Come DeadLock usa la blockchain per resistere ai takedown

I gruppi ransomware dipendono da tempo da server, domini e provider di hosting che i ricercatori di sicurezza e le forze dell'ordine possono prima o poi sequestrare o inserire in blacklist. Il gruppo ransomware DeadLock sta cercando di eliminare questo punto debole dall'equazione. Secondo recenti segnalazioni, DeadLock ora archivia informazioni critiche sull'infrastruttura, come indirizzi proxy o di comunicazione, su una blockchain pubblica anziché su server che possono essere messi offline con mezzi convenzionali.

Ancorando questi dati a un registro decentralizzato, DeadLock rende molto più difficile per i difensori interrompere le operazioni con un'unica azione coordinata. I takedown tradizionali si basano sull'identificazione di un punto centrale di guasto: un provider di hosting, un registrar di domini o un indirizzo IP che può essere dirottato tramite sinkhole. Quando queste informazioni risiedono invece su una blockchain, non c'è una singola azienda o entità a cui notificare un ordine legale e non c'è un singolo server da sequestrare. I dati persistono su una rete distribuita di nodi che nessuno controlla individualmente: è esattamente la proprietà di resilienza che la tecnologia blockchain è stata progettata per fornire, ora riutilizzata per infrastrutture criminali.

Questa non è l'unica mossa del gruppo verso decentralizzazione ed elusione. DeadLock è stato inoltre osservato mentre aggiungeva l'app di messaggistica Session al proprio toolkit per mantenere attive le comunicazioni con le vittime anche dopo che altri canali vengono interrotti. Insieme, queste scelte indicano una strategia deliberata: creare ridondanza in ogni livello dell'operazione affinché nessun singolo intervento di disturbo possa fermare l'intero sistema.

Perché le tattiche tradizionali di contrasto ai ransomware stanno perdendo terreno

Per anni, il manuale standard per combattere le infrastrutture ransomware ha previsto la collaborazione tra ricercatori di sicurezza, provider di hosting e forze dell'ordine per identificare e smantellare server di comando e controllo, portali di negoziazione e siti di fuga di dati. Questo approccio ha funzionato abbastanza bene contro i gruppi che si affidano a hosting web centralizzato, perché tali servizi sono in ultima analisi soggetti alla giurisdizione legale e ai termini di servizio dei provider.

L'infrastruttura basata su blockchain aggira gran parte di questa leva. Non c'è alcuna società di hosting da pressare né un registrar centrale da avvisare. Anche se i difensori identificano gli indirizzi blockchain utilizzati da DeadLock, la rete sottostante continua comunque a funzionare. Questo sposta nuovamente l'onere sui difensori, che devono concentrarsi su altri punti critici, come i metodi di distribuzione del malware, i flussi di pagamento o gli endpoint in cui avviene effettivamente la cifratura, piuttosto che aspettarsi che un singolo e definitivo takedown dell'infrastruttura risolva il problema.

Indica inoltre una tendenza più ampia da tenere d'occhio. Man mano che le tecnologie decentralizzate diventano più facili da usare e più ampiamente disponibili, è probabile che altri operatori ransomware sperimentino tecniche di resilienza simili: i difensori non dovrebbero quindi considerare questa una tattica isolata limitata a un solo gruppo.

Cosa significa per organizzazioni e individui a rischio

Per la maggior parte delle organizzazioni, l'impatto pratico dell'infrastruttura blockchain di DeadLock riguarda meno la tecnologia in sé e più ciò che rappresenta: i gruppi ransomware stanno diventando più difficili da colpire dall'esterno, il che significa che prevenzione e contenimento all'interno della propria rete contano più che mai. Aspettare che le forze dell'ordine o i ricercatori smantellino l'infrastruttura di un gruppo non è più una rete di sicurezza affidabile, se mai lo è stata davvero.

Questo è particolarmente rilevante per le piccole e medie imprese che potrebbero presumere che gli sforzi di contrasto ai ransomware finiranno per neutralizzare le minacce al posto loro. L'approccio di DeadLock ricorda che la responsabilità della resilienza spetta principalmente alle organizzazioni prese di mira, non all'ecosistema dei takedown che cerca di recuperare dopo che il danno è stato fatto.

Passi difensivi: isolamento della rete, VPN e riduzione della superficie d'attacco

La buona notizia è che i fondamenti della difesa contro i ransomware non sono cambiati solo perché l'infrastruttura backend di un gruppo è più difficile da smantellare. Alcuni accorgimenti pratici restano molto efficaci:

  • Segmenta la rete in modo che un singolo dispositivo o account compromesso non possa raggiungere tutti i sistemi. L'isolamento della rete limita la diffusione del ransomware anche dopo un accesso iniziale.
  • Usa una VPN per l'accesso remoto invece di esporre direttamente a Internet il protocollo desktop remoto o altre porte di gestione. Ridurre la superficie d'attacco pubblica rende più difficile per gli aggressori trovare in primo luogo un punto d'ingresso.
  • Mantieni backup offline e testati affinché il recupero dei dati non dipenda dal negoziare con gli aggressori o dall'attendere il takedown delle infrastrutture.
  • Applica patch e monitora gli endpoint in modo rigoroso, poiché il ransomware richiede comunque in genere un primo punto d'appoggio tramite phishing, servizi esposti o software non aggiornato prima che un backend basato su blockchain entri in gioco.

Nessuna di queste misure richiede strumenti esotici, ma richiede costanza e continuità, che è spesso il punto in cui le organizzazioni falliscono.

Conclusione

L'uso dell'infrastruttura blockchain da parte di DeadLock per resistere ai takedown mostra come gli operatori ransomware si stiano adattando più velocemente degli strumenti tradizionalmente usati per combatterli. L'approccio all'infrastruttura blockchain del ransomware DeadLock non cambia ciò che ferma davvero un attacco: una solida segmentazione della rete, un accesso remoto limitato e backup affidabili. Le organizzazioni che trattano questi elementi di base come priorità continue, piuttosto che come progetti una tantum, saranno molto più preparate indipendentemente da quanto diventi resiliente l'infrastruttura di un singolo gruppo.