Cómo usa DeadLock la blockchain para resistir los desmantelamientos

Los grupos de ransomware han dependido durante mucho tiempo de servidores, dominios y proveedores de alojamiento que los investigadores de seguridad y las fuerzas del orden pueden eventualmente incautar o incluir en listas negras. El grupo de ransomware DeadLock está intentando eliminar ese punto débil de la ecuación. Según informes recientes, DeadLock ahora almacena información crítica de infraestructura, como direcciones de proxy o de comunicación, en una blockchain pública en lugar de en servidores que pueden desconectarse por medios convencionales.

Al anclar estos datos a un libro de contabilidad descentralizado, DeadLock hace mucho más difícil que los defensores interrumpan las operaciones con una única acción coordinada. Los desmantelamientos tradicionales dependen de identificar un punto central de fallo: un proveedor de alojamiento, un registrador de dominios o una dirección IP que pueda ser redirigida a un sinkhole. Cuando esa información reside en cambio en una blockchain, no hay una única empresa o entidad a la que entregar una orden judicial ni un único servidor que incautar. Los datos persisten en una red distribuida de nodos que nadie controla individualmente, que es exactamente la propiedad de resiliencia que la tecnología blockchain fue diseñada para proporcionar, ahora reutilizada para infraestructura criminal.

Este no es el único movimiento del grupo hacia la descentralización y la evasión. También se ha observado a DeadLock añadiendo la aplicación de mensajería Session a su arsenal como una forma de mantener las comunicaciones con las víctimas funcionando incluso después de que otros canales se vean interrumpidos. En conjunto, estas decisiones apuntan a una estrategia deliberada: incorporar redundancia en cada capa de la operación para que ningún esfuerzo de interrupción único pueda apagar todo el sistema.

Por qué las tácticas tradicionales de desarticulación de ransomware están perdiendo terreno

Durante años, el manual estándar para combatir la infraestructura de ransomware ha implicado la cooperación entre investigadores de seguridad, proveedores de alojamiento y fuerzas del orden para identificar y desmantelar servidores de mando y control, portales de negociación y sitios de filtración. Este enfoque ha funcionado razonablemente bien contra grupos que dependen de alojamiento web centralizado, porque esos servicios están en última instancia sujetos a la jurisdicción legal y a los términos de servicio de los proveedores.

La infraestructura basada en blockchain evita gran parte de esa influencia. No hay una empresa de alojamiento a la que presionar ni un registrador central al que notificar. Incluso si los defensores identifican las direcciones de blockchain que utiliza DeadLock, la red subyacente sigue funcionando de todos modos. Esto devuelve la carga a los defensores para que se centren en otros puntos de estrangulamiento, como los métodos de distribución del malware, los flujos de pago o los endpoints donde realmente se produce el cifrado, en lugar de esperar que un desmantelamiento de infraestructura limpio y puntual resuelva el problema.

También señala una tendencia más amplia que vale la pena observar. A medida que las tecnologías descentralizadas se vuelven más fáciles de usar y están más disponibles, es probable que otros operadores de ransomware experimenten con técnicas de resiliencia similares, lo que significa que los defensores no deben asumir que se trata de una táctica puntual limitada a un solo grupo.

Qué significa esto para las organizaciones y las personas en riesgo

Para la mayoría de las organizaciones, el impacto práctico de la infraestructura blockchain de DeadLock tiene menos que ver con la tecnología en sí y más con lo que representa: los grupos de ransomware son cada vez más difíciles de interrumpir desde fuera, lo que significa que la prevención y la contención dentro de su propia red importan más que nunca. Esperar a que las fuerzas del orden o los investigadores desmantelen la infraestructura de un grupo ya no es una red de seguridad fiable, si es que alguna vez lo fue realmente.

Esto es especialmente relevante para las pequeñas y medianas empresas que pueden suponer que los esfuerzos de desarticulación de ransomware acabarán neutralizando las amenazas en su nombre. El enfoque de DeadLock es un recordatorio de que la responsabilidad de la resiliencia recae principalmente en las organizaciones objetivo, no en el ecosistema de desmantelamiento que intenta ponerse al día después del hecho.

Medidas defensivas: aislamiento de red, VPN y reducción de la superficie de ataque

La buena noticia es que los fundamentos de la defensa contra ransomware no han cambiado solo porque la infraestructura de backend de un grupo sea más difícil de desmantelar. Algunas medidas prácticas siguen siendo muy eficaces:

  • Segmente su red para que un único dispositivo o cuenta comprometidos no puedan acceder a todos los sistemas. El aislamiento de red limita hasta dónde puede propagarse el ransomware incluso después del acceso inicial.
  • Utilice una VPN para el acceso remoto en lugar de exponer el protocolo de escritorio remoto u otros puertos de administración directamente a internet. Reducir la superficie de ataque pública dificulta que los atacantes encuentren un punto de entrada en primer lugar.
  • Mantenga copias de seguridad sin conexión y probadas para que la recuperación de datos no dependa de negociar con los atacantes ni de esperar desmantelamientos de infraestructura.
  • Aplique parches y supervise los endpoints de forma agresiva, ya que el ransomware normalmente sigue necesitando un punto de apoyo inicial mediante phishing, servicios expuestos o software sin parches antes de que entre en juego cualquier backend basado en blockchain.

Ninguna de estas medidas requiere herramientas exóticas, pero sí requieren constancia y seguimiento, que es a menudo donde las organizaciones se quedan cortas.

Conclusión

El uso que hace DeadLock de la infraestructura blockchain para resistir los desmantelamientos muestra cómo los operadores de ransomware se están adaptando más rápido que las herramientas utilizadas tradicionalmente para combatirlos. El enfoque de infraestructura blockchain del ransomware DeadLock no cambia lo que realmente detiene un ataque: una segmentación de red sólida, un acceso remoto restringido y copias de seguridad fiables. Las organizaciones que traten estos fundamentos como prioridades continuas, y no como proyectos puntuales, estarán mucho mejor posicionadas independientemente de lo resiliente que se vuelva la infraestructura de cualquier grupo.