Hogyan használja a DeadLock a blokkláncot a leállításokkal szembeni ellenállásra

A zsarolóvírus-csoportok régóta támaszkodnak olyan szerverekre, domainekre és tárhelyszolgáltatókra, amelyeket a biztonsági kutatók és a bűnüldöző szervek előbb-utóbb lefoglalhatnak vagy feketelistára tehetnek. A DeadLock zsarolóvírus-csoport ezt a gyenge pontot próbálja kiiktatni az egyenletből. A legutóbbi beszámolók szerint a DeadLock mostantól kritikus infrastrukturális információkat, például proxy- vagy kommunikációs címeket nyilvános blokkláncon tárol, nem pedig olyan szervereken, amelyeket hagyományos módszerekkel le lehet állítani.

Azzal, hogy ezeket az adatokat egy decentralizált főkönyvhöz rögzíti, a DeadLock sokkal nehezebbé teszi a védők számára, hogy egyetlen összehangolt akcióval megzavarják a működését. A hagyományos leállítások egy központi hibapont azonosítására építenek: egy tárhelyszolgáltatóra, egy domainregisztrátorra vagy egy olyan IP-címre, amelyet sinkhole-ba lehet terelni. Amikor ezek az adatok blokkláncon élnek, nincs egyetlen cég vagy szervezet, amelynek jogi megkeresést lehetne kézbesíteni, és nincs egyetlen lefoglalható szerver sem. Az adatok a csomópontok elosztott hálózatán maradnak fenn, amelyet senki sem irányít egyénileg – pontosan ez az ellenálló képesség, amelyet a blokklánc-technológia nyújtani hivatott, most bűnözői infrastruktúrára átértelmezve.

Ez nem a csoport egyetlen lépése a decentralizáció és a kikerülés felé. A DeadLockot már megfigyelték, amint hozzáadta a Session üzenetküldő alkalmazást az eszköztárához, hogy az áldozatokkal folytatott kommunikáció akkor is működjön, ha más csatornákat megzavarnak. Ezek a döntések együtt egy tudatos stratégiára utalnak: építsenek redundanciát a művelet minden rétegébe, hogy egyetlen zavarási kísérlet se tudja leállítani az egészet.

Miért veszítenek teret a hagyományos zsarolóvírus-megzavarási taktikák

A zsarolóvírus-infrastruktúra elleni harc évek óta bevett forgatókönyve a biztonsági kutatók, tárhelyszolgáltatók és bűnüldöző szervek együttműködésén alapul: azonosítják és felszámolják a parancsnoki és irányítási szervereket, a tárgyalási portálokat és a szivárogtató oldalakat. Ez a megközelítés viszonylag jól működik azokkal a csoportokkal szemben, amelyek központosított webtárhelyre támaszkodnak, mivel ezek a szolgáltatások végső soron joghatóság és a szolgáltatók felhasználási feltételei alá tartoznak.

A blokkláncalapú infrastruktúra ezt a befolyást nagyrészt megkerüli. Nincs tárhelyszolgáltató, amelyet nyomás alá lehetne helyezni, és nincs központi regisztrátor, amelyet értesíteni lehetne. Még ha a védők azonosítják is a DeadLock által használt blokklánc-címeket, az alapul szolgáló hálózat ettől függetlenül tovább működik. Ez visszaterheli a védőkre annak a teherét, hogy más szűk keresztmetszetekre összpontosítsanak, például a kártevő terjesztési módszereire, a fizetési folyamatokra vagy azokra a végpontokra, ahol a titkosítás ténylegesen megtörténik, ahelyett, hogy azt várnák, hogy egy egyszeri, tiszta infrastruktúra-leállítás megoldja a problémát.

Ez egy szélesebb, figyelemre érdemes trendet is jelez. Ahogy a decentralizált technológiák egyre könnyebben használhatóvá és szélesebb körben elérhetővé válnak, más zsarolóvírus-üzemeltetők valószínűleg hasonló ellenálló képességi technikákkal fognak kísérletezni, ezért a védők ne feltételezzék, hogy ez egyetlen csoportra korlátozódó egyszeri taktika.

Mit jelent ez a veszélynek kitett szervezetekre és magánszemélyekre

A legtöbb szervezet számára a DeadLock blokklánc-infrastruktúrájának gyakorlati hatása kevésbé magáról a technológiáról szól, mint inkább arról, amit képvisel: a zsarolóvírus-csoportokat egyre nehezebb kívülről megzavarni, ami azt jelenti, hogy a saját hálózaton belüli megelőzés és elkülönítés fontosabb, mint valaha. Arra várni, hogy a bűnüldöző szervek vagy a kutatók felszámolják egy csoport infrastruktúráját, már nem megbízható biztonsági háló, ha valaha az is volt.

Ez különösen fontos a kis- és középvállalkozások számára, amelyek esetleg azt feltételezik, hogy a zsarolóvírus-megzavarási erőfeszítések végül a nevükben semlegesítik a fenyegetéseket. A DeadLock megközelítése arra emlékeztet, hogy az ellenálló képesség felelőssége elsősorban a célba vett szervezetekre hárul, nem pedig a leállítási ökoszisztémára, amely utólag próbál felzárkózni.

Védelmi lépések: hálózati elkülönítés, VPN-ek és a támadási felület csökkentése

A jó hír az, hogy a zsarolóvírus-védelem alapjai nem változtak meg csak azért, mert egy csoport háttér-infrastruktúrája nehezebben állítható le. Néhány gyakorlati lépés továbbra is nagyon hatékony:

  • Szegmentálja a hálózatot, hogy egyetlen kompromittált eszköz vagy fiók se érje el az összes rendszert. A hálózati elkülönítés korlátozza, milyen messzire tud terjedni a zsarolóvírus a kezdeti hozzáférés után is.
  • Használjon VPN-t a távoli hozzáféréshez, ahelyett hogy a távoli asztali protokollt vagy más felügyeleti portokat közvetlenül az internetre tenné ki. A nyilvános támadási felület csökkentése megnehezíti a támadók számára, hogy egyáltalán belépési pontot találjanak.
  • Tartson fenn offline, tesztelt biztonsági mentéseket, hogy az adat-helyreállítás ne függjön a támadókkal való tárgyalástól vagy az infrastruktúra leállítására való várakozástól.
  • Javítsa és figyelje agresszívan a végpontokat, mivel a zsarolóvírusnak jellemzően továbbra is szüksége van egy első bejutási pontra adathalászaton, kitett szolgáltatásokon vagy javítatlan szoftveren keresztül, mielőtt bármilyen blokkláncalapú háttér egyáltalán szerephez jutna.

Következtetés

A DeadLock blokklánc-infrastruktúrájának használata a leállításokkal szembeni ellenállásra azt mutatja, hogy a zsarolóvírus-üzemeltetők gyorsabban alkalmazkodnak, mint a hagyományosan ellenük használt eszközök. A DeadLock zsarolóvírus blokklánc-infrastruktúra megközelítése nem változtat azon, ami valójában megállít egy támadást: az erős hálózati szegmentáció, a korlátozott távoli hozzáférés és a megbízható biztonsági mentések. Azok a szervezetek, amelyek ezeket az alapokat folyamatos prioritásként kezelik, nem pedig egyszeri projektekként, sokkal jobb helyzetben lesznek, függetlenül attól, hogy egyetlen csoport infrastruktúrája mennyire válik ellenállóvá.