Una operación de ransomware conocida como DeadLock ha encontrado una nueva forma de mantener viva su infraestructura de ataque: ocultando partes de su configuración de comando y control (C2) en la blockchain Polygon. El grupo, que ya ha reivindicado más de 80 víctimas en todo el mundo mediante la doble extorsión, está utilizando los mismos principios de descentralización que sustentan las criptomonedas para dificultar que los defensores y las fuerzas del orden puedan desmantelar sus operaciones.
Cómo DeadLock oculta su infraestructura de comando en Polygon
El ransomware tradicional depende de servidores que los investigadores de seguridad y las fuerzas del orden pueden identificar, incautar o redirigir una vez descubiertos. Los operadores de DeadLock parecen estar evitando esa vulnerabilidad al almacenar los datos de configuración del C2 directamente en la blockchain Polygon, una red pública que normalmente se utiliza para transacciones con criptomonedas y aplicaciones descentralizadas.
Al grabar los detalles de configuración en transacciones de blockchain o contratos inteligentes, el malware puede recuperar instrucciones de una fuente que no está alojada en ningún servidor único. No hay un dominio que incautar ni un proveedor de alojamiento al que presionar para que desconecte el servicio. Mientras la propia red Polygon siga funcionando, los datos de los que depende DeadLock seguirán siendo accesibles. Esto refleja una tendencia más amplia que los equipos de seguridad han señalado en otras familias de malware que están experimentando con infraestructura en cadena, pero su aparición en una campaña de ransomware activa subraya la rapidez con que estas técnicas se están extendiendo más allá de la investigación de prueba de concepto.
Este enfoque se basa en tácticas que DeadLock ya ha demostrado estar dispuesto a utilizar de forma agresiva. Como se detalló en un informe anterior sobre cómo el ransomware DeadLock elimina Defender, copias de seguridad y registros de eventos, el grupo combina métodos de intrusión conocidos con un enfoque deliberado en eliminar cualquier cosa que pueda ayudar a la víctima a recuperarse o a los investigadores a rastrear el ataque.
Por qué el C2 basado en blockchain es más difícil de desmantelar que los servidores tradicionales
Las operaciones de desmantelamiento de ransomware suelen depender de identificar y desbaratar puntos de falla centralizados: un servidor de comando, un registrador de dominios, una empresa de alojamiento dispuesta a cooperar. Las blockchains públicas no ofrecen ese tipo de objetivo único. Polygon, al igual que otras redes blockchain, se distribuye entre miles de nodos independientes sin un operador central que pueda simplemente eliminar una transacción o bloquear una dirección.
Esa resiliencia es precisamente la razón por la que los libros de contabilidad descentralizados resultan atractivos para los atacantes que buscan sobrevivir a los esfuerzos de las autoridades. Incluso si los investigadores de seguridad identifican el contrato o la dirección de billetera específicos que DeadLock está utilizando, eliminar esos datos de la blockchain no es realista una vez que se han registrado. Los investigadores pueden monitorear la actividad y potencialmente rastrear las billeteras asociadas, pero no pueden accionar las mismas palancas que usarían contra un servidor alquilado en un centro de datos. Esto cambia el equilibrio de la lucha: los defensores deben centrarse más en detectar el comportamiento del malware en los sistemas infectados en lugar de confiar en desarticular su cadena de suministro de infraestructura.
Quiénes son los objetivos y qué significa la doble extorsión para las víctimas
El número de víctimas de DeadLock, que ya supera las 80 organizaciones a nivel mundial, refleja un modelo de doble extorsión que se ha convertido en el estándar entre los grupos de ransomware con motivación económica. El malware cifra los archivos de la víctima, cortando el acceso a sistemas críticos, mientras los operadores amenazan simultáneamente con filtrar públicamente los datos robados a menos que se pague un rescate. Esto da a las víctimas dos motivos distintos para pagar: restaurar las operaciones y evitar una exposición de datos perjudicial.
Las consecuencias de esa segunda amenaza se hicieron concretas en un caso cubierto anteriormente en este sitio, donde una brecha del ransomware DeadLock expuso una década de registros en Diater, una compañía biofarmacéutica cuyos datos sanitarios confidenciales quedaron en riesgo. Ese incidente ilustra cómo las campañas de doble extorsión no terminan con la decisión de pagar el rescate; los datos filtrados pueden circular mucho después de que se resuelva un ataque, afectando a pacientes, clientes o socios que no tuvieron ningún papel directo en la brecha.
Lo que esto significa para usted
La mayoría de los lectores no serán objetivos directos de un grupo de ransomware como DeadLock, pero los efectos colaterales de estos ataques alcanzan a personas corrientes cuyos datos personales se encuentran en los sistemas de las organizaciones atacadas. Una configuración de C2 resistente a blockchain no cambia lo que ocurre en su lado de una brecha: su información aún puede terminar expuesta en una filtración, independientemente de lo sofisticada que sea la infraestructura de backend del atacante.
Para las organizaciones, la conclusión es más directa. Los grupos de ransomware están tomando prestadas técnicas de resiliencia del mundo de las criptomonedas precisamente porque los desmantelamientos se han convertido en un verdadero elemento disuasorio. Esto significa que la lucha debe darse cada vez más en las primeras etapas, en el punto de intrusión y cifrado, en lugar de depender de la interrupción de la infraestructura después de los hechos.
Defensas prácticas contra ransomware como DeadLock
Un puñado de fundamentos sigue siendo más importante que cualquier producto de seguridad individual. Mantenga copias de seguridad inmutables y fuera de línea a las que el ransomware no pueda acceder ni eliminar junto con sus sistemas principales. Segmente las redes para que un único endpoint comprometido no pueda desencadenar el cifrado completo de unidades compartidas y servidores. Mantenga actualizadas las herramientas de detección de endpoints y supervise comportamientos asociados con la desactivación del software de seguridad o la eliminación de registros de eventos, un patrón que DeadLock ha utilizado antes de obtener el control total de una red.
La aparición de la resistencia al desmantelamiento del C2 basado en blockchain en el ransomware es un recordatorio de que los atacantes se están adaptando más rápido de lo que cualquier herramienta defensiva puede seguir. La seguridad por capas, las copias de seguridad probadas y una detección rápida siguen siendo la forma más confiable de limitar los daños cuando la prevención por sí sola no es suficiente. Mantenerse informado sobre cómo operan grupos como DeadLock y tomar medidas de protección básicas ahora es la forma más práctica de reducir su exposición a la próxima brecha que acapare los titulares.
