DeadLock-Ransomware nutzt Blockchain, um Takedowns zu umgehen

Wie DeadLock Blockchain nutzt, um Takedowns zu widerstehen

Ransomware-Gruppen haben sich lange auf Server, Domains und Hosting-Anbieter verlassen, die Sicherheitsforscher und Strafverfolgungsbehörden irgendwann beschlagnahmen oder auf Sperrlisten setzen können. Die DeadLock-Ransomware-Gruppe versucht, diese Schwachstelle aus der Gleichung zu entfernen. Jüngsten Berichten zufolge speichert DeadLock jetzt kritische Infrastrukturinformationen wie Proxy- oder Kommunikationsadressen in einer öffentlichen Blockchain statt auf Servern, die mit herkömmlichen Mitteln vom Netz genommen werden können.

Indem DeadLock diese Daten in einem dezentralen Ledger verankert, macht es die Gruppe für Verteidiger weitaus schwieriger, den Betrieb mit einer einzigen koordinierten Aktion zu stören. Herkömmliche Takedowns beruhen darauf, einen zentralen Schwachpunkt zu identifizieren: einen Hosting-Anbieter, eine Domain-Registrierungsstelle oder eine IP-Adresse, die übernommen oder stillgelegt werden kann. Wenn diese Informationen stattdessen in einer Blockchain liegen, gibt es kein einzelnes Unternehmen und keine einzelne Stelle, der man eine rechtliche Anordnung zustellen könnte, und keinen einzelnen Server, den man beschlagnahmen könnte. Die Daten bleiben über ein verteiltes Netzwerk von Knoten bestehen, das niemand individuell kontrolliert – genau die Ausfallsicherheit, für die die Blockchain-Technologie ursprünglich entwickelt wurde, nun zweckentfremdet für kriminelle Infrastruktur.

Dies ist nicht der einzige Schritt der Gruppe in Richtung Dezentralisierung und Umgehung. DeadLock wurde außerdem dabei beobachtet, die Messaging-App Session in sein Toolkit aufzunehmen, um die Kommunikation mit Opfern auch dann aufrechtzuerhalten, wenn andere Kanäle gestört werden. Zusammengenommen deuten diese Entscheidungen auf eine bewusste Strategie hin: Redundanz in jede Ebene der Operation einzubauen, damit keine einzelne Störmaßnahme das gesamte System lahmlegen kann.

Warum herkömmliche Taktiken zur Störung von Ransomware an Boden verlieren

Jahrelang bestand das Standardvorgehen bei der Bekämpfung von Ransomware-Infrastruktur in der Zusammenarbeit zwischen Sicherheitsforschern, Hosting-Anbietern und Strafverfolgungsbehörden, um Command-and-Control-Server, Verhandlungsportale und Leak-Seiten zu identifizieren und zu zerschlagen. Dieser Ansatz hat gegen Gruppen, die auf zentralisiertes Webhosting setzen, recht gut funktioniert, weil diese Dienste letztlich einer Rechtsordnung und den Nutzungsbedingungen der Anbieter unterliegen.

Blockchain-basierte Infrastruktur umgeht einen Großteil dieses Hebels. Es gibt kein Hosting-Unternehmen, das unter Druck gesetzt werden könnte, und keine zentrale Registrierungsstelle, die benachrichtigt werden könnte. Selbst wenn Verteidiger die von DeadLock verwendeten Blockchain-Adressen identifizieren, läuft das zugrunde liegende Netzwerk ungeachtet dessen weiter. Dadurch verlagert sich die Last zurück auf die Verteidiger, sich auf andere Engpässe zu konzentrieren – etwa die Verbreitungswege der Malware, Zahlungsströme oder die Endpunkte, an denen die Verschlüsselung tatsächlich stattfindet –, statt darauf zu hoffen, dass ein einmaliger, sauberer Infrastruktur-Takedown das Problem löst.

