Ransomware DeadLock, sebuah operasi ransomware, telah menemukan cara baru untuk menjaga infrastruktur serangannya tetap hidup: menyembunyikan sebagian konfigurasi command-and-control (C2)-nya di blockchain Polygon. Kelompok ini, yang telah mengklaim lebih dari 80 korban di seluruh dunia melalui pemerasan ganda, menggunakan prinsip desentralisasi yang sama yang mendukung mata uang kripto untuk membuat operasinya lebih sulit dimatikan oleh pihak pertahanan dan penegak hukum.
Bagaimana DeadLock Menyembunyikan Infrastruktur Komandonya di Polygon
Ransomware tradisional bergantung pada server yang dapat diidentifikasi, disita, atau di-sinkhole oleh peneliti keamanan dan penegak hukum setelah ditemukan. Operator DeadLock tampaknya menghindari kerentanan itu dengan menyimpan data konfigurasi C2 langsung di blockchain Polygon, jaringan publik yang biasanya digunakan untuk transaksi mata uang kripto dan aplikasi terdesentralisasi.
Dengan menuliskan detail konfigurasi ke dalam transaksi blockchain atau kontrak pintar, malware dapat mengambil instruksi dari sumber yang tidak di-hosting di server tunggal mana pun. Tidak ada domain yang bisa disita dan tidak ada penyedia hosting yang bisa ditekan untuk memutus koneksi. Selama jaringan Polygon itu sendiri berjalan, data yang diandalkan DeadLock tetap dapat diakses. Ini mencerminkan tren yang lebih luas yang telah ditandai oleh tim keamanan pada keluarga malware lain yang bereksperimen dengan infrastruktur on-chain, tetapi kemunculannya dalam kampanye ransomware aktif menegaskan seberapa cepat teknik ini menyebar melampaui riset bukti konsep.
Pendekatan ini dibangun di atas taktik yang telah ditunjukkan DeadLock dengan agresif. Seperti dirinci dalam laporan sebelumnya tentang bagaimana ransomware DeadLock mematikan Defender, backup, dan log peristiwa, kelompok ini memadukan metode intrusi yang sudah dikenal dengan fokus yang disengaja untuk menghilangkan apa pun yang dapat membantu korban pulih atau penyelidik melacak serangan.
Mengapa C2 Berbasis Blockchain Lebih Sulit Ditutup Dibandingkan Server Tradisional
Penghapusan ransomware biasanya bergantung pada mengidentifikasi dan mengganggu titik kegagalan terpusat: server komando, registrar domain, perusahaan hosting yang bersedia bekerja sama. Blockchain publik tidak menawarkan target tunggal semacam itu. Polygon, seperti jaringan blockchain lainnya, didistribusikan ke ribuan node independen tanpa operator pusat yang dapat dengan mudah menghapus transaksi atau memblokir alamat.
Ketahanan itulah yang membuat buku besar terdesentralisasi menarik bagi penyerang yang ingin bertahan lebih lama dari upaya penegakan hukum. Bahkan jika peneliti keamanan mengidentifikasi kontrak atau alamat dompet tertentu yang digunakan DeadLock, menghapus data itu dari blockchain tidak realistis setelah tercatat. Penyidik dapat memantau aktivitas dan berpotensi melacak dompet terkait, tetapi mereka tidak dapat menarik tuas yang sama seperti yang mereka lakukan terhadap server sewaan di pusat data. Ini mengubah keseimbangan pertarungan: pembela harus lebih fokus mendeteksi perilaku malware pada sistem yang terinfeksi daripada mengandalkan penggangguan rantai pasok infrastrukturnya.
Siapa yang Menjadi Target dan Apa Arti Pemerasan Ganda bagi Korban
Jumlah korban DeadLock, kini lebih dari 80 organisasi di seluruh dunia, mencerminkan model pemerasan ganda yang telah menjadi standar di antara kelompok ransomware bermotif finansial. Malware ini mengenkripsi file korban, memutus akses ke sistem penting, sementara operator secara bersamaan mengancam akan membocorkan data yang dicuri secara publik kecuali tebusan dibayar. Ini memberi korban dua alasan terpisah untuk membayar: memulihkan operasi dan mencegah paparan data yang merusak.
Konsekuensi dari ancaman kedua itu menjadi nyata dalam sebuah kasus yang pernah diliput sebelumnya di situs ini, di mana pelanggaran ransomware DeadLock mengungkap catatan selama satu dekade di Diater, sebuah perusahaan biofarmasi yang data kesehatannya yang sensitif terancam. Insiden itu menggambarkan bagaimana kampanye pemerasan ganda tidak berakhir dengan keputusan tebusan; data yang bocor dapat beredar lama setelah serangan diatasi, memengaruhi pasien, pelanggan, atau mitra yang tidak memiliki peran langsung dalam pelanggaran tersebut.
Apa Artinya bagi Anda
Sebagian besar pembaca tidak akan menjadi target langsung kelompok ransomware seperti DeadLock, tetapi efek bergelombang dari serangan ini menjangkau orang biasa yang data pribadinya berada di dalam sistem organisasi yang menjadi target. Pengaturan C2 yang tahan blockchain tidak mengubah apa yang terjadi di pihak Anda saat terjadi pelanggaran: informasi Anda tetap bisa terekspos dalam kebocoran, terlepas dari seberapa canggihnya infrastruktur backend penyerang.
Bagi organisasi, kesimpulannya lebih langsung. Kelompok ransomware meminjam teknik ketahanan dari dunia kripto justru karena penutupan telah menjadi efek jera yang nyata. Itu berarti pertarungan semakin harus terjadi lebih awal, pada titik intrusi dan enkripsi, daripada mengandalkan penggangguan infrastruktur setelah kejadian.
Pertahanan Praktis terhadap Ransomware Seperti DeadLock
Segelintir dasar-dasar masih lebih penting daripada produk keamanan tunggal mana pun. Pertahankan cadangan offline yang tidak dapat diubah, yang tidak dapat dijangkau atau dihapus oleh ransomware bersama sistem utama Anda. Segmentasikan jaringan sehingga satu titik akhir yang terinfeksi tidak dapat meluas menjadi enkripsi penuh pada drive bersama dan server. Selalu perbarui alat deteksi titik akhir dan pantau perilaku terkait penonaktifan perangkat lunak keamanan atau pembersihan log peristiwa, pola yang telah digunakan DeadLock sebelum mendapatkan kendali penuh atas jaringan.
Munculnya ketahanan penutupan C2 berbasis blockchain pada ransomware adalah pengingat bahwa penyerang beradaptasi lebih cepat daripada yang bisa diimbangi oleh satu alat pertahanan mana pun. Keamanan berlapis, cadangan yang diuji, dan deteksi cepat tetap menjadi cara paling andal untuk membatasi kerusakan ketika pencegahan saja tidak cukup. Tetap mengetahui cara kelompok seperti DeadLock beroperasi, dan mengambil langkah perlindungan dasar sekarang, tetaplah cara paling praktis untuk mengurangi paparan Anda terhadap pelanggaran yang akan menjadi berita utama berikutnya.
