Cómo DeadLock desactiva Windows Defender y borra las copias de seguridad
DeadLock es una operación de ransomware con fines económicos que ha llamado la atención por combinar técnicas de intrusión conocidas con una infraestructura diseñada específicamente para resistir los intentos de desmantelamiento. Según los investigadores de seguridad que siguen al grupo, los operadores de DeadLock no se limitan a soltar el malware y esperar que esquive las herramientas de seguridad. En lugar de eso, neutralizan metódicamente las defensas de la víctima antes incluso de que empiece el cifrado.
Ese proceso suele comenzar con la desactivación de Windows Defender, eliminando la protección integrada en la que muchas organizaciones confían como su principal línea de defensa. A partir de ahí, DeadLock ataca los sistemas de copias de seguridad, un paso especialmente perjudicial porque las copias de seguridad suelen ser la forma más rápida de que una víctima se recupere sin pagar un rescate. Por último, el grupo borra los registros de eventos de Windows, eliminando gran parte del rastro forense que los equipos de respuesta a incidentes normalmente utilizarían para reconstruir el ataque y entender cómo ocurrió.
La combinación es deliberada. Para cuando los archivos se cifran realmente, la organización víctima ya ha perdido su red de seguridad y gran parte de su capacidad para investigar la intrusión. No se trata de un malware de "golpe y fuga"; es una operación estructurada diseñada para maximizar el control sobre la víctima.
Por qué la seguridad de los endpoints por sí sola falla contra el ransomware moderno
El manual de DeadLock es un recordatorio contundente de que el antivirus para endpoints, incluso cuando es un producto capaz como Windows Defender, no es una solución independiente. Si un operador de ransomware obtiene suficientes privilegios en una red como para desactivar el software de seguridad, eliminar las copias de seguridad y borrar los registros, significa que ya ha superado con creces el punto en el que una sola herramienta podría haberlo detenido.
Los grupos de ransomware modernos planean cada vez más para este escenario exacto. Asumen que los defensores tienen un antivirus en funcionamiento e incorporan pasos específicamente para desactivarlo o eludirlo. Eso traslada el verdadero campo de batalla de "¿detectará el antivirus el archivo?" a "¿con qué rapidez se pueden detectar y detener los movimientos laterales sospechosos, la escalada de privilegios o la actividad administrativa inusual antes de que comience el cifrado?"
Por eso los equipos de seguridad hablan cada vez más de detección y respuesta en lugar de solo prevención. Una sola credencial comprometida o un sistema mal configurado pueden bastar para que un atacante llegue al punto de desactivar las protecciones en lugar de evadirlas. Las herramientas de endpoint siguen siendo valiosas, pero funcionan mejor como una capa más entre varias, no como la última línea de defensa.
Defensas en capas: segmentación de redes, VPN y copias de seguridad sin conexión
Dado que las tácticas de DeadLock se basan en eliminar las opciones de recuperación de la víctima, las contramedidas más eficaces se centran en limitar hasta dónde puede moverse un atacante y en garantizar que existan vías de recuperación a las que el atacante no pueda acceder.
La segmentación de redes es una de las medidas más prácticas que pueden adoptar las organizaciones. Al dividir las redes en zonas más pequeñas y aisladas, una estación de trabajo o un servidor comprometidos no le abren automáticamente al atacante un camino hacia los servidores de copias de seguridad, los controladores de dominio u otros sistemas de alto valor. Esta contención puede marcar la diferencia entre un incidente controlado y un cierre de toda la organización.
El acceso remoto seguro es igualmente importante. Las VPN y otras herramientas de acceso cifrado ayudan a garantizar que las conexiones a las redes corporativas, en particular las de los empleados remotos y los proveedores externos, se autentiquen y se supervisen, en lugar de dejarlas como una puerta abierta. Combinado con controles de acceso sólidos, esto reduce la cantidad de puntos de entrada que un atacante como los operadores de DeadLock puede explotar para conseguir el punto de apoyo inicial que necesita antes de escalar privilegios.
Las copias de seguridad sin conexión o inmutables merecen una atención especial, dado el enfoque específico de DeadLock en destruir los datos de recuperación. Las copias de seguridad que están desconectadas de la red o que se almacenan de forma que impidan su modificación incluso por parte de una cuenta de administrador no pueden eliminarse ni cifrarse junto con los sistemas de producción. Probar periódicamente que estas copias de seguridad se restauran correctamente es tan importante como mantenerlas en primer lugar.
Lo que las tácticas de DeadLock revelan sobre la infraestructura de ransomware descentralizada
Más allá de los pasos técnicos que se dan contra las víctimas individuales, las decisiones de infraestructura de DeadLock apuntan a una tendencia más amplia entre los operadores de ransomware: construir sistemas diseñados para sobrevivir a la presión de las fuerzas del orden y a los intentos de desmantelamiento. La infraestructura descentralizada dificulta que los defensores y las autoridades puedan interrumpir toda una operación apuntando a un solo servidor o dominio, lo que significa que el grupo puede seguir operando incluso después de que partes de su red hayan quedado expuestas o hayan sido incautadas.
Esta resiliencia refleja lo que ocurrió tras una de las intrusiones confirmadas de DeadLock. La brecha del ransomware DeadLock que expuso una década de registros de Diater mostró el enorme daño que una sola intrusión exitosa puede causar una vez que se han eliminado las copias de seguridad y las capacidades de detección, y lo duraderas que pueden ser las consecuencias para las organizaciones y las personas cuyos datos se vieron implicados.
Lo que esto significa para usted
Para la mayoría de los lectores, los objetivos de DeadLock son organizaciones más que particulares, pero la lección subyacente se aplica de forma general. Si gestionas la TI de una empresa o eres responsable de proteger datos sensibles de cualquier tipo, asume que un atacante decidido que consiga un punto de apoyo intentará desactivar tus herramientas de seguridad y destruir tus copias de seguridad, no solo cifrar tus archivos. Planifica tus defensas en torno a esa suposición, en lugar de esperar que el antivirus por sí solo detecte el intento inicial.
Para los empleados y los trabajadores remotos, esto también refuerza el valor de utilizar conexiones seguras y supervisadas en lugar de un acceso remoto improvisado cuando se conectan a los sistemas de trabajo, ya que los puntos de entrada débiles son precisamente en lo que se basan operaciones como DeadLock para iniciarse.
Conclusiones prácticas
- No dependa del antivirus de endpoint como única defensa; combínelo con la supervisión de escaladas de privilegios y movimientos laterales inusuales.
- Segmente las redes para que un solo dispositivo comprometido no pueda llegar a los sistemas de copias de seguridad ni a la infraestructura crítica.
- Mantenga copias de seguridad sin conexión o inmutables y pruebe la restauración con regularidad.
- Utilice VPN y una autenticación fuerte para el acceso remoto a fin de reducir los puntos de entrada expuestos.
- Analice incidentes reales como la brecha de Diater vinculada a DeadLock para entender las consecuencias prácticas de omitir las defensas en capas.
La protección contra el ransomware DeadLock no consiste en encontrar la herramienta perfecta. Se trata de construir defensas superpuestas para que, incluso si una capa falla, el atacante se tope con obstáculos antes de llegar al punto de no retorno.