Es deutet zudem auf einen breiteren Trend hin, den man beobachten sollte. Da dezentrale Technologien einfacher zu nutzen und breiter verfügbar werden, werden wahrscheinlich auch andere Ransomware-Betreiber mit ähnlichen Resilienztechniken experimentieren. Verteidiger sollten also nicht davon ausgehen, dass es sich um eine einmalige Taktik einer einzelnen Gruppe handelt.

Was das für gefährdete Organisationen und Einzelpersonen bedeutet

Für die meisten Organisationen liegt die praktische Auswirkung von DeadLocks Blockchain-Infrastruktur weniger in der Technologie selbst als vielmehr in dem, was sie bedeutet: Ransomware-Gruppen lassen sich von außen immer schwerer stören, sodass Prävention und Eindämmung im eigenen Netzwerk wichtiger denn je sind. Darauf zu warten, dass Strafverfolgungsbehörden oder Forscher die Infrastruktur einer Gruppe zerschlagen, ist kein verlässliches Sicherheitsnetz mehr – falls es das jemals wirklich war.

Dies ist besonders relevant für kleine und mittelständische Unternehmen, die möglicherweise davon ausgehen, dass Maßnahmen zur Störung von Ransomware die Bedrohungen irgendwann in ihrem Namen neutralisieren. DeadLocks Ansatz erinnert daran, dass die Verantwortung für Resilienz in erster Linie bei den angegriffenen Organisationen selbst liegt und nicht bei dem Takedown-Ökosystem, das im Nachhinein versucht, aufzuholen.

Abwehrmaßnahmen: Netzwerkisolation, VPNs und die Verringerung der Angriffsfläche

Die gute Nachricht ist, dass sich die Grundlagen der Ransomware-Abwehr nicht allein deshalb geändert haben, weil die Backend-Infrastruktur einer Gruppe schwerer lahmzulegen ist. Einige praktische Schritte bleiben äußerst wirksam:

• Segmentieren Sie Ihr Netzwerk, damit ein einzelnes kompromittiertes Gerät oder Konto nicht jedes System erreichen kann. Netzwerkisolation begrenzt, wie weit sich Ransomware selbst nach einem ersten Zugriff ausbreiten kann.
• Nutzen Sie ein VPN für den Fernzugriff, statt das Remote-Desktop-Protokoll oder andere Verwaltungsports direkt dem Internet auszusetzen. Eine kleinere öffentliche Angriffsfläche macht es Angreifern von vornherein schwerer, einen Einstiegspunkt zu finden.
• Pflegen Sie Offline-Backups und testen Sie diese, damit die Datenwiederherstellung nicht von Verhandlungen mit Angreifern oder vom Warten auf Infrastruktur-Takedowns abhängt.
• Patchen und überwachen Sie Endpunkte konsequent, denn Ransomware benötigt in der Regel weiterhin einen ersten Fuß in der Tür – durch Phishing, offene Dienste oder ungepatchte Software –, bevor ein blockchainbasiertes Backend ins Spiel kommt.

Keine dieser Maßnahmen erfordert exotische Werkzeuge, wohl aber Konsequenz und Durchhaltevermögen – genau daran scheitern Organisationen oft.

Fazit

DeadLocks Nutzung von Blockchain-Infrastruktur, um Takedowns zu widerstehen, zeigt, wie sich Ransomware-Betreiber schneller anpassen als die Werkzeuge, die traditionell zu ihrer Bekämpfung eingesetzt werden. Der Ansatz der DeadLock-Ransomware mit Blockchain-Infrastruktur ändert nichts daran, was einen Angriff tatsächlich stoppt: starke Netzwerksegmentierung, eingeschränkter Fernzugriff und zuverlässige Backups. Organisationen, die diese Grundlagen als dauerhafte Priorität und nicht als einmaliges Projekt behandeln, sind deutlich besser aufgestellt – unabhängig davon, wie widerstandsfähig die Infrastruktur einer einzelnen Gruppe wird.