Hogyan kapcsolja ki a DeadLock a Windows Védőt és törli a biztonsági mentéseket

A DeadLock egy pénzügyileg motivált zsarolóvírus-művelet, amely azért keltett figyelmet, mert ismert behatolási technikákat párosít kifejezetten a leállítási kísérletekkel szembeni ellenállásra épített infrastruktúrával. A csoportot nyomon követő biztonsági kutatók szerint a DeadLock üzemeltetői nem egyszerűen csak bedobják a kártevőt, és remélik, hogy az átcsúszik a biztonsági eszközökön. Ehelyett módszeresen hatástalanítják az áldozat védelmét, mielőtt a titkosítás egyáltalán megkezdődne.

Ez a folyamat általában a Windows Defender kikapcsolásával kezdődik, eltávolítva azt a beépített védelmet, amelyre sok szervezet elsődleges védelmi vonalként támaszkodik. Ezt követően a DeadLock a biztonsági mentési rendszereket veszi célba – ez különösen pusztító lépés, mivel a mentések gyakran a leggyorsabb módját jelentik annak, hogy az áldozat váltságdíj fizetése nélkül helyreálljon. Végül a csoport törli a Windows eseménynaplóit, eltüntetve a nyomok jelentős részét, amelyeket az incidenskezelők általában a támadás rekonstruálásához és a történtek megértéséhez használnának.

Ez a kombináció szándékos. Mire a fájlok ténylegesen titkosításra kerülnek, az áldozat szervezet már elveszítette a biztonsági hálóját és a behatolás kivizsgálásának képességének nagy részét. Ez nem egy „betöréses” kártevő; ez egy strukturált művelet, amely arra szolgál, hogy maximalizálja az áldozattal szembeni kényszerítő erőt.

Miért mond csődöt a végpontvédelem önmagában a modern zsarolóvírusokkal szemben

A DeadLock forgatókönyve éles emlékeztető arra, hogy a végponti antivírus – még ha olyan jó termék is, mint a Windows Defender – önmagában nem jelent teljes körű megoldást. Ha egy zsarolóvírus-üzemeltető elegendő jogosultságot szerez a hálózaton ahhoz, hogy letiltsa a biztonsági szoftvert, törölje a mentéseket és kiürítse a naplókat, az azt jelenti, hogy már messze túljutott azon a ponton, ahol egyetlen eszköz megállíthatta volna.

A modern zsarolóvírus-csoportok egyre inkább erre a forgatókönyvre terveznek. Abból indulnak ki, hogy a védők rendelkeznek antivírussal, és olyan lépéseket építenek be, amelyek kifejezetten annak kikapcsolására vagy megkerülésére szolgálnak. Ez a valódi csatateret eltolja onnan, hogy „az antivírus elkapja-e a fájlt”, oda, hogy „milyen gyorsan észlelhető és állítható meg a gyanús oldalirányú mozgás, a jogosultsági szint emelése vagy a szokatlan rendszergazdai tevékenység, mielőtt a titkosítás elkezdődne”.

Éppen ezért a biztonsági csapatok egyre inkább észlelésről és reagálásról beszélnek a puszta megelőzés helyett. Egyetlen kompromittált hitelesítő adat vagy rosszul konfigurált rendszer elég ahhoz, hogy a támadó eljusson odáig, hogy már nem kikerüli, hanem letiltja a védelmet. A végponti eszközök továbbra is értékesek, de legjobban egy több rétegből álló védelem egyik elemeként működnek, nem pedig az utolsó védelmi vonalként.

Többrétegű védelem: hálózati szegmentálás, VPN-ek és offline biztonsági mentések

Mivel a DeadLock taktikája arra épül, hogy eltávolítsa az áldozat helyreállítási lehetőségeit, a leghatékonyabb ellenintézkedések arra összpontosítanak, hogy korlátozzák, milyen messzire juthat el a támadó, és biztosítsák, hogy létezzenek olyan helyreállítási útvonalak, amelyeket a támadó nem érhet el.

A hálózati szegmentálás az egyik legpraktikusabb lépés, amelyet a szervezetek megtehetnek. Ha a hálózatokat kisebb, elkülönített zónákra osztják, egy kompromittált munkaállomás vagy szerver nem ad automatikusan utat a támadónak a mentési szerverekhez, a tartományvezérlőkhöz vagy más nagy értékű rendszerekhez. Ez az elszigetelés jelentheti a különbséget egy korlátozott incidens és egy teljes szervezeti leállás között.

