Comment DeadLock désactive Windows Defender et efface les sauvegardes

DeadLock est une opération de ransomware à motivation financière qui a attiré l’attention en associant des techniques d’intrusion familières à une infrastructure conçue spécifiquement pour résister aux tentatives de démantèlement. Selon les chercheurs en sécurité qui suivent le groupe, les opérateurs de DeadLock ne se contentent pas de déposer un malware en espérant qu’il passe inaperçu face aux outils de sécurité. Au lieu de cela, ils neutralisent méthodiquement les défenses de la victime avant même que le chiffrement ne commence.

Ce processus commence généralement par la désactivation de Windows Defender, supprimant ainsi la protection intégrée sur laquelle de nombreuses organisations comptent comme première ligne de défense. Ensuite, DeadLock cible les systèmes de sauvegarde, une étape particulièrement dommageable car les sauvegardes sont souvent le moyen le plus rapide pour une victime de récupérer sans payer de rançon. Enfin, le groupe efface les journaux d’événements Windows, supprimant une grande partie de la piste médico-légale que les intervenants en cas d’incident utilisent normalement pour reconstituer l’attaque et comprendre comment elle s’est produite.

La combinaison est délibérée. Au moment où les fichiers sont effectivement chiffrés, l’organisation victime a déjà perdu son filet de sécurité et une grande partie de sa capacité à enquêter sur l’intrusion. Il ne s’agit pas d’un malware de type casse et emporte ; c’est une opération structurée conçue pour maximiser l’effet de levier sur la victime.

Pourquoi la sécurité des points d’extrémité seule échoue face aux ransomwares modernes

Le mode opératoire de DeadLock est un rappel cinglant que l’antivirus sur les points d’extrémité, même lorsqu’il s’agit d’un produit performant comme Windows Defender, n’est pas une solution autonome. Si un opérateur de ransomware obtient suffisamment de privilèges sur un réseau pour désactiver les logiciels de sécurité, supprimer les sauvegardes et effacer les journaux, cela signifie qu’il a déjà dépassé le point où un seul outil aurait pu l’arrêter.

Les groupes de ransomware modernes planifient de plus en plus pour ce scénario précis. Ils supposent que les défenseurs ont un antivirus en cours d’exécution et intègrent des étapes spécifiques pour le désactiver ou le contourner. Cela déplace le véritable champ de bataille de « est-ce que l’antivirus va attraper le fichier » à « à quelle vitesse les mouvements latéraux suspects, l’escalade de privilèges ou les activités administratives inhabituelles peuvent-ils être détectés et arrêtés avant que le chiffrement ne commence ».

C’est pourquoi les équipes de sécurité parlent de plus en plus de détection et de réponse plutôt que de prévention seule. Un seul identifiant compromis ou un système mal configuré peut suffire à un attaquant pour atteindre le point où il désactive les protections au lieu de les contourner. Les outils de point d’extrémité restent précieux, mais ils fonctionnent mieux en tant que couche parmi plusieurs, et non comme dernière ligne de défense.

Défenses en couches : segmentation du réseau, VPN et sauvegardes hors ligne

Parce que les tactiques de DeadLock sont conçues pour supprimer les options de récupération de la victime, les contre-mesures les plus efficaces consistent à limiter la capacité de déplacement de l’attaquant et à garantir l’existence de chemins de récupération que l’attaquant ne peut pas atteindre.

La segmentation du réseau est l’une des mesures les plus pratiques que les organisations peuvent prendre. En divisant les réseaux en zones plus petites et isolées, un poste de travail ou un serveur compromis ne donne pas automatiquement à l’attaquant un accès aux serveurs de sauvegarde, aux contrôleurs de domaine ou à d’autres systèmes de grande valeur. Ce confinement peut faire la différence entre un incident maîtrisé et un arrêt à l’échelle de l’organisation.

