Hvordan DeadLock bruger blockchain til at modstå nedlukninger

Ransomwaregrupper har længe været afhængige af servere, domæner og hostingudbydere, som sikkerhedsforskere og retshåndhævende myndigheder i sidste ende kan beslaglægge eller sortliste. DeadLock-ransomwaregruppen forsøger at fjerne dette svage punkt fra ligningen. Ifølge nyere rapportering lagrer DeadLock nu kritisk infrastrukturinformation, såsom proxy- eller kommunikationsadresser, på en offentlig blockchain i stedet for på servere, der kan tages offline ad konventionel vej.

Ved at forankre disse data i en decentral hovedbog gør DeadLock det langt sværere for forsvarere at forstyrre operationerne med en enkelt koordineret aktion. Traditionelle nedlukninger afhænger af at identificere et centralt fejlpunkt: en hostingudbyder, en domæneregistrator eller en IP-adresse, der kan overtages via sinkhole. Når den information i stedet ligger på en blockchain, er der ingen enkelt virksomhed eller enhed, man kan forkynde en retskendelse for, og ingen enkelt server at beslaglægge. Dataene består på tværs af et distribueret netværk af noder, som ingen enkeltperson kontrollerer, hvilket netop er den robusthedsegenskab, blockchainteknologi blev designet til at levere – nu genanvendt til kriminel infrastruktur.

Dette er ikke gruppens eneste skridt i retning af decentralisering og undvigelse. DeadLock er også blevet observeret i at føje Session-beskedappen til sit værktøjssæt som en måde at holde kommunikationen med ofre kørende, selv efter andre kanaler bliver forstyrret. Tilsammen peger disse valg på en bevidst strategi: byg redundans ind i hvert lag af operationen, så ingen enkelt forstyrrelsesindsats kan lukke det hele ned.

Hvorfor traditionelle taktikker til at forstyrre ransomware taber terræn

I årevis har standardmetoden til bekæmpelse af ransomware-infrastruktur involveret samarbejde mellem sikkerhedsforskere, hostingudbydere og retshåndhævende myndigheder om at identificere og nedbryde kommando- og kontrolservere, forhandlingsportaler og lækagesider. Denne tilgang har fungeret nogenlunde godt mod grupper, der er afhængige af centraliseret webhosting, fordi disse tjenester i sidste ende er underlagt retlig jurisdiktion og udbydernes servicevilkår.

Blockchainbaseret infrastruktur omgår meget af den løftestang. Der er ingen hostingvirksomhed at lægge pres på og ingen central registrator at underrette. Selv hvis forsvarere identificerer de blockchainadresser, DeadLock bruger, fortsætter det underliggende netværk med at køre uanset hvad. Dette flytter byrden tilbage til forsvarerne, som må fokusere på andre flaskehalse, såsom malwarens distributionsmetoder, betalingsstrømme eller de endepunkter, hvor krypteringen faktisk sker, i stedet for at forvente, at en enkelt, ren infrastrukturnedlukning løser problemet.

Det signalerer også en bredere tendens, der er værd at holde øje med. Efterhånden som decentral teknologi bliver lettere at bruge og mere bredt tilgængelig, vil andre ransomwareoperatører sandsynligvis eksperimentere med lignende robusthedsteknikker, hvilket betyder, at forsvarere ikke bør antage, at der er tale om en engangstaktik begrænset til en enkelt gruppe.

Hvad dette betyder for organisationer og enkeltpersoner i risikozonen

For de fleste organisationer handler den praktiske betydning af DeadLocks blockchaininfrastruktur mindre om selve teknologien og mere om, hvad den repræsenterer: Ransomwaregrupper bliver sværere at forstyrre udefra, hvilket betyder, at forebyggelse og inddæmning inde i ens eget netværk betyder mere end nogensinde. At vente på, at retshåndhævende myndigheder eller forskere nedbryder en gruppes infrastruktur, er ikke længere et pålideligt sikkerhedsnet – hvis det nogensinde virkelig var det.

Dette er især relevant for små og mellemstore virksomheder, der måske antager, at indsatsen mod ransomware i sidste ende vil neutralisere truslerne på deres vegne. DeadLocks tilgang er en påmindelse om, at ansvaret for robusthed primært ligger hos de organisationer, der er mål for angrebene, ikke hos det nedlukningsøkosystem, der forsøger at indhente efterslæbet bagefter.

Defensive skridt: Netværksisolering, VPN'er og reduktion af angrebsfladen

Den gode nyhed er, at grundprincipperne for ransomwareforsvar ikke har ændret sig, blot fordi en gruppes backend-infrastruktur er sværere at tage ned. Nogle få praktiske skridt er fortsat meget effektive:

  • Segmentér dit netværk, så en enkelt kompromitteret enhed eller konto ikke kan nå alle systemer. Netværksisolering begrænser, hvor langt ransomware kan sprede sig, selv efter den første adgang.
  • Brug en VPN til fjernadgang i stedet for at eksponere Remote Desktop Protocol eller andre administrationsporte direkte mod internettet. Reduktion af den offentlige angrebsflade gør det sværere for angribere overhovedet at finde et indgangspunkt.
  • Vedligehold offline, testede sikkerhedskopier, så datagendannelse ikke afhænger af at forhandle med angribere eller vente på infrastrukturnedlukninger.
  • Patch og overvåg endepunkter aggressivt, da ransomware typisk stadig kræver et første fodfæste via phishing, eksponerede tjenester eller upatchet software, før nogen blockchainbaseret backend kommer i spil.

Konklusion

DeadLocks brug af blockchaininfrastruktur til at modstå nedlukninger viser, hvordan ransomwareoperatører tilpasser sig hurtigere end de værktøjer, der traditionelt bruges til at bekæmpe dem. DeadLock-ransomwaregruppens tilgang med blockchaininfrastruktur ændrer ikke på, hvad der faktisk stopper et angreb: stærk netværkssegmentering, begrænset fjernadgang og pålidelige sikkerhedskopier. Organisationer, der behandler disse grundprincipper som løbende prioriteter snarere end engangsprojekter, vil være langt bedre rustet, uanset hvor robust en enkelt gruppes infrastruktur bliver.