Hvordan DeadLock bruker blokkjede for å motstå nedstengninger

Ransomware-grupper har lenge vært avhengige av servere, domener og hostingleverandører som sikkerhetsforskere og myndigheter til slutt kan beslaglegge eller svarteliste. DeadLock-ransomware-gruppen prøver å fjerne det svake punktet fra ligningen. Ifølge ferske rapporter lagrer DeadLock nå kritisk infrastrukturinformasjon, for eksempel proxy- eller kommunikasjonsadresser, på en offentlig blokkjede i stedet for på servere som kan tas offline gjennom konvensjonelle midler.

Ved å forankre disse dataene i en desentralisert hovedbok gjør DeadLock det langt vanskeligere for forsvarere å forstyrre operasjoner med én enkelt koordinert aksjon. Tradisjonelle nedstengninger er avhengige av å identifisere et sentralt sviktpunkt: en hostingleverandør, en domeneregistrar eller en IP-adresse som kan dirigeres til et sinkhole. Når denne informasjonen i stedet ligger på en blokkjede, finnes det ingen enkelt selskap eller enhet å forkynne en rettslig ordre for, og ingen enkelt server å beslaglegge. Dataene vedvarer over et distribuert nettverk av noder som ingen enkeltvis kontrollerer, noe som er nøyaktig den resiliens-egenskapen blokkjedeteknologi ble utviklet for å gi – nå omformål for kriminell infrastruktur.

Dette er ikke gruppens eneste skritt mot desentralisering og unnvikelse. DeadLock har også blitt observert å legge meldingsappen Session til verktøykassen sin som en måte å holde offerkommunikasjonen i gang selv etter at andre kanaler blir forstyrret. Til sammen peker disse valgene på en bevisst strategi: bygg redundans inn i hvert lag av operasjonen slik at ingen enkelt forstyrrelsesaksjon kan stanse hele virksomheten.

Hvorfor tradisjonelle metoder for å forstyrre ransomware taper terreng

I årevis har standardoppskriften for å bekjempe ransomware-infrastruktur involvert samarbeid mellom sikkerhetsforskere, hostingleverandører og myndigheter for å identifisere og demontere kommando- og kontrollservere, forhandlingsportaler og lekkasjesider. Denne tilnærmingen har fungert rimelig godt mot grupper som er avhengige av sentralisert netthosting, fordi disse tjenestene til syvende og sist er underlagt juridisk jurisdiksjon og leverandørenes brukervilkår.

Blokkjedebasert infrastruktur unngår mye av denne påvirkningskraften. Det finnes ingen hostingleverandør å presse og ingen sentral registrar å varsle. Selv om forsvarere identifiserer blokkjedeadressene DeadLock bruker, fortsetter det underliggende nettverket å kjøre uansett. Dette flytter byrden tilbake til forsvarerne, som må fokusere på andre flaskehalser, for eksempel skadevarens distribusjonsmetoder, betalingsstrømmer eller endepunktene der krypteringen faktisk skjer, i stedet for å forvente at en ren engangs-nedstengning av infrastruktur skal løse problemet.

Det signaliserer også en bredere trend verdt å følge med på. Etter hvert som desentraliserte teknologier blir enklere å bruke og mer tilgjengelige, vil sannsynligvis også andre ransomware-aktører eksperimentere med lignende resiliens-teknikker. Det betyr at forsvarere ikke bør anta at dette er en engangstaktikk begrenset til én enkelt gruppe.

Hva dette betyr for organisasjoner og enkeltpersoner i risikosonen

For de fleste organisasjoner handler den praktiske betydningen av DeadLocks blokkjedeinfrastruktur mindre om teknologien i seg selv og mer om hva den representerer: ransomware-grupper blir vanskeligere å forstyrre utenfra, noe som betyr at forebygging og innesperring i eget nettverk betyr mer enn noen gang. Å vente på at myndigheter eller forskere skal demontere en gruppes infrastruktur er ikke lenger et pålitelig sikkerhetsnett, hvis det noen gang virkelig var det.

Dette er spesielt relevant for små og mellomstore bedrifter som kanskje antar at innsats for å forstyrre ransomware til slutt vil nøytralisere trusler på deres vegne. DeadLocks tilnærming er en påminnelse om at ansvaret for resiliens først og fremst ligger hos organisasjonene som blir angrepet, ikke hos nedstengningsøkosystemet som prøver å ta igjen i etterkant.

Defensive tiltak: nettverksisolering, VPN og reduksjon av angrepsflaten

Den gode nyheten er at grunnprinsippene for ransomware-forsvar ikke har endret seg bare fordi en gruppes baksideinfrastruktur er vanskeligere å stenge ned. Noen praktiske tiltak er fortsatt svært effektive:

  • Segmenter nettverket slik at én kompromittert enhet eller konto ikke kan nå alle systemer. Nettverksisolering begrenser hvor langt ransomware kan spre seg selv etter at den første tilgangen er oppnådd.
  • Bruk VPN for fjerntilgang i stedet for å eksponere Remote Desktop Protocol eller andre administrasjonsporter direkte mot internett. Å redusere den offentlige angrepsflaten gjør det vanskeligere for angripere å finne et inngangspunkt i utgangspunktet.
  • Oppretthold offline, testede sikkerhetskopier slik at datagjenoppretting ikke avhenger av å forhandle med angripere eller vente på infrastrukturnedstengninger.
  • Oppdater og overvåk endepunkter aggressivt, siden ransomware fortsatt typisk krever et første fotfeste gjennom phishing, eksponerte tjenester eller uoppdatert programvare før en blokkjedebasert backend blir aktuell.

Ingen av disse tiltakene krever eksotiske verktøy, men de krever konsistens og oppfølging, noe som ofte er der organisasjoner kommer til kort.

Konklusjon

DeadLocks bruk av blokkjedeinfrastruktur for å motstå nedstengninger viser hvordan ransomware-aktører tilpasser seg raskere enn verktøyene som tradisjonelt brukes til å bekjempe dem. DeadLock-ransomware-gruppens blokkjedeinfrastruktur-tilnærming endrer ikke hva som faktisk stopper et angrep: sterk nettverkssegmentering, begrenset fjerntilgang og pålitelige sikkerhetskopier. Organisasjoner som behandler disse grunnleggende tiltakene som løpende prioriteringer, i stedet for engangsprosjekter, vil være langt bedre rustet uansett hvor motstandsdyktig en enkelt gruppes infrastruktur blir.