Kako DeadLock koristi blockchain za otpornost na rušenja

Ransomware skupine dugo su ovisile o poslužiteljima, domenama i pružateljima hostinga koje sigurnosni istraživači i tijela kaznenog progona s vremenom mogu zaplijeniti ili staviti na crnu listu. Skupina DeadLock ransomware pokušava tu slabu točku ukloniti iz jednadžbe. Prema nedavnim izvješćima, DeadLock sada pohranjuje ključne informacije o infrastrukturi, poput proxy ili komunikacijskih adresa, na javnom blockchainu umjesto na poslužiteljima koji se mogu isključiti uobičajenim metodama.

Sidrenjem tih podataka u decentraliziranu knjigu, DeadLock znatno otežava braniteljima da ometu operacije jednom koordiniranom akcijom. Tradicionalna rušenja oslanjaju se na prepoznavanje središnje točke kvara: pružatelja hostinga, registrara domena ili IP adrese koja se može preusmjeriti. Kad te informacije umjesto toga žive na blockchainu, ne postoji nijedna tvrtka ili subjekt kojem bi se mogao uručiti sudski nalog, niti poslužitelj koji bi se mogao zaplijeniti. Podaci opstaju u distribuiranom mrežnom čvorovima koje nitko pojedinačno ne kontrolira, što je upravo svojstvo otpornosti koje je blockchain tehnologija trebala pružiti, a sada je prenamijenjeno za kriminalnu infrastrukturu.

To nije jedini potez te skupine prema decentralizaciji i izbjegavanju. Primijećeno je i da je DeadLock dodao aplikaciju za razmjenu poruka Session u svoj alat kako bi komunikacija sa žrtvama nastavila funkcionirati i nakon što se drugi kanali poremete. Zajedno ti izbori upućuju na namjernu strategiju: izgraditi redundanciju u svakom sloju operacije kako nijedan pojedinačni pokušaj ometanja ne bi mogao ugasiti cijeli sustav.

Zašto tradicionalne taktike ometanja ransomwarea gube tlo pod nogama

Godinama je standardni pristup borbi protiv ransomware infrastrukture uključivao suradnju sigurnosnih istraživača, pružatelja hostinga i tijela kaznenog progona kako bi se identificirali i srušili poslužitelji za zapovijedanje i kontrolu, portali za pregovore i stranice za objavu ukradenih podataka. Taj je pristup prilično dobro funkcionirao protiv skupina koje se oslanjaju na centralizirani web hosting jer su te usluge u konačnici podložne pravnoj jurisdikciji i uvjetima pružanja usluge.

Infrastruktura temeljena na blockchainu zaobilazi velik dio te poluge. Ne postoji tvrtka za hosting na koju bi se moglo izvršiti pritisak niti središnji registrar kojeg bi se moglo obavijestiti. Čak i ako branitelji identificiraju blockchain adrese koje DeadLock koristi, temeljna mreža svejedno nastavlja raditi. To vraća teret na branitelje da se usredotoče na druge točke pritiska, poput metoda distribucije zlonamjernog softvera, tijekova plaćanja ili krajnjih točaka na kojima se enkripcija zapravo događa, umjesto da očekuju da će uredno, jednokratno rušenje infrastrukture riješiti problem.

To također signalizira širi trend koji vrijedi pratiti. Kako decentralizirane tehnologije postaju lakše za korištenje i šire dostupne, vjerojatno će i drugi ransomware operateri eksperimentirati sa sličnim tehnikama otpornosti, što znači da branitelji ne bi smjeli pretpostaviti da je riječ o jednokratnoj taktici ograničenoj na jednu skupinu.

Što to znači za organizacije i pojedince izložene riziku

Za većinu organizacija praktični utjecaj DeadLockove blockchain infrastrukture manje je u samoj tehnologiji, a više u onome što ona predstavlja: ransomware skupine sve je teže ometati izvana, što znači da su prevencija i zadržavanje unutar vlastite mreže važniji nego ikad. Čekanje da tijela kaznenog progona ili istraživači sruše infrastrukturu neke skupine više nije pouzdana sigurnosna mreža, ako je ikada doista i bila.

To je osobito važno za male i srednje tvrtke koje možda pretpostavljaju da će napori za ometanje ransomwarea s vremenom neutralizirati prijetnje umjesto njih. DeadLockov pristup podsjetnik je da odgovornost za otpornost leži prvenstveno na organizacijama koje su na meti, a ne na ekosustavu za rušenje koji pokušava sustići događaje nakon što se već dogode.

Obrambeni koraci: izolacija mreže, VPN-ovi i smanjenje napadačke površine

Dobra je vijest da se osnove obrane od ransomwarea nisu promijenile samo zato što je pozadinsku infrastrukturu neke skupine teže srušiti. Nekoliko praktičnih koraka i dalje je vrlo učinkovito:

  • Segmentirajte svoju mrežu tako da jedan kompromitirani uređaj ili račun ne može dosegnuti svaki sustav. Izolacija mreže ograničava koliko daleko se ransomware može proširiti čak i nakon početnog pristupa.
  • Koristite VPN za udaljeni pristup umjesto da protokol udaljene radne površine ili druge upravljačke portove izlažete izravno internetu. Smanjenje javne napadačke površine napadačima otežava da uopće pronađu ulaznu točku.
  • Održavajte izvanmrežne, testirane sigurnosne kopije kako oporavak podataka ne bi ovisio o pregovorima s napadačima ili čekanju na rušenje infrastrukture.
  • Intenzivno zakrpavajte i nadzirite krajnje točke, budući da ransomware i dalje obično zahtijeva početno uporište putem phishinga, izloženih servisa ili nezakrpanog softvera prije nego što bilo kakav blockchain pozadinski sustav uopće dođe u igru.

Nijedna od tih mjera ne zahtijeva egzotične alate, ali zahtijevaju dosljednost i provedbu do kraja, a upravo tu organizacije često podbace.

Zaključak

DeadLockovo korištenje blockchain infrastrukture za otpor prema rušenjima pokazuje kako se ransomware operateri prilagođavaju brže od alata koji se tradicionalno koriste za borbu protiv njih. Pristup DeadLock ransomwarea s blockchain infrastrukturom ne mijenja ono što zapravo zaustavlja napad: snažna segmentacija mreže, ograničen udaljeni pristup i pouzdane sigurnosne kopije. Organizacije koje te osnove tretiraju kao stalne prioritete, a ne jednokratne projekte, bit će u daleko boljem položaju bez obzira na to koliko otporna infrastruktura bilo koje pojedine skupine postala.