Come DeadLock disabilita Windows Defender e cancella i backup

DeadLock è un'operazione ransomware a scopo di lucro che ha attirato l'attenzione per l'uso combinato di tecniche di intrusione familiari con un'infrastruttura costruita appositamente per resistere ai tentativi di smantellamento. Secondo i ricercatori di sicurezza che seguono il gruppo, gli operatori di DeadLock non si limitano a rilasciare malware sperando che sfugga agli strumenti di sicurezza. Invece, neutralizzano metodicamente le difese della vittima prima ancora che la crittografia abbia inizio.

Questo processo inizia in genere con la disabilitazione di Windows Defender, eliminando la protezione integrata su cui molte organizzazioni fanno affidamento come prima linea di difesa. Da lì, DeadLock prende di mira i sistemi di backup, un passaggio particolarmente dannoso perché i backup rappresentano spesso il modo più rapido per una vittima di recuperare i dati senza pagare il riscatto. Infine, il gruppo cancella i registri eventi di Windows, rimuovendo gran parte della traccia forense che gli addetti alla risposta agli incidenti userebbero normalmente per ricostruire l'attacco e capire come è avvenuto.

La combinazione è deliberata. Quando i file vengono effettivamente crittografati, l'organizzazione vittima ha già perso la propria rete di sicurezza e gran parte della capacità di indagare sull'intrusione. Non si tratta di un malware mordi e fuggi; è un'operazione strutturata progettata per massimizzare la pressione sulla vittima.

Perché la sola sicurezza degli endpoint fallisce contro il ransomware moderno

Il playbook di DeadLock è un promemoria stringente che un antivirus per endpoint, anche quando è un prodotto valido come Windows Defender, non è una soluzione autonoma. Se un operatore ransomware guadagna abbastanza privilegi sulla rete da disabilitare il software di sicurezza, eliminare i backup e cancellare i registri, significa che si è già spinto ben oltre il punto in cui un singolo strumento avrebbe potuto fermarlo.

I moderni gruppi ransomware pianificano sempre più spesso proprio questo scenario. Danno per scontato che i difensori abbiano un antivirus in esecuzione e inseriscono passaggi specifici per disattivarlo o aggirarlo. Questo sposta il vero campo di battaglia da "l'antivirus rileverà il file?" a "quanto velocemente si possono individuare e bloccare movimenti laterali sospetti, escalation dei privilegi o attività amministrative anomale prima che inizi la crittografia?"

Ecco perché i team di sicurezza parlano sempre più di rilevamento e risposta piuttosto che di sola prevenzione. Una singola credenziale compromessa o un sistema mal configurato possono bastare a un attaccante per raggiungere il punto in cui disabilita le protezioni anziché evaderle. Gli strumenti per endpoint rimangono preziosi, ma funzionano al meglio come uno strato tra diversi, non come l'ultima linea di difesa.

Difese a strati: segmentazione della rete, VPN e backup offline

Poiché le tattiche di DeadLock sono costruite attorno alla rimozione delle opzioni di recupero della vittima, le contromisure più efficaci si concentrano sul limitare la capacità di movimento di un attaccante e sul garantire che esistano percorsi di recupero non raggiungibili dall'attaccante.

La segmentazione della rete è uno dei passaggi più pratici che le organizzazioni possono compiere. Suddividendo le reti in zone più piccole e isolate, una postazione di lavoro o un server compromesso non offre automaticamente all'attaccante una via verso i server di backup, i controller di dominio o altri sistemi di alto valore. Questo contenimento può fare la differenza tra un incidente circoscritto e un blocco totale dell'organizzazione.

L'accesso remoto sicuro conta altrettanto. Le VPN e altri strumenti di accesso crittografato aiutano a garantire che le connessioni verso le reti aziendali, in particolare per i dipendenti remoti e i fornitori terzi, siano autenticate e monitorate anziché lasciate come una porta aperta. Combinato con solidi controlli di accesso, questo riduce il numero di punti di ingresso che un attaccante come gli operatori di DeadLock può sfruttare per ottenere il punto d'appoggio iniziale necessario prima di aumentare i privilegi.

I backup offline o immutabili meritano un'attenzione particolare, dato l'obiettivo specifico di DeadLock di distruggere i dati di recupero. I backup disconnessi dalla rete, o archiviati in modo da impedire modifiche anche da parte di un account amministratore, non possono essere eliminati né crittografati insieme ai sistemi di produzione. Testare regolarmente che questi backup vengano ripristinati correttamente è altrettanto importante quanto mantenerli in primo luogo.

Cosa rivelano le tattiche di DeadLock sull'infrastruttura ransomware decentralizzata

Oltre ai passaggi tecnici adottati contro le singole vittime, le scelte infrastrutturali di DeadLock indicano una tendenza più ampia tra gli operatori ransomware: costruire sistemi progettati per sopravvivere alla pressione delle forze dell'ordine e ai tentativi di smantellamento. Un'infrastruttura decentralizzata rende più difficile per difensori e autorità interrompere un'intera operazione prendendo di mira un singolo server o dominio, il che significa che il gruppo può continuare a operare anche dopo che parti della sua rete sono state esposte o sequestrate.

Questa resilienza rispecchia quanto accaduto all'indomani di una delle intrusioni confermate di DeadLock. La violazione ransomware DeadLock che ha esposto un decennio di dati di Diater ha mostrato quanto danno possa causare una singola intrusione riuscita una volta che backup e capacità di rilevamento sono stati eliminati, e quanto le conseguenze possano essere durature per le organizzazioni e gli individui i cui dati sono stati coinvolti.

Cosa significa per te

Per la maggior parte dei lettori, i bersagli di DeadLock sono le organizzazioni piuttosto che gli individui, ma la lezione di fondo si applica in senso ampio. Se gestisci l'IT per un'azienda, o sei responsabile della protezione di dati sensibili di qualsiasi tipo, da' per scontato che un attaccante determinato che ottiene un punto d'appoggio cercherà di disabilitare i tuoi strumenti di sicurezza e distruggere i tuoi backup, non solo di crittografare i file. Pianifica le tue difese basandoti su questa ipotesi, piuttosto che sulla speranza che l'antivirus da solo riesca a bloccare il tentativo iniziale.

Per i dipendenti e i lavoratori remoti, questo rafforza anche il valore di utilizzare connessioni sicure e monitorate anziché accessi remoti improvvisati quando ci si collega ai sistemi di lavoro, poiché punti di ingresso deboli sono esattamente ciò su cui operazioni come DeadLock fanno affidamento per iniziare.

Azioni pratiche da intraprendere

  • Non affidarti all'antivirus per endpoint come unica difesa; abbinalo al monitoraggio di escalation di privilegi anomale e movimenti laterali.
  • Segmenta le reti in modo che un singolo dispositivo compromesso non possa raggiungere i sistemi di backup o le infrastrutture critiche.
  • Mantieni backup offline o immutabili e testa regolarmente il ripristino.
  • Utilizza VPN e autenticazione forte per l'accesso remoto, così da ridurre i punti di ingresso esposti.
  • Esamina incidenti reali come la violazione di Diater legata a DeadLock per comprendere i rischi concreti di omettere difese a strati.

La protezione dal ransomware DeadLock non consiste nel trovare uno strumento perfetto. Si tratta di costruire difese sovrapposte in modo che, anche se uno strato viene meno, l'attaccante incontri comunque ostacoli prima di raggiungere il punto di non ritorno.