Wie DeadLock Windows Defender deaktiviert und Backups löscht

DeadLock ist eine finanziell motivierte Ransomware-Operation, die Aufmerksamkeit erregt hat, weil sie bekannte Angriffstechniken mit einer Infrastruktur kombiniert, die speziell darauf ausgelegt ist, Zerschlagungsversuchen standzuhalten. Sicherheitsforscher, die die Gruppe beobachten, berichten, dass die DeadLock-Betreiber nicht einfach Malware ablegen und hoffen, dass sie an Sicherheitstools vorbeischlüpft. Stattdessen neutralisieren sie systematisch die Verteidigungsmaßnahmen des Opfers, noch bevor die Verschlüsselung beginnt.

Dieser Prozess beginnt in der Regel mit der Deaktivierung von Windows Defender, wodurch der integrierte Schutz entfernt wird, auf den viele Unternehmen als erste Verteidigungslinie vertrauen. Anschließend zielt DeadLock auf Backup-Systeme ab – ein besonders schädlicher Schritt, da Backups oft der schnellste Weg für ein Opfer sind, ohne Lösegeldzahlung wiederherzustellen. Schließlich löscht die Gruppe die Windows-Ereignisprotokolle und beseitigt so einen Großteil der forensischen Spuren, die Incident Responder normalerweise nutzen würden, um den Angriff zu rekonstruieren und zu verstehen, wie er passiert ist.

Die Kombination ist bewusst gewählt. Wenn die Dateien tatsächlich verschlüsselt werden, hat die Opferorganisation ihr Sicherheitsnetz und einen Großteil ihrer Fähigkeit zur Untersuchung des Einbruchs bereits verloren. Es handelt sich hier nicht um Smash-and-Grab-Malware, sondern um eine strukturierte Operation, die darauf abzielt, den Druck auf das Opfer zu maximieren.

Warum Endpoint Security allein gegen moderne Ransomware versagt

Das Playbook von DeadLock ist eine deutliche Erinnerung daran, dass Endpoint-Antivirus, selbst wenn es sich um ein leistungsfähiges Produkt wie Windows Defender handelt, keine eigenständige Lösung ist. Wenn ein Ransomware-Angreifer genügend Berechtigungen im Netzwerk erlangt, um Sicherheitssoftware zu deaktivieren, Backups zu löschen und Protokolle zu leeren, bedeutet dies, dass er bereits weit über den Punkt hinaus ist, an dem ein einzelnes Werkzeug ihn hätte aufhalten können.

Moderne Ransomware-Gruppen planen zunehmend genau dieses Szenario ein. Sie gehen davon aus, dass die Verteidiger Antivirus-Software im Einsatz haben, und bauen Schritte ein, um sie gezielt abzuschalten oder zu umgehen. Dadurch verlagert sich das eigentliche Schlachtfeld von „fängt der Antivirus die Datei“ hin zu „wie schnell können verdächtige laterale Bewegungen, Rechteausweitungen oder ungewöhnliche administrative Aktivitäten erkannt und gestoppt werden, bevor die Verschlüsselung beginnt?“

Deshalb sprechen Sicherheitsteams zunehmend von Erkennung und Reaktion und nicht mehr nur von Prävention. Eine einzige kompromittierte Anmeldeinformation oder ein falsch konfiguriertes System kann ausreichen, damit ein Angreifer den Punkt erreicht, an dem er Schutzmaßnahmen deaktiviert, anstatt sie zu umgehen. Endpoint-Tools bleiben wertvoll, funktionieren aber am besten als eine von mehreren Ebenen und nicht als letzte Verteidigungslinie.

Abgestufte Verteidigung: Netzwerksegmentierung, VPNs und Offline-Backups

Da die Taktiken von DeadLock darauf ausgerichtet sind, die Wiederherstellungsmöglichkeiten des Opfers zu beseitigen, konzentrieren sich die wirksamsten Gegenmaßnahmen darauf, die Bewegungsfreiheit eines Angreifers einzuschränken und Wiederherstellungspfade zu gewährleisten, die der Angreifer nicht erreichen kann.

Netzwerksegmentierung ist einer der praktischsten Schritte, die Unternehmen ergreifen können. Durch die Aufteilung von Netzwerken in kleinere, isolierte Zonen erhält ein kompromittierter Arbeitsplatzrechner oder Server nicht automatisch einen Pfad zu Backup-Servern, Domänencontrollern oder anderen hochwertigen Systemen. Diese Eindämmung kann den Unterschied zwischen einem begrenzten Vorfall und einer organisationsweiten Abschaltung ausmachen.

Ebenso wichtig ist sicherer Fernzugriff. VPNs und andere Tools für den verschlüsselten Zugriff helfen sicherzustellen, dass Verbindungen in Unternehmensnetzwerke – insbesondere für Remote-Mitarbeiter und Drittanbieter – authentifiziert und überwacht werden und nicht als offene Tür offenstehen. In Kombination mit starken Zugriffskontrollen reduziert dies die Anzahl der Einstiegspunkte, die ein Angreifer wie die DeadLock-Betreiber ausnutzen kann, um den ersten Halt zu gewinnen, bevor sie ihre Privilegien ausweiten.

Besondere Aufmerksamkeit verdienen Offline- oder unveränderliche Backups, da DeadLock gezielt auf die Zerstörung von Wiederherstellungsdaten abzielt. Backups, die vom Netzwerk getrennt sind oder so gespeichert werden, dass selbst ein Administrator sie nicht verändern kann, können nicht zusammen mit den Produktivsystemen gelöscht oder verschlüsselt werden. Das regelmäßige Testen, ob diese Backups tatsächlich korrekt wiederhergestellt werden können, ist ebenso wichtig wie ihre Pflege an sich.

Was DeadLocks Taktiken über dezentrale Ransomware-Infrastruktur verraten

Über die technischen Schritte gegen einzelne Opfer hinaus deuten die Infrastrukturentscheidungen von DeadLock auf einen breiteren Trend unter Ransomware-Betreibern hin: den Aufbau von Systemen, die darauf ausgelegt sind, dem Druck von Strafverfolgungsbehörden und Zerschlagungsversuchen standzuhalten. Dezentrale Infrastruktur macht es Verteidigern und Behörden schwerer, eine gesamte Operation durch Angriff auf einen einzelnen Server oder eine einzelne Domain zu stören, sodass die Gruppe selbst dann weiter operieren kann, wenn Teile ihres Netzwerks offengelegt oder beschlagnahmt werden.

Diese Widerstandsfähigkeit spiegelt wider, was nach einem der bestätigten Einbrüche von DeadLock geschah. Der DeadLock-Ransomware-Angriff, der ein Jahrzehnt an Daten von Diater offenlegte zeigte, wie viel Schaden ein einziger erfolgreicher Eindringling anrichten kann, sobald Backups und Erkennungsfähigkeiten beseitigt wurden, und wie langfristig die Folgen für die betroffenen Organisationen und Einzelpersonen sein können.

Was das für Sie bedeutet

Für die meisten Leser sind die Ziele von DeadLock eher Organisationen als Einzelpersonen, aber die grundlegende Lehre gilt allgemein. Wenn Sie die IT für ein Unternehmen verwalten oder für den Schutz sensibler Daten jeglicher Art verantwortlich sind, gehen Sie davon aus, dass ein entschlossener Angreifer, der Fuß fasst, versuchen wird, Ihre Sicherheitstools zu deaktivieren und Ihre Backups zu zerstören – nicht nur Ihre Dateien zu verschlüsseln. Planen Sie Ihre Verteidigung ausgehend von dieser Annahme und nicht in der Hoffnung, dass die Antivirus-Software allein den ersten Versuch abfängt.

Für Mitarbeiter und Remote Worker unterstreicht dies auch den Wert der Nutzung gesicherter, überwachter Verbindungen anstelle von Ad-hoc-Fernzugriffen bei der Verbindung zu Arbeitssystemen, da schwache Einstiegspunkte genau das sind, worauf Operationen wie DeadLock angewiesen sind, um überhaupt erst zu starten.

Umsetzbare Erkenntnisse

  • Verlassen Sie sich nicht auf Endpoint-Antivirus als einzige Verteidigung; kombinieren Sie sie mit der Überwachung auf ungewöhnliche Rechteausweitungen und laterale Bewegungen.
  • Segmentieren Sie Netzwerke so, dass ein kompromittiertes Gerät nicht auf Backup-Systeme oder kritische Infrastruktur zugreifen kann.
  • Pflegen Sie Offline- oder unveränderliche Backups und testen Sie die Wiederherstellung regelmäßig.
  • Nutzen Sie VPNs und starke Authentifizierung für den Fernzugriff, um offene Einstiegspunkte zu reduzieren.
  • Analysieren Sie reale Vorfälle wie den mit DeadLock verbundenen Diater-Datenleck, um die praktischen Konsequenzen zu verstehen, wenn man auf mehrschichtige Verteidigung verzichtet.

Der Schutz vor DeadLock-Ransomware dreht sich nicht um das Finden eines perfekten Tools. Es geht darum, überlappende Verteidigungsmaßnahmen aufzubauen, sodass selbst bei Versagen einer Ebene der Angreifer immer noch auf Hindernisse stößt, bevor er den Punkt ohne Wiederkehr erreicht.