Ransomware DeadLock wykorzystuje blockchain, aby unikać likwidacji

Jak DeadLock wykorzystuje blockchain do opierania się likwidacji

Grupy ransomware od dawna opierają się na serwerach, domenach i dostawcach hostingu, które badacze bezpieczeństwa i organy ścigania mogą w końcu przejąć lub umieścić na czarnej liście. Grupa ransomware DeadLock próbuje wyeliminować ten słaby punkt z równania. Według najnowszych doniesień DeadLock przechowuje teraz krytyczne informacje o infrastrukturze, takie jak adresy proxy lub komunikacyjne, w publicznym blockchainie, a nie na serwerach, które można wyłączyć konwencjonalnymi metodami.

Kotwicząc te dane w zdecentralizowanym rejestrze, DeadLock znacznie utrudnia obrońcom zakłócanie operacji za pomocą jednego skoordynowanego działania. Tradycyjne akcje likwidacyjne opierają się na zidentyfikowaniu centralnego punktu awarii: dostawcy hostingu, rejestratora domen lub adresu IP, który można przejąć. Gdy te informacje znajdują się zamiast tego w blockchainie, nie ma jednej firmy ani podmiotu, któremu można doręczyć nakaz prawny, ani jednego serwera do zajęcia. Dane utrzymują się w rozproszonej sieci węzłów, których nikt indywidualnie nie kontroluje — to dokładnie ta właściwość odporności, jaką miała zapewniać technologia blockchain, teraz wykorzystana na potrzeby infrastruktury przestępczej.

To nie jedyny ruch tej grupy w kierunku decentralizacji i unikania wykrycia. Zaobserwowano również, że DeadLock dodał komunikator Session do swojego zestawu narzędzi, aby utrzymać komunikację z ofiarami nawet po zakłóceniu innych kanałów. Razem te wybory wskazują na celową strategię: budowanie nadmiarowości w każdej warstwie operacji, aby żadne pojedyncze działanie zakłócające nie mogło całkowicie jej wyłączyć.

Dlaczego tradycyjne taktyki zakłócania ransomware tracą grunt

Przez lata standardowy schemat walki z infrastrukturą ransomware obejmował współpracę badaczy bezpieczeństwa, dostawców hostingu i organów ścigania w celu identyfikowania i likwidowania serwerów dowodzenia i kontroli, portali negocjacyjnych oraz witryn do publikacji skradzionych danych. To podejście sprawdzało się całkiem dobrze w przypadku grup opierających się na scentralizowanym hostingu internetowym, ponieważ usługi te ostatecznie podlegają jurysdykcji prawnej i regulaminom dostawców.

Infrastruktura oparta na blockchainie omija większość tych mechanizmów nacisku. Nie ma firmy hostingowej, na którą można wywierać presję, ani centralnego rejestratora, którego można powiadomić. Nawet jeśli obrońcy zidentyfikują adresy blockchain wykorzystywane przez DeadLock, sieć bazowa nadal działa niezależnie od tego. To przenosi ciężar z powrotem na obrońców, aby skupili się na innych punktach newralgicznych, takich jak metody dystrybucji złośliwego oprogramowania, przepływy płatności lub punkty końcowe, w których faktycznie dochodzi do szyfrowania, zamiast oczekiwać, że jednorazowe, czyste wyłączenie infrastruktury rozwiąże problem.

Sygnalizuje to również szerszy trend, który warto obserwować. W miarę jak technologie zdecentralizowane stają się łatwiejsze w użyciu i szerzej dostępne, inni operatorzy ransomware prawdopodobnie zaczną eksperymentować z podobnymi technikami odporności, co oznacza, że obrońcy nie powinni zakładać, że jest to jednorazowa taktyka ograniczona do jednej grupy.

Co to oznacza dla organizacji i osób zagrożonych

Dla większości organizacji praktyczne znaczenie infrastruktury blockchain DeadLock jest mniej związane z samą technologią, a bardziej z tym, co ona reprezentuje: grupