligheder, fokuserer de mest effektive modforholdsregler på at begrænse, hvor langt en angriber kan bevæge sig, og sikre, at der findes gendannelsesveje, som angriberen ikke kan nå.

Netværkssegmentering er et af de mest praktiske skridt, organisationer kan tage. Ved at opdele netværk i mindre, isolerede zoner giver en kompromitteret arbejdsstation eller server ikke automatisk en angriber en vej til backup-servere, domænecontrollere eller andre systemer af høj værdi. Denne inddæmning kan være forskellen mellem en begrænset hændelse og en organisationsdækkende nedlukning.

Sikker fjernadgang er lige så vigtig. VPN'er og andre krypterede adgangsværktøjer hjælper med at sikre, at forbindelser til virksomhedsnetværk, især for fjernmedarbejdere og tredjepartsleverandører, er godkendte og overvågede i stedet for at være en åben dør. Kombineret med stærk adgangskontrol reducerer dette antallet af indgangspunkter, som en angriber som DeadLocks operatører kan udnytte til at få det første fodfæste, de har brug for, før de eskalerer privilegier.

Offline eller uforanderlige sikkerhedskopier fortjener særlig opmærksomhed i betragtning af DeadLocks specifikke fokus på at ødelægge gendannelsesdata. Sikkerhedskopier, der er afbrudt fra netværket, eller gemt på en måde, der forhindrer ændring selv af en administratorkonto, kan ikke slettes eller krypteres sammen med produktionssystemer. Regelmæssig test af, at disse sikkerhedskopier faktisk gendannes korrekt, er lige så vigtig som at vedligeholde dem i første omgang.

Hvad DeadLocks taktikker afslører om decentraliseret ransomware-infrastruktur

Ud over de tekniske skridt, der tages mod individuelle ofre, peger DeadLocks infrastrukturvalg på en bredere tendens blandt ransomware-operatører: at bygge systemer designet til at modstå pres fra retshåndhævelse og nedlukningsforsøg. Decentraliseret infrastruktur gør det sværere for forsvarere og myndigheder at forstyrre en hel operation ved at ramme en enkelt server eller et domæne, hvilket betyder, at gruppen kan fortsætte med at operere, selv efter at dele af dens netværk er afsløret eller beslaglagt.

Denne modstandsdygtighed afspejler, hvad der skete i kølvandet på en af DeadLocks bekræftede indtrængninger. DeadLock ransomware-bruddet, der afslørede et årtis optegnelser fra Diater viste, hvor stor skade en enkelt vellykket indtrængning kan forårsage, når først sikkerhedskopier og detektionsevner er blevet fjernet, og hvor langvarige konsekvenserne kan være for de organisationer og enkeltpersoner, hvis data var involveret.

Hvad dette betyder for dig

For de fleste læsere er DeadLocks mål organisationer snarere end enkeltpersoner, men den underliggende lære gælder bredt. Hvis du administrerer IT for en virksomhed, eller du er ansvarlig for at beskytte følsomme data af enhver art, så gå ud fra, at en beslutsom angriber, der får fodfæste, vil forsøge at deaktivere dine sikkerhedsværktøjer og ødelægge dine sikkerhedskopier, ikke bare kryptere dine filer. Planlæg dit forsvar ud fra den antagelse snarere end ud fra håbet om, at antivirus alene vil fange det indledende forsøg.

For medarbejdere og fjernarbejdere understreger dette også værdien af at bruge sikrede, overvågede forbindelser snarere end ad hoc-fjernadgang, når man opretter forbindelse til arbejdssystemer, da svage indgangspunkter er præcis, hvad operationer som DeadLock er afhængige af for at komme i gang.

Praktiske råd at tage med

  • Stol ikke på endpoint-antivirus som dit eneste forsvar; kombiner det med overvågning for usædvanlig privilegieeskalering og lateral bevægelse.
  • Segmenter netværk, så en enkelt kompromitteret enhed ikke kan nå backup-systemer eller kritisk infrastruktur.
  • Oprethold offline eller uforanderlige sikkerhedskopier, og test gendannelse regelmæssigt.
  • Brug VPN'er og stærk autentificering til fjernadgang for at reducere de udsatte indgangspunkter.
  • Gennemgå virkelige hændelser som Diater-bruddet knyttet til DeadLock for at forstå de praktiske konsekvenser af at springe lagdelte forsvar over.

Beskyttelse mod DeadLock ransomware handler ikke om at finde ét perfekt værktøj. Det handler om at bygge overlappende forsvar, så selv hvis ét lag fejler, støder angriberen stadig på forhindringer, før de når punktet uden tilbagevenden.