Cara DeadLock Menonaktifkan Windows Defender dan Menghapus Backup

DeadLock adalah operasi ransomware bermotif finansial yang menarik perhatian karena menggabungkan teknik intrusi yang sudah dikenal dengan infrastruktur yang dibangun khusus untuk menahan upaya penakelasan. Menurut peneliti keamanan yang memantau kelompok ini, operator DeadLock tidak sekadar menjatuhkan malware dan berharap malware lolos dari alat keamanan. Sebaliknya, mereka secara metodis menetralkan pertahanan korban bahkan sebelum enkripsi dimulai.

Proses tersebut biasanya dimulai dengan menonaktifkan Windows Defender, menghilangkan perlindungan bawaan yang diandalkan banyak organisasi sebagai garis pertahanan utama. Dari sana, DeadLock menyasar sistem backup, langkah yang sangat merusak karena backup sering kali menjadi cara tercepat bagi korban untuk pulih tanpa membayar tebusan. Akhirnya, kelompok ini menghapus log peristiwa Windows, menghilangkan sebagian besar jejak forensik yang biasanya digunakan oleh penanggap insiden untuk merekonstruksi serangan dan memahami bagaimana serangan itu terjadi.

Kombinasi ini disengaja. Pada saat file benar-benar dienkripsi, organisasi korban sudah kehilangan jaring pengamannya dan sebagian besar kemampuannya untuk menyelidiki intrusi. Ini bukan malware yang asal serang; ini adalah operasi terstruktur yang dirancang untuk memaksimalkan daya tawar terhadap korban.

Mengapa Keamanan Titik Akhir Saja Gagal Melawan Ransomware Modern

Buku panduan DeadLock merupakan pengingat tajam bahwa antivirus titik akhir, bahkan jika itu adalah produk yang mumpuni seperti Windows Defender, bukanlah solusi mandiri. Jika operator ransomware memperoleh hak istimewa yang cukup di jaringan untuk menonaktifkan perangkat lunak keamanan, menghapus backup, dan membersihkan log, itu berarti mereka sudah bergerak jauh melampaui titik di mana satu alat pun dapat menghentikan mereka.

Kelompok ransomware modern semakin merencanakan skenario persis ini. Mereka berasumsi bahwa pihak pertahanan memiliki antivirus yang berjalan, dan mereka menyertakan langkah-langkah khusus untuk mematikannya atau mengakalinya. Itu menggeser medan pertempuran sesungguhnya dari “apakah antivirus akan menangkap file tersebut” menjadi “seberapa cepat pergerakan lateral yang mencurigakan, eskalasi hak istimewa, atau aktivitas administratif yang tidak biasa dapat terdeteksi dan dihentikan sebelum enkripsi dimulai.”

Inilah sebabnya tim keamanan semakin banyak berbicara tentang deteksi dan respons, bukan hanya pencegahan. Satu kredensial yang terkompromi atau sistem yang salah konfigurasi dapat cukup bagi penyerang untuk mencapai titik di mana mereka menonaktifkan perlindungan alih-alih menghindarinya. Alat titik akhir tetap berharga, tetapi bekerja paling baik sebagai satu lapisan di antara beberapa lapisan, bukan sebagai garis pertahanan terakhir.

Lapisan Pertahanan: Segmentasi Jaringan, VPN, dan Backup Offline

Karena taktik DeadLock dibangun seputar menghilangkan opsi pemulihan korban, tindakan penanggulangan yang paling efektif berfokus pada membatasi seberapa jauh penyerang dapat bergerak dan memastikan ada jalur pemulihan yang tidak dapat dijangkau penyerang.

Segmentasi jaringan adalah salah satu langkah paling praktis yang dapat diambil organisasi. Dengan membagi jaringan menjadi zona-zona yang lebih kecil dan terisolasi, workstation atau server yang terkompromi tidak otomatis memberikan jalur bagi penyerang ke server backup, pengontrol domain, atau sistem bernilai tinggi lainnya. Pembatasan ini dapat menjadi pembeda antara insiden yang terlokalisasi dan penutupan seluruh organisasi.

