Eine Ransomware-Operation namens DeadLock hat einen neuen Weg gefunden, ihre Angriffsinfrastruktur am Leben zu erhalten: Sie versteckt Teile ihrer Command-and-Control-Konfiguration (C2) auf der Polygon-Blockchain. Die Gruppe, die bereits mehr als 80 Opfer weltweit durch doppelte Erpressung für sich beansprucht, nutzt dieselben Dezentralisierungsprinzipien, die auch Kryptowährungen antreiben, um ihre Operationen für Verteidiger und Strafverfolgungsbehörden schwerer abschaltbar zu machen.
Wie DeadLock seine Befehlsinfrastruktur auf Polygon versteckt
Herkömmliche Ransomware setzt auf Server, die Sicherheitsforscher und Strafverfolgungsbehörden identifizieren, beschlagnahmen oder sinkholen können, sobald sie entdeckt werden. Die Betreiber von DeadLock umgehen diese Verwundbarkeit offenbar, indem sie C2-Konfigurationsdaten direkt auf der Polygon-Blockchain speichern – einem öffentlichen Netzwerk, das üblicherweise für Kryptowährungstransaktionen und dezentrale Anwendungen genutzt wird.
Indem sie Konfigurationsdetails in Blockchain-Transaktionen oder Smart Contracts schreiben, kann die Malware Anweisungen aus einer Quelle beziehen, die auf keinem einzelnen Server gehostet wird. Es gibt keine Domain zu beschlagnahmen und keinen Hosting-Anbieter, den man unter Druck setzen könnte, den Stecker zu ziehen. Solange das Polygon-Netzwerk selbst läuft, bleiben die Daten, auf die DeadLock angewiesen ist, zugänglich. Dies spiegelt einen breiteren Trend wider, den Sicherheitsteams bei anderen Malware-Familien beobachten, die mit On-Chain-Infrastruktur experimentieren; sein Auftauchen in einer aktiven Ransomware-Kampagne unterstreicht jedoch, wie schnell sich diese Techniken über die Proof-of-Concept-Forschung hinaus verbreiten.
Dieser Ansatz baut auf Taktiken auf, die DeadLock bereits aggressiv einzusetzen bereit war. Wie in einer früheren Berichterstattung darüber, wie DeadLock-Ransomware Defender, Backups und Ereignisprotokolle löscht, beschrieben, kombiniert die Gruppe bekannte Eindringmethoden mit einem gezielten Fokus darauf, alles zu beseitigen, was einem Opfer bei der Wiederherstellung helfen oder Ermittlern die Spurensuche ermöglichen könnte.
Warum Blockchain-basierte C2 schwerer abzuschalten ist als herkömmliche Server
Die Abschaltung von Ransomware stützt sich normalerweise darauf, zentrale Schwachstellen zu identifizieren und zu stören: einen Command-Server, einen Domain-Registrar, einen kooperationsbereiten Hosting-Anbieter. Öffentliche Blockchains bieten diese Art von einzelnem Ziel nicht. Polygon ist, wie andere Blockchain-Netzwerke auch, auf Tausende unabhängiger Knoten verteilt, ohne einen zentralen Betreiber, der einfach eine Transaktion löschen oder eine Adresse sperren könnte.
Genau diese Widerstandsfähigkeit macht dezentrale Ledger für Angreifer attraktiv, die Vollstreckungsbemühungen überdauern wollen. Selbst wenn Sicherheitsforscher den konkreten Vertrag oder die Wallet-Adresse identifizieren, die DeadLock verwendet, ist es unrealistisch, diese Daten von der Blockchain zu entfernen, sobald sie einmal aufgezeichnet wurden. Ermittler können die Aktivität überwachen und möglicherweise zugehörige Wallets zurückverfolgen, aber sie können nicht dieselben Hebel in Bewegung setzen wie bei einem gemieteten Server in einem Rechenzentrum. Das verschiebt das Gleichgewicht im Kampf: Verteidiger müssen sich stärker darauf konzentrieren, das Verhalten der Malware auf infizierten Systemen zu erkennen, anstatt darauf zu zählen, die Lieferkette ihrer Infrastruktur zu unterbrechen.
