Hvordan DeadLock deaktiverer Windows Defender og sletter sikkerhetskopier

DeadLock er en økonomisk motivert ransomware-operasjon som har vakt oppsikt ved å kombinere kjente inntrengningsteknikker med infrastruktur bygget spesielt for å motstå nedstengningsforsøk. Ifølge sikkerhetsforskere som følger gruppen, slipper DeadLocks operatører ikke bare skadevare og håper den slipper forbi sikkerhetsverktøyene. I stedet nøytraliserer de metodisk offerets forsvar før krypteringen i det hele tatt begynner.

Denne prosessen starter vanligvis med å deaktivere Windows Defender og fjerne den innebygde beskyttelsen som mange organisasjoner stoler på som sin primære forsvarslinje. Derfra retter DeadLock seg mot sikkerhetskopisystemer, et spesielt ødeleggende steg fordi sikkerhetskopier ofte er den raskeste måten for et offer å gjenopprette uten å betale løsepenger. Til slutt sletter gruppen Windows-hendelseslogger, og fjerner mye av det digitale sporet som hendelsesrespondere normalt ville bruke til å rekonstruere angrepet og forstå hvordan det skjedde.

Kombinasjonen er bevisst. Innen filene faktisk krypteres, har offerorganisasjonen allerede mistet sikkerhetsnettet og mye av muligheten til å etterforske inntrengningen. Dette er ikke smash-and-grab-skadevare; det er en strukturert operasjon designet for å maksimere presset på offeret.

Hvorfor endepunktsikkerhet alene svikter mot moderne ransomware

DeadLocks spillebok er en tydelig påminnelse om at endepunktantivirus, selv når det er et kapabelt produkt som Windows Defender, ikke er en frittstående løsning. Hvis en ransomware-operatør oppnår nok rettigheter i et nettverk til å deaktivere sikkerhetsprogramvare, slette sikkerhetskopier og tømme logger, betyr det at de allerede har beveget seg langt forbi punktet der et enkelt verktøy kunne ha stoppet dem.

Moderne ransomware-grupper planlegger i økende grad for dette nøyaktige scenarioet. De antar at forsvarerne har antivirus kjørende, og de bygger inn steg spesielt for å slå det av eller omgå det. Dermed forskyves den virkelige slagmarken fra "vil antiviruset fange opp filen" til "hvor raskt kan mistenkelig lateral bevegelse, rettighetseskalering eller uvanlig administrativ aktivitet oppdages og stoppes før krypteringen starter."

Dette er grunnen til at sikkerhetsteam i økende grad snakker om deteksjon og respons snarere enn bare forebygging. En enkelt kompromittert påloggingsinformasjon eller feilkonfigurert system kan være nok til at en angriper når punktet der de deaktiverer beskyttelse i stedet for å unnvike den. Endepunktverktøy er fortsatt verdifulle, men de fungerer best som ett lag blant flere, ikke den siste forsvarslinjen.

Lagdelt forsvar: Nettverkssegmentering, VPN og frakoblede sikkerhetskopier

Fordi DeadLocks taktikker er bygget rundt å fjerne offerets gjenopprettingsmuligheter, fokuserer de mest effektive mottiltakene på å begrense hvor langt en angriper kan bevege seg og sikre at det finnes gjenopprettingsveier som angriperen ikke kan nå.

Nettverkssegmentering er et av de mest praktiske grepene organisasjoner kan ta. Ved å dele nettverk inn i mindre, isolerte soner, gir en kompromittert arbeidsstasjon eller server ikke automatisk en angriper en vei til sikkerhetskopiservere, domenekontrollere eller andre høyverdige systemer. Denne innesperringen kan være forskjellen mellom en begrenset hendelse og en organisasjonsomfattende nedstengning.

