Kuinka DeadLock käyttää lohkoketjua vastustaakseen alasajoja

Kiristysohjelmaryhmät ovat pitkään tukeutuneet palvelimiin, verkkotunnuksiin ja hosting-palveluntarjoajiin, jotka tietoturvatutkijat ja lainvalvontaviranomaiset voivat lopulta takavarikoida tai asettaa mustalle listalle. DeadLock-kiristysohjelmaryhmä yrittää poistaa tämän heikon kohdan yhtälöstä. Tuoreiden tietojen mukaan DeadLock tallentaa nykyään kriittisiä infrastruktuuritietoja, kuten välityspalvelin- tai viestintäosoitteita, julkiseen lohkoketjuun eikä palvelimille, jotka voidaan sulkea tavanomaisin keinoin.

Ankkuroimalla nämä tiedot hajautettuun tilikirjaan DeadLock tekee puolustajille huomattavasti vaikeammaksi häiritä toimintaa yhdellä koordinoidulla toimenpiteellä. Perinteiset alasajot perustuvat keskeisen vikapisteen tunnistamiseen: hosting-palveluntarjoaja, verkkotunnusrekisteröijä tai IP-osoite, joka voidaan ohjata sinkholeen. Kun nämä tiedot ovat sen sijaan lohkoketjussa, ei ole yhtä yritystä tai tahoa, jolle toimittaa oikeudellinen määräys, eikä yhtä palvelinta takavarikoitavaksi. Tiedot säilyvät hajautetussa solmuverkossa, jota kukaan ei yksittäin hallitse – juuri se sietokykyominaisuus, jota varten lohkoketjuteknologia on suunniteltu, mutta nyt valjastettuna rikolliseen infrastruktuuriin.

Tämä ei ole ryhmän ainoa askel kohti hajauttamista ja välttämistä. DeadLockin on myös havaittu lisänneen Session-viestisovelluksen työkalupakkiinsa pitääkseen uhriviestinnän käynnissä silloinkin, kun muut kanavat häiriintyvät. Yhdessä nämä valinnat viittaavat harkittuun strategiaan: rakenna redundanssia toiminnan jokaiseen kerrokseen, jotta yksittäinen häirintäyritys ei voi sulkea koko järjestelmää.

Miksi perinteiset kiristysohjelmien häirintätaktiikat menettävät tehoaan

Vuosien ajan vakiintunut toimintatapa kiristysohjelmainfrastruktuurin torjunnassa on perustunut tietoturvatutkijoiden, hosting-palveluntarjoajien ja lainvalvontaviranomaisten yhteistyöhön komento- ja hallintapalvelimien, neuvotteluportaalien ja vuotosivustojen tunnistamiseksi ja purkamiseksi. Tämä lähestymistapa on toiminut kohtuullisen hyvin ryhmiä vastaan, jotka tukeutuvat keskitettyyn web-hostingiin, koska nämä palvelut ovat viime kädessä oikeudellisen toimivallan ja palveluntarjoajan käyttöehtojen alaisia.

Lohkoketjupohjainen infrastruktuuri kiertää suuren osan tästä vaikutusvallasta. Ei ole hosting-yritystä, johon kohdistaa painetta, eikä keskitettyä rekisterinpitäjää, jolle ilmoittaa. Vaikka puolustajat tunnistaisivat lohkoketjuosoitteet, joita DeadLock käyttää, taustalla oleva verkko jatkaa toimintaansa joka tapauksessa. Tämä siirtää taakan takaisin puolustajille keskittyä muihin pullonkauloihin, kuten haittaohjelman levitysmenetelmiin, maksuvirtoihin tai päätepisteisiin, joissa salaus varsinaisesti tapahtuu, sen sijaan että odotettaisiin siistiä kertaluonteista infrastruktuurin alasajoa ongelman ratkaisemiseksi.