Akses jarak jauh yang aman sama pentingnya. VPN dan alat akses terenkripsi lainnya membantu memastikan bahwa koneksi ke jaringan perusahaan, terutama untuk karyawan jarak jauh dan vendor pihak ketiga, diautentikasi dan dipantau alih-alih dibiarkan sebagai pintu terbuka. Dikombinasikan dengan kontrol akses yang kuat, ini mengurangi jumlah titik masuk yang dapat dieksploitasi oleh penyerang seperti operator DeadLock untuk mendapatkan pijakan awal yang mereka butuhkan sebelum meningkatkan hak istimewa.

Backup offline atau tidak dapat diubah (immutable) patut mendapat perhatian khusus mengingat fokus spesifik DeadLock pada penghancuran data pemulihan. Backup yang terputus dari jaringan, atau disimpan dengan cara yang mencegah modifikasi bahkan oleh akun administrator, tidak dapat dihapus atau dienkripsi bersamaan dengan sistem produksi. Menguji secara berkala bahwa backup ini benar-benar dapat dipulihkan dengan benar sama pentingnya dengan mempertahankannya sejak awal.

Apa yang Diungkapkan Taktik DeadLock tentang Infrastruktur Ransomware Terdesentralisasi

Di luar langkah-langkah teknis yang diambil terhadap korban individu, pilihan infrastruktur DeadLock menunjuk pada tren yang lebih luas di kalangan operator ransomware: membangun sistem yang dirancang untuk bertahan dari tekanan penegakan hukum dan upaya penakelasan. Infrastruktur terdesentralisasi mempersulit pihak pertahanan dan otoritas untuk mengganggu seluruh operasi dengan menargetkan satu server atau domain, yang berarti kelompok ini dapat terus beroperasi bahkan setelah sebagian jaringannya terungkap atau disita.

Ketangguhan ini mencerminkan apa yang terjadi setelah salah satu intrusi yang dikonfirmasi oleh DeadLock. Pelanggaran ransomware DeadLock yang mengekspos satu dekade catatan Diater menunjukkan seberapa besar kerusakan yang dapat ditimbulkan oleh satu intrusi yang berhasil setelah backup dan kemampuan deteksi dilucuti, dan seberapa panjang konsekuensi yang dapat ditimbulkan bagi organisasi dan individu yang datanya terlibat.

Apa Artinya Bagi Anda

Bagi sebagian besar pembaca, target DeadLock adalah organisasi, bukan individu, tetapi pelajaran dasarnya berlaku secara luas. Jika Anda mengelola TI untuk bisnis, atau Anda bertanggung jawab melindungi data sensitif apa pun, asumsikan bahwa penyerang yang gigih yang berhasil mendapatkan pijakan akan mencoba menonaktifkan alat keamanan Anda dan menghancurkan backup Anda, bukan hanya mengenkripsi file Anda. Rencanakan pertahanan Anda berdasarkan asumsi itu, bukan berdasarkan harapan bahwa antivirus saja akan menangkap upaya awal.

Bagi karyawan dan pekerja jarak jauh, hal ini juga memperkuat nilai penggunaan koneksi yang aman dan terpantau alih-alih akses jarak jauh ad hoc saat tersambung ke sistem kerja, karena titik masuk yang lemah adalah persis apa yang diandalkan oleh operasi seperti DeadLock untuk memulai.

Hal-Hal yang Dapat Ditindaklanjuti

  • Jangan andalkan antivirus titik akhir sebagai satu-satunya pertahanan Anda; padukan dengan pemantauan untuk eskalasi hak istimewa yang tidak biasa dan pergerakan lateral.
  • Segmentasi jaringan sehingga satu perangkat yang terkompromi tidak dapat mencapai sistem backup atau infrastruktur penting.
  • Pertahankan backup offline atau tidak dapat diubah (immutable) dan uji pemulihan secara berkala.
  • Gunakan VPN dan autentikasi kuat untuk akses jarak jauh guna mengurangi titik masuk yang terekspos.
  • Tinjau insiden dunia nyata seperti pelanggaran Diater yang terkait dengan DeadLock untuk memahami risiko praktis dari mengabaikan lapisan pertahanan.

Perlindungan terhadap ransomware DeadLock bukanlah tentang menemukan satu alat yang sempurna. Ini tentang membangun pertahanan yang saling tumpang tindih sehingga meskipun satu lapisan gagal, penyerang masih menghadapi rintangan sebelum mencapai titik yang tidak bisa kembali.