Sikker fjerntilgang er like viktig. VPN og andre krypterte tilgangsverktøy bidrar til å sikre at tilkoblinger til bedriftsnettverk, spesielt for fjernarbeidere og tredjepartsleverandører, autentiseres og overvåkes i stedet for å stå som en åpen dør. Kombinert med sterke tilgangskontroller reduserer dette antallet inngangspunkter en angriper som DeadLocks operatører kan utnytte for å få det første fotfestet de trenger før de eskalerer rettigheter.

Frakoblede eller uforanderlige sikkerhetskopier fortjener spesiell oppmerksomhet gitt DeadLocks spesifikke fokus på å ødelegge gjenopprettingsdata. Sikkerhetskopier som er koblet fra nettverket, eller lagret på en måte som hindrer endring selv av en administratorkonto, kan ikke slettes eller krypteres sammen med produksjonssystemene. Å regelmessig teste at disse sikkerhetskopiene faktisk gjenopprettes riktig er like viktig som å vedlikeholde dem i utgangspunktet.

Hva DeadLocks taktikker avslører om desentralisert ransomware-infrastruktur

Utover de tekniske stegene som tas mot individuelle ofre, peker DeadLocks infrastrukturvalg mot en bredere trend blant ransomware-operatører: å bygge systemer designet for å overleve politiets press og nedstengningsforsøk. Desentralisert infrastruktur gjør det vanskeligere for forsvarere og myndigheter å forstyrre en hel operasjon ved å angripe en enkelt server eller et domene, noe som betyr at gruppen kan fortsette å operere selv etter at deler av nettverket er avslørt eller beslaglagt.

Denne motstandsdyktigheten speiler det som skjedde i kjølvannet av en av DeadLocks bekreftede inntrengninger. DeadLock ransomware-bruddet som avslørte et tiår med Diaters registre viste hvor mye skade en enkelt vellykket inntrengning kan forårsake når sikkerhetskopier og deteksjonsmuligheter er fjernet, og hvor langvarige konsekvensene kan være for organisasjonene og enkeltpersonene hvis data var involvert.

Hva dette betyr for deg

For de fleste lesere er DeadLocks mål organisasjoner snarere enn enkeltpersoner, men den underliggende lærdommen gjelder bredt. Hvis du administrerer IT for en bedrift, eller du er ansvarlig for å beskytte sensitive data av noe slag, anta at en målbevisst angriper som får fotfeste vil prøve å deaktivere sikkerhetsverktøyene dine og ødelegge sikkerhetskopiene dine, ikke bare kryptere filene dine. Planlegg forsvaret ditt ut fra den antakelsen i stedet for håpet om at antivirus alene vil fange det første forsøket.

For ansatte og fjernarbeidere forsterker dette også verdien av å bruke sikrede, overvåkede tilkoblinger snarere enn ad hoc-fjerntilgang når man kobler til arbeidssystemer, ettersom svake inngangspunkter er nøyaktig det operasjoner som DeadLock er avhengige av for å komme i gang.

Praktiske tiltak

  • Ikke stol på endepunktantivirus som ditt eneste forsvar; kombiner det med overvåking for uvanlig rettighetseskalering og lateral bevegelse.
  • Segmenter nettverk slik at en enkelt kompromittert enhet ikke kan nå sikkerhetskopisystemer eller kritisk infrastruktur.
  • Vedlikehold frakoblede eller uforanderlige sikkerhetskopier og test gjenoppretting regelmessig.
  • Bruk VPN og sterk autentisering for fjerntilgang for å redusere eksponerte inngangspunkter.
  • Gjennomgå virkelige hendelser som Diater-bruddet knyttet til DeadLock for å forstå de praktiske konsekvensene av å hoppe over lagdelt forsvar.

DeadLock ransomware-beskyttelse handler ikke om å finne ett perfekt verktøy. Det handler om å bygge overlappende forsvar slik at selv om ett lag svikter, møter angriperen fortsatt hindringer før de når punktet der det ikke er noen vei tilbake.