Wer ins Visier genommen wird und was doppelte Erpressung für Opfer bedeutet
Die Opferzahl von DeadLock, die inzwischen weltweit bei über 80 Organisationen liegt, spiegelt ein Modell der doppelten Erpressung wider, das bei finanziell motivierten Ransomware-Gruppen zum Standard geworden ist. Die Malware verschlüsselt die Dateien eines Opfers und unterbricht den Zugang zu kritischen Systemen, während die Betreiber gleichzeitig damit drohen, gestohlene Daten öffentlich zu veröffentlichen, falls kein Lösegeld gezahlt wird. Das gibt den Opfern zwei getrennte Gründe zu zahlen: den Betrieb wiederherzustellen und eine schädliche Datenoffenlegung zu verhindern.
Die Konsequenzen dieser zweiten Drohung wurden in einem Fall konkret, über den auf dieser Seite bereits berichtet wurde: Ein DeadLock-Ransomware-Angriff legte ein Jahrzehnt an Aufzeichnungen bei Diater offen, einem biopharmazeutischen Unternehmen, dessen sensible Gesundheitsdaten gefährdet wurden. Dieser Vorfall zeigt, dass Kampagnen mit doppelter Erpressung nicht mit der Lösegeldentscheidung enden; offengelegte Daten können noch lange nach Abschluss eines Angriffs zirkulieren und Patienten, Kunden oder Partner betreffen, die direkt keine Rolle bei dem Vorfall spielten.
Was das für Sie bedeutet
Die meisten Leser werden nicht direkt Ziel einer Ransomware-Gruppe wie DeadLock sein, aber die Auswirkungen dieser Angriffe erreichen ganz normale Menschen, deren persönliche Daten in den Systemen der angegriffenen Organisationen liegen. Ein Blockchain-resistenter C2-Aufbau ändert nichts daran, was auf Ihrer Seite eines Vorfalls passiert: Ihre Informationen können trotzdem in einem Leak landen, unabhängig davon, wie ausgefeilt die Backend-Infrastruktur des Angreifers ist.
Für Unternehmen ist die Botschaft direkter. Ransomware-Gruppen leihen sich Ausfallsicherheitstechniken aus der Krypto-Welt, gerade weil Abschaltungen zu einer echten Abschreckung geworden sind. Das bedeutet, dass der Kampf zunehmend früher stattfinden muss, am Punkt des Eindringens und der Verschlüsselung, anstatt sich darauf zu verlassen, die Infrastruktur im Nachhinein zu stören.
Praktische Abwehr gegen Ransomware wie DeadLock
Ein paar grundlegende Dinge zählen noch immer mehr als jedes einzelne Sicherheitsprodukt. Halten Sie offline gespeicherte, unveränderliche Backups vor, die Ransomware nicht erreichen oder zusammen mit Ihren primären Systemen löschen kann. Segmentieren Sie Netzwerke, damit ein einzelner kompromittierter Endpunkt nicht zu einer vollständigen Verschlüsselung geteilter Laufwerke und Server führen kann. Halten Sie Endpoint-Detection-Tools auf dem neuesten Stand und überwachen Sie auf Verhalten, das mit dem Deaktivieren von Sicherheitssoftware oder dem Löschen von Ereignisprotokollen einhergeht – ein Muster, das DeadLock schon vor der vollständigen Kontrolle über ein Netzwerk verwendet hat.
Das Aufkommen von Blockchain-basiertem C2-Widerstand gegen Abschaltungen bei Ransomware ist eine Erinnerung daran, dass Angreifer sich schneller anpassen, als jedes einzelne Verteidigungswerkzeug mithalten kann. Mehrschichtige Sicherheit, getestete Backups und schnelle Erkennung bleiben der zuverlässigste Weg, den Schaden zu begrenzen, wenn Prävention allein nicht ausreicht. Sich darüber zu informieren, wie Gruppen wie DeadLock vorgehen, und jetzt grundlegende Schutzmaßnahmen zu ergreifen, ist nach wie vor der praktischste Weg, das eigene Risiko für den nächsten schlagzeilenträchtigen Vorfall zu verringern.
