Jak DeadLock wyłącza Windows Defendera i usuwa kopie zapasowe

DeadLock to motywowana finansowo operacja ransomware, która zwróciła uwagę połączeniem znanych technik intruzji z infrastrukturą zbudowaną specjalnie w celu oparcia się próbom likwidacji. Według badaczy bezpieczeństwa śledzących tę grupę, operatorzy DeadLock nie ograniczają się do prostego zrzucenia złośliwego oprogramowania i liczenia, że prześlizgnie się ono obok narzędzi bezpieczeństwa. Zamiast tego metodycznie neutralizują zabezpieczenia ofiary, zanim jeszcze rozpocznie się szyfrowanie.

Proces ten zazwyczaj zaczyna się od wyłączenia Windows Defendera, pozbawiając organizacje wbudowanej ochrony, na której wiele z nich polega jako na głównej linii obrony. Następnie DeadLock celuje w systemy kopii zapasowych – jest to szczególnie destrukcyjny krok, ponieważ kopie zapasowe często stanowią najszybszy sposób na odzyskanie danych przez ofiarę bez płacenia okupu. Na koniec grupa czyści dzienniki zdarzeń systemu Windows, usuwając większość śladów kryminalistycznych, które osoby reagujące na incydenty normalnie wykorzystałyby do odtworzenia przebiegu ataku i zrozumienia, jak do niego doszło.

To połączenie jest celowe. Zanim pliki zostaną faktycznie zaszyfrowane, zaatakowana organizacja traci już swoją sieć bezpieczeństwa i znaczną część zdolności do zbadania włamania. To nie jest złośliwe oprogramowanie typu „włam i zgarnij”; to ustrukturyzowana operacja zaprojektowana, by zmaksymalizować presję na ofiarę.

Dlaczego samo zabezpieczenie punktów końcowych zawodzi wobec współczesnego ransomware

Schemat działania DeadLock dobitnie przypomina, że antywirus na punktach końcowych – nawet jeśli jest to tak wydajny produkt jak Windows Defender – nie jest rozwiązaniem samodzielnym. Jeśli operator ransomware zdobędzie wystarczające uprawnienia w sieci, by wyłączyć oprogramowanie zabezpieczające, usunąć kopie zapasowe i wyczyścić dzienniki, oznacza to, że zaszedł już znacznie dalej niż punkt, w którym pojedyncze narzędzie mogło go powstrzymać.

Współczesne grupy ransomware coraz częściej planują właśnie taki scenariusz. Zakładają, że obrońcy mają uruchomiony antywirus, i wbudowują w swoje działania kroki służące właśnie do jego wyłączenia lub ominięcia. Przesuwa to prawdziwe pole bitwy z pytania „czy antywirus wykryje plik” na „jak szybko można wykryć i zatrzymać podejrzane przemieszczanie się lateralne, eskalację uprawnień lub nietypową aktywność administracyjną, zanim rozpocznie się szyfrowanie”.

Dlatego zespoły bezpieczeństwa coraz częściej mówią o wykrywaniu i reagowaniu, a nie wyłącznie o zapobieganiu. Pojedyncze skompromitowane poświadczenie lub źle skonfigurowany system mogą wystarczyć atakującemu, by dotrzeć do punktu, w którym wyłącza zabezpieczenia, zamiast je omijać. Narzędzia ochrony punktów końcowych pozostają wartościowe, ale najlepiej sprawdzają się jako jedna z wielu warstw, a nie ostatnia linia obrony.

Zabezpieczenia warstwowe: segmentacja sieci, VPN i kopie zapasowe offline

Ponieważ taktyka DeadLock opiera się na pozbawianiu ofiar opcji odzyskiwania, najskuteczniejsze środki zaradcze koncentrują się na ograniczaniu zasięgu ruchu atakującego i zapewnieniu istnienia ścieżek odzyskiwania, do których napastnik nie może dotrzeć.

Segmentacja sieci to jeden z najbardziej praktycznych kroków, jakie mogą podjąć organizacje. Dzieląc sieci na mniejsze, izolowane strefy, skompromitowana stacja robocza lub serwer nie daje automatycznie atakującemu ścieżki do serwerów kopii zapasowych, kontrolerów domeny ani innych systemów o wysokiej wartości. Ta izolacja może stanowić różnicę między ograniczonym incydentem a zatrzymaniem całej organizacji.

Równie ważny jest bezpieczny dostęp zdalny. Sieci VPN i inne szyfrowane narzędzia dostępu pomagają zapewnić, że połączenia z sieciami korporacyjnymi – szczególnie dla pracowników zdalnych i zewnętrznych dostawców – są uwierzytelniane i monitorowane, a nie pozostawione jako otwarte drzwi. W połączeniu z silną kontrolą dostępu zmniejsza to liczbę punktów wejścia, które atakujący, taki jak operatorzy DeadLock, mogą wykorzystać do zdobycia początkowego przyczółka potrzebnego przed eskalacją uprawnień.

Szczególnej uwagi wymagają kopie zapasowe offline lub niezmienialne, biorąc pod uwagę wyraźne skupienie DeadLock na niszczeniu danych odzyskiwania. Kopie zapasowe odłączone od sieci lub przechowywane w sposób uniemożliwiający modyfikację nawet przez konto administratora nie mogą zostać usunięte ani zaszyfrowane razem z systemami produkcyjnymi. Regularne testowanie, czy te kopie zapasowe rzeczywiście przywracają się poprawnie, jest równie ważne jak samo ich utrzymywanie.

Co taktyka DeadLock mówi o zdecentralizowanej infrastrukturze ransomware

Poza krokami technicznymi podejmowanymi wobec poszczególnych ofiar, wybory infrastrukturalne DeadLock wskazują na szerszy trend wśród operatorów ransomware: budowanie systemów zaprojektowanych tak, by przetrwały presję ze strony organów ścigania i próby likwidacji. Zdecentralizowana infrastruktura utrudnia obrońcom i władzom zakłócenie całej operacji poprzez wycelowanie w pojedynczy serwer lub domenę, co oznacza, że grupa może kontynuować działalność nawet po ujawnieniu lub przejęciu części jej sieci.

Ta odporność przypomina to, co wydarzyło się po jednym z potwierdzonych włamań DeadLock. Naruszenie ransomware DeadLock, które ujawniło dziesięciolecie danych Diater pokazało, jak ogromne szkody może spowodować pojedyncze udane włamanie, gdy kopie zapasowe i zdolności wykrywania zostaną już usunięte, i jak długotrwałe mogą być konsekwencje dla organizacji i osób, których dane zostały naruszone.

Co to oznacza dla Ciebie

Dla większości czytelników celami DeadLock są organizacje, a nie osoby prywatne, ale podstawowa lekcja ma szersze zastosowanie. Jeśli zarządzasz IT w firmie lub jesteś odpowiedzialny za ochronę jakichkolwiek wrażliwych danych, zakładaj, że zdeterminowany atakujący, który zdobędzie przyczółek, spróbuje wyłączyć twoje narzędzia bezpieczeństwa i zniszczyć kopie zapasowe, a nie tylko zaszyfrować pliki. Planuj swoją obronę w oparciu o to założenie, a nie o nadzieję, że sam antywirus złapie początkową próbę.

Dla pracowników i osób pracujących zdalnie podkreśla to również wartość korzystania z zabezpieczonych, monitorowanych połączeń zamiast doraźnego dostępu zdalnego podczas łączenia się z systemami służbowymi, ponieważ słabe punkty wejścia są właśnie tym, na czym operacje takie jak DeadLock polegają na początku.

Praktyczne wnioski

  • Nie polegaj wyłącznie na antywirusie punktów końcowych jako jedynej obronie; połącz go z monitorowaniem nietypowej eskalacji uprawnień i przemieszczania lateralnego.
  • Segmentuj sieci tak, aby pojedyncze skompromitowane urządzenie nie mogło dotrzeć do systemów kopii zapasowych ani infrastruktury krytycznej.
  • Utrzymuj kopie zapasowe offline lub niezmienialne i regularnie testuj odtwarzanie.
  • Używaj VPN-ów i silnego uwierzytelniania do dostępu zdalnego, aby zmniejszyć liczbę odsłoniętych punktów wejścia.
  • Analizuj rzeczywiste incydenty, takie jak naruszenie Diater powiązane z DeadLock, aby zrozumieć praktyczne stawki wynikające z pomijania zabezpieczeń warstwowych.

Ochrona przed ransomware DeadLock nie polega na znalezieniu jednego idealnego narzędzia. Chodzi o zbudowanie nakładających się na siebie zabezpieczeń, tak aby nawet jeśli jedna warstwa zawiedzie, atakujący wciąż napotykał przeszkody, zanim osiągnie punkt, z którego nie ma odwrotu.