A biztonságos távoli hozzáférés ugyanilyen fontos. A VPN-ek és más titkosított hozzáférési eszközök segítenek biztosítani, hogy a vállalati hálózatokba irányuló kapcsolatok – különösen a távoli munkavállalók és külső beszállítók számára – hitelesítettek és megfigyeltek legyenek, ne pedig nyitott ajtóként álljanak. Erős hozzáférés-szabályozással kombinálva ez csökkenti azoknak a belépési pontoknak a számát, amelyeket egy olyan támadó, mint a DeadLock üzemeltetői, kihasználhat a kezdeti megvetéshez, mielőtt jogosultságokat emelne.

Különös figyelmet érdemelnek az offline vagy megváltoztathatatlan biztonsági mentések, tekintettel arra, hogy a DeadLock kifejezetten a helyreállítási adatok megsemmisítésére összpontosít. A hálózatról leválasztott vagy olyan módon tárolt mentéseket, amelyek módosítását még rendszergazdai fiók sem teszi lehetővé, nem lehet törölni vagy titkosítani az éles rendszerekkel együtt. Ugyanilyen fontos az is, hogy rendszeresen teszteljük, hogy ezek a mentések valóban megfelelően visszaállíthatók-e.

Mit árulnak el a DeadLock taktikái a decentralizált zsarolóvírus-infrastruktúráról

Az egyes áldozatok ellen alkalmazott technikai lépéseken túl a DeadLock infrastruktúrával kapcsolatos döntései egy szélesebb tendenciára mutatnak rá a zsarolóvírus-üzemeltetők körében: olyan rendszereket építenek, amelyek ellenállnak a bűnüldöző szervek nyomásának és a leállítási kísérleteknek. A decentralizált infrastruktúra megnehezíti a védők és a hatóságok számára, hogy egyetlen szerver vagy domain célbavételével megzavarjanak egy teljes műveletet, ami azt jelenti, hogy a csoport akkor is működhet tovább, ha hálózatának egyes részeit felfedik vagy lefoglalják.

Ez a rugalmasság tükrözi azt, ami a DeadLock egyik megerősített behatolásának utóhatásaként történt. A DeadLock zsarolóvírus-támadás, amely a Diater több mint egy évtizedes adatait szolgáltatta ki megmutatta, mekkora kárt okozhat egyetlen sikeres behatolás, miután a biztonsági mentéseket és az észlelési képességeket már felszámolták, és milyen messzire nyúlhatnak a következmények azon szervezetek és egyének számára, akiknek az adatai érintettek.

Mit jelent ez Önnek

A legtöbb olvasó számára a DeadLock célpontjai inkább szervezetek, mint magánszemélyek, de a mögöttes tanulság általános érvényű. Ha Ön egy vállalkozás IT-rendszereit kezeli, vagy bármilyen típusú érzékeny adat védelméért felelős, induljon ki abból, hogy egy elszánt támadó, aki megveti a lábát, megpróbálja letiltani a biztonsági eszközöket és megsemmisíteni a mentéseket, nem csupán titkosítani a fájlokat. Erre a feltevésre építse a védelmet, ne arra a reményre, hogy az antivírus önmagában elkapja a kezdeti próbálkozást.

Az alkalmazottak és a távoli munkavállalók számára ez szintén megerősíti annak fontosságát, hogy biztonságos, felügyelt kapcsolatokat használjanak alkalmi távoli hozzáférés helyett, amikor munkahelyi rendszerekhez csatlakoznak, mivel az ehhez hasonló gyenge belépési pontokra építenek az olyan műveletek, mint a DeadLock.

Gyakorlati teendők

  • Ne hagyatkozzon kizárólag a végponti antivírusra, mint egyetlen védelemre; párosítsa azt a szokatlan jogosultsági szint emelés és oldalirányú mozgás megfigyelésével.
  • Szegmentálja a hálózatokat úgy, hogy egyetlen kompromittált eszköz se férhessen hozzá a mentési rendszerekhez vagy a kritikus infrastruktúrához.
  • Tartson fenn offline vagy megváltoztathatatlan mentéseket, és rendszeresen tesztelje a helyreállítást.
  • Használjon VPN-t és erős hitelesítést a távoli hozzáféréshez, hogy csökkentse a kitett belépési pontok számát.
  • Tanulmányozza a valós eseteket, például a DeadLockhoz köthető Diater-adatszivárgást, hogy megértse a többrétegű védelem elhanyagolásának gyakorlati tétjét.

A DeadLock zsarolóvírus elleni védelem nem egyetlen tökéletes eszköz megtalálásáról szól. Arról szól, hogy egymásra épülő védelmeket hozzon létre, hogy még ha az egyik réteg csődöt is mond, a támadó akkor is akadályokba ütközzön, mielőtt elérné a visszafordíthatatlan pontot.