Se on myös merkki laajemmasta, seurattavasta trendistä. Kun hajautetut teknologiat helpottuvat käyttää ja tulevat laajemmin saataville, muutkin kiristysohjelmatoimijat todennäköisesti kokeilevat samankaltaisia sietokykytekniikoita, mikä tarkoittaa, ettei puolustajien pidä olettaa tämän olevan kertaluonteinen taktiikka, joka rajoittuu yhteen ryhmään.

Mitä tämä tarkoittaa organisaatioille ja yksilöille, jotka ovat vaarassa

Useimmille organisaatioille DeadLockin lohkoketjuinfrastruktuurin käytännön vaikutus liittyy vähemmän itse teknologiaan ja enemmän siihen, mitä se edustaa: kiristysohjelmaryhmiä on entistä vaikeampi häiritä ulkopuolelta, mikä tarkoittaa, että ennaltaehkäisyn ja oman verkon sisällä tapahtuvan eristämisen merkitys on suurempi kuin koskaan. Lainvalvontaviranomaisten tai tutkijoiden odottaminen ryhmän infrastruktuurin purkamiseksi ei ole enää luotettava turvaverkko, jos se sitä koskaan todella olikaan.

Tämä on erityisen olennaista pienille ja keskisuurille yrityksille, jotka saattavat olettaa, että kiristysohjelmien häirintätoimet lopulta neutralisoivat uhat niiden puolesta. DeadLockin lähestymistapa on muistutus siitä, että vastuu sietokyvystä on ensisijaisesti kohdennetuilla organisaatioilla itsellään, ei alasajoekosysteemillä, joka yrittää kiriä jälkikäteen.

Puolustustoimenpiteet: verkon eristäminen, VPN:t ja hyökkäyspinta-alan pienentäminen

Hyvä uutinen on, että kiristysohjelmien torjunnan perusteet eivät ole muuttuneet vain siksi, että ryhmän taustainfrastruktuuria on vaikeampi sulkea. Muutamat käytännön toimenpiteet ovat edelleen erittäin tehokkaita:

  • Segmentoi verkkosi, jotta yksittäinen vaarantunut laite tai tili ei pääse käsiksi jokaiseen järjestelmään. Verkon eristäminen rajoittaa kiristysohjelman leviämistä myös alkuperäisen pääsyn jälkeen.
  • Käytä VPN:ää etäkäyttöön sen sijaan, että altistaisit etätyöpöytäprotokollan tai muita hallintaportteja suoraan internetiin. Julkisen hyökkäyspinta-alan pienentäminen vaikeuttaa hyökkääjien tulopisteen löytämistä jo lähtökohtaisesti.
  • Pidä yllä offline-tilassa olevia, testattuja varmuuskopioita, jotta tietojen palauttaminen ei riipu neuvotteluista hyökkääjien kanssa tai infrastruktuurin alasajojen odottamisesta.
  • Paikkaa ja valvo päätepisteitä aktiivisesti, sillä kiristysohjelma tarvitsee yleensä yhä ensimmäisen jalansijan tietojenkalastelun, paljastettujen palvelujen tai päivittämättömien ohjelmistojen kautta ennen kuin lohkoketjupohjainen taustajärjestelmä tulee lainkaan mukaan.

Johtopäätös

DeadLockin tapa käyttää lohkoketjuinfrastruktuuria alasajojen vastustamiseen osoittaa, kuinka kiristysohjelmatoimijat sopeutuvat nopeammin kuin perinteiset torjuntatyökalut. DeadLockin lohkoketjuinfrastruktuuriin perustuva lähestymistapa ei muuta sitä, mikä hyökkäyksen todella pysäyttää: vahva verkon segmentointi, rajoitettu etäkäyttö ja luotettavat varmuuskopiot. Organisaatiot, jotka kohtelevat näitä perusasioita jatkuvina prioriteetteina kertaluontoisten projektien sijaan, ovat paljon paremmassa asemassa riippumatta siitä, kuinka sietokykyiseksi yksittäisen ryhmän infrastruktuuri muuttuu.