DeadLockがブロックチェーンを使ってテイクダウンに抵抗する方法

ランサムウェアグループは長年、セキュリティ研究者や法執行機関が最終的に押収またはブラックリストに登録できるサーバー、ドメイン、ホスティング事業者に依存してきた。DeadLockランサムウェアグループは、その弱点を方程式から排除しようとしている。最近の報道によると、DeadLockは現在、プロキシや通信アドレスなどの重要インフラ情報を、従来の手段でオフラインにできるサーバーではなく、パブリックブロックチェーン上に保存している。

このデータを分散型台帳に固定することで、DeadLockは防御側が単一の連携した行動で運用を妨害することをはるかに困難にしている。従来のテイクダウンは、単一の障害点（ホスティング事業者、ドメインレジストラ、シンクホール可能なIPアドレス）を特定することに依存している。その情報が代わりにブロックチェーン上にある場合、法的命令を送達すべき単一の企業や団体は存在せず、押収すべき単一のサーバーもない。データは誰も個別に管理していない分散ノードのネットワーク全体に永続し、これはブロックチェーン技術が提供するために設計されたまさにその耐障害性であり、今や犯罪インフラのために転用されている。

これは、このグループによる分散化と回避への唯一の動きではない。DeadLockは、他のチャネルが妨害された後も被害者との通信を継続させる方法として、ツールキットにSessionメッセージングアプリを追加しているのも確認されている。これらの選択は、運用のあらゆる層に冗長性を組み込み、単一の妨害活動で全体を停止させないという意図的な戦略を示している。

従来のランサムウェア妨害戦術が通用しなくなっている理由

長年、ランサムウェアインフラと戦うための標準的な手順は、セキュリティ研究者、ホスティング事業者、法執行機関が協力して、コマンド＆コントロールサーバー、交渉ポータル、リークサイトを特定して解体するというものだった。このアプローチは、集中型ウェブホスティングに依存するグループに対してはまずまず機能してきた。なぜなら、それらのサービスは最終的に法的管轄権やプロバイダーの利用規約の対象となるからだ。

ブロックチェーンベースのインフラは、そのような影響力の多くを回避する。圧力をかけるべきホスティング会社も、通知すべき中央レジストラも存在しない。防御側がDeadLockの使用しているブロックチェーンアドレスを特定しても、基盤となるネットワークは関係なく動き続ける。これにより、問題を解決するために一度限りのクリーンなインフラテイクダウンを期待するのではなく、マルウェアの配布方法、支払いの流れ、実際に暗号化が行われるエンドポイントなど、他のチョークポイントに焦点を当てるよう防御側に負担が移る。

これは、注目すべきより広い傾向も示している。分散型技術が使いやすくなり、より広く利用可能になるにつれて、他のランサムウェア運営者も同様の耐障害性技術を試す可能性が高い。つまり、防御側はこれが単一グループに限られた一度限りの戦術だと考えてはならない。

リスクにさらされている組織と個人にとっての意味

ほとんどの組織にとって、DeadLockのブロックチェーンインフラの実際の影響は、その技術自体よりも、それが何を意味するかにある。ランサムウェアグループは外部から妨害するのがますます難しくなっており、つまり自社ネットワーク内部での予防と封じ込めがこれまで以上に重要になっている。法執行機関や研究者がグループのインフラを解体するのを待つことは、かつて本当にそうだったとしても、もはや信頼できる安全網ではない。

これは、ランサムウェアの妨害活動がいずれ自分たちの代わりに脅威を無力化してくれると考えるかもしれない中小企業にとって特に関係がある。DeadLockのアプローチは、レジリエンスの責任は主に標的となっている組織にあり、事後に追いつこうとするテイクダウンのエコシステムにはないことを思い出させてくれる。

防御策：ネットワーク分離、VPN、攻撃対象領域の削減

良い知らせは、グループのバックエンドインフラが停止しにくくなったからといって、ランサムウェア防御の基本が変わったわけではないということだ。いくつかの実践的な対策は依然として非常に効果的だ。

  • ネットワークをセグメント化し、侵害された単一のデバイスやアカウントがすべてのシステムに到達できないようにする。ネットワーク分離は、初期アクセス後もランサムウェアが拡散できる範囲を制限する。
  • リモートアクセスにはVPNを使用し、リモートデスクトッププロトコルやその他の管理ポートを直接インターネットに公開しない。公共の攻撃対象領域を減らすことで、攻撃者がそもそも侵入口を見つけるのが難しくなる。
  • オフラインでテスト済みのバックアップを維持し、データ復旧が攻撃者との交渉やインフラテイクダウン待ちに依存しないようにする。
  • エンドポイントを積極的にパッチ適用し監視する。ランサムウェアは通常、ブロックチェーンベースのバックエンドが関与する前に、フィッシング、露出したサービス、未パッチのソフトウェアを通じて最初の足がかりを必要とするためだ。

これらの対策は特別なツールを必要としないが、一貫性と最後までの実行を必要とする。そして、組織がつまずくのは多くの場合そこだ。

結論

DeadLockがテイクダウンに抵抗するためにブロックチェーンインフラを使用していることは、ランサムウェア運営者が、従来それらと戦うために使われてきたツールよりも速く適応していることを示している。DeadLockのランサムウェアブロックチェーンインフラというアプローチは、実際に攻撃を食い止めるもの、すなわち強力なネットワークセグメンテーション、制限されたリモートアクセス、信頼できるバックアップを変えるものではない。これらの基本を一度限りのプロジェクトではなく継続的な優先事項として扱う組織は、単一グループのインフラがどれほど強靭になっても、はるかに有利な立場に立てるだろう。