L’accès à distance sécurisé est tout aussi important. Les VPN et autres outils d’accès chiffrés permettent de s’assurer que les connexions aux réseaux d’entreprise, en particulier pour les employés distants et les fournisseurs tiers, sont authentifiées et surveillées plutôt que de rester une porte ouverte. Associés à des contrôles d’accès solides, cela réduit le nombre de points d’entrée qu’un attaquant comme les opérateurs de DeadLock peut exploiter pour obtenir l’accès initial dont il a besoin avant d’élever les privilèges.

Les sauvegardes hors ligne ou immuables méritent une attention particulière étant donné que DeadLock se concentre spécifiquement sur la destruction des données de récupération. Les sauvegardes qui sont déconnectées du réseau, ou stockées de manière à empêcher toute modification même par un compte administrateur, ne peuvent pas être supprimées ou chiffrées en même temps que les systèmes de production. Tester régulièrement que ces sauvegardes se restaurent correctement est tout aussi important que de les maintenir en premier lieu.

Ce que les tactiques de DeadLock révèlent sur l’infrastructure décentralisée des ransomwares

Au-delà des étapes techniques menées contre les victimes individuelles, les choix d’infrastructure de DeadLock indiquent une tendance plus large chez les opérateurs de ransomware : construire des systèmes conçus pour survivre à la pression des forces de l’ordre et aux tentatives de démantèlement. Une infrastructure décentralisée rend plus difficile pour les défenseurs et les autorités de perturber l’ensemble d’une opération en ciblant un seul serveur ou domaine, ce qui signifie que le groupe peut continuer à fonctionner même après que des parties de son réseau ont été exposées ou saisies.

Cette résilience rappelle ce qui s’est passé à la suite de l’une des intrusions confirmées de DeadLock. La violation commise par le ransomware DeadLock qui a exposé une décennie de dossiers de Diater a montré l’ampleur des dégâts qu’une seule intrusion réussie peut causer une fois que les sauvegardes et les capacités de détection ont été supprimées, et à quel point les conséquences peuvent être durables pour les organisations et les personnes dont les données ont été impliquées.

Ce que cela signifie pour vous

Pour la plupart des lecteurs, les cibles de DeadLock sont des organisations plutôt que des particuliers, mais la leçon sous-jacente s’applique largement. Si vous gérez l’informatique d’une entreprise ou si vous êtes responsable de la protection de données sensibles de quelque nature que ce soit, partez du principe qu’un attaquant déterminé qui prend pied essaiera de désactiver vos outils de sécurité et de détruire vos sauvegardes, pas seulement de chiffrer vos fichiers. Planifiez vos défenses en fonction de cette hypothèse plutôt qu’en espérant que l’antivirus seul arrêtera la tentative initiale.

Pour les employés et les télétravailleurs, cela renforce également l’intérêt d’utiliser des connexions sécurisées et surveillées plutôt qu’un accès à distance improvisé lorsqu’ils se connectent aux systèmes de travail, car les points d’entrée faibles sont exactement ce sur quoi des opérations comme DeadLock s’appuient pour démarrer.

Mesures concrètes à retenir

  • Ne vous fiez pas à l’antivirus des points d’extrémité comme seule défense ; associez-le à une surveillance des escalades de privilèges inhabituelles et des mouvements latéraux.
  • Segmentez les réseaux afin qu’un seul appareil compromis ne puisse pas atteindre les systèmes de sauvegarde ou les infrastructures critiques.
  • Conservez des sauvegardes hors ligne ou immuables et testez régulièrement la restauration.
  • Utilisez des VPN et une authentification forte pour l’accès à distance afin de réduire les points d’entrée exposés.
  • Examinez des incidents réels comme la violation de Diater liée à DeadLock pour comprendre les enjeux concrets de négliger les défenses en couches.

La protection contre le ransomware DeadLock ne consiste pas à trouver un outil parfait. Il s’agit de construire des défenses superposées de sorte que même si une couche échoue, l’attaquant se heurte encore à des obstacles avant d’atteindre le point de non-retour.