DeadLock이 차단에 저항하기 위해 블록체인을 사용하는 방법

랜섬웨어 그룹은 오랫동안 보안 연구자와 법 집행 기관이 결국 압수하거나 블랙리스트에 올릴 수 있는 서버, 도메인, 호스팅 제공업체에 의존해 왔습니다. DeadLock 랜섬웨어 그룹은 그 약점을 제거하려 하고 있습니다. 최근 보도에 따르면, DeadLock은 이제 프록시나 통신 주소와 같은 핵심 인프라 정보를 기존 방식으로 오프라인으로 만들 수 있는 서버가 아닌 퍼블릭 블록체인에 저장합니다.

이 데이터를 탈중앙화 원장에 고정함으로써 DeadLock은 방어자가 단일 조정 조치로 운영을 방해하는 것을 훨씬 더 어렵게 만듭니다. 전통적인 차단은 호스팅 제공업체, 도메인 등록기관, 싱크홀 처리할 수 있는 IP 주소와 같은 중앙 집중식 장애 지점을 식별하는 데 의존합니다. 그 정보가 대신 블록체인에 존재하면 법적 명령을 전달할 단일 회사나 주체가 없고 압수할 단일 서버도 없습니다. 데이터는 아무도 개별적으로 통제하지 않는 분산 노드 네트워크 전반에 걸쳐 지속되며, 이는 바로 블록체인 기술이 제공하도록 설계된 복원력 속성이 이제 범죄 인프라에 재활용된 것입니다.

이것이 이 그룹의 탈중앙화와 회피를 향한 유일한 움직임은 아닙니다. DeadLock은 다른 채널이 방해를 받은 후에도 피해자와의 통신을 계속 유지하기 위한 방법으로 툴킷에 Session 메시징 앱을 추가하는 모습도 관찰되었습니다. 이러한 선택은 하나의 의도적인 전략을 가리킵니다. 즉, 단일 방해 시도로 전체를 마비시킬 수 없도록 운영의 모든 계층에 이중화를 구축하는 것입니다.

전통적인 랜섬웨어 차단 전술이 효과를 잃고 있는 이유

수년간 랜섬웨어 인프라에 맞서기 위한 표준 전술은 보안 연구자, 호스팅 제공업체, 법 집행 기관이 협력하여 명령 제어 서버, 협상 포털, 유출 사이트를 식별하고 해체하는 것이었습니다. 이 접근 방식은 중앙 집중식 웹 호스팅에 의존하는 그룹에 대해서는 비교적 잘 작동해 왔습니다. 그러한 서비스는 궁극적으로 법적 관할권과 제공업체의 서비스 약관에 따르기 때문입니다.

블록체인 기반 인프라는 그러한 영향력의 상당 부분을 우회합니다. 압박할 호스팅 회사도 없고 알릴 중앙 등록기관도 없습니다. 방어자가 DeadLock이 사용하는 블록체인 주소를 식별하더라도 기본 네트워크는 그와 상관없이 계속 작동합니다. 이는 방어자가 일회성으로 깔끔한 인프라 차단이 문제를 해결해 주기를 기대하기보다, 멀웨어의 유포 방식, 자금 흐름 또는 실제 암호화가 발생하는 엔드포인트와 같은 다른 핵심 지점에 집중하도록 부담을 되돌립니다.

이는 또한 주목할 만한 더 넓은 추세를 시사합니다. 탈중앙화 기술이 사용하기 쉬워지고 더 널리 보급됨에 따라 다른 랜섬웨어 운영자들도 유사한 복원력 기술을 실험할 가능성이 높으며, 이는 방어자가 이것이 단일 그룹에 국한된 일회성 전술이라고 가정해서는 안 된다는 것을 의미합니다.

이것이 위험에 처한 조직과 개인에게 의미하는 것

대부분의 조직에서 DeadLock의 블록체인 인프라가 미치는 실질적인 영향은 기술 자체보다는 그것이 의미하는 바에 더 가깝습니다. 랜섬웨어 그룹을 외부에서 방해하기가 점점 더 어려워지고 있으며, 이는 자체 네트워크 내부에서의 예방과 격리가 그 어느 때보다 중요하다는 뜻입니다. 법 집행 기관이나 연구자들이 그룹의 인프라를 해체해 주기를 기다리는 것은 더 이상 신뢰할 수 있는 안전망이 아닙니다. 애초에 진정으로 그랬던 적이 있었다고 해도 말입니다.

이는 랜섬웨어 차단 노력이 결국 자신들을 대신해 위협을 무력화해 줄 것이라고 가정할 수 있는 중소기업에 특히 관련이 깊습니다. DeadLock의 접근 방식은 복원력에 대한 책임이 사후에 따라잡으려 애쓰는 차단 생태계가 아니라, 표적이 되는 조직 자신에게 주로 있다는 점을 상기시킵니다.

방어 조치: 네트워크 격리, VPN, 공격 표면 축소

좋은 소식은 그룹의 백엔드 인프라가 차단하기 더 어려워졌다고 해서 랜섬웨어 방어의 기본 원칙이 달라진 것은 아니라는 점입니다. 몇 가지 실용적인 조치는 여전히 매우 효과적입니다.

  • 네트워크를 분할하여 단일 손상된 기기나 계정이 모든 시스템에 도달할 수 없게 하십시오. 네트워크 격리는 초기 접근 이후에도 랜섬웨어가 퍼질 수 있는 범위를 제한합니다.
  • 원격 데스크톱 프로토콜이나 기타 관리 포트를 인터넷에 직접 노출하지 말고 원격 접근에 VPN을 사용하십시오. 공공 공격 표면을 줄이면 공격자가 애초에 진입점을 찾기가 더 어려워집니다.
  • 오프라인으로 검증된 백업을 유지하여 데이터 복구가 공격자와의 협상이나 인프라 차단 대기에 의존하지 않게 하십시오.
  • 엔드포인트를 적극적으로 패치하고 모니터링하십시오. 랜섬웨어는 일반적으로 블록체인 기반 백엔드가 개입하기 전에 피싱, 노출된 서비스 또는 패치되지 않은 소프트웨어를 통한 초기 거점을 여전히 필요로 하기 때문입니다.

이러한 조치 중 어느 것도 특별한 도구를 요구하지 않지만, 일관성과 끝까지 실행하는 것이 필요하며, 바로 그 지점에서 조직들이 흔히 부족해집니다.

결론

DeadLock이 차단에 저항하기 위해 블록체인 인프라를 사용하는 것은 랜섬웨어 운영자들이 이에 맞서 전통적으로 사용되던 도구보다 더 빠르게 적응하고 있음을 보여줍니다. DeadLock 랜섬웨어 블록체인 인프라 접근 방식은 실제로 공격을 막는 요소들, 즉 강력한 네트워크 분할, 제한된 원격 접근, 신뢰할 수 있는 백업을 바꾸지 않습니다. 이러한 기본 사항을 일회성 프로젝트가 아닌 지속적인 우선순위로 취급하는 조직은 특정 그룹의 인프라가 얼마나 복원력 있게 되든 훨씬 더 나은 위치에 서게 될 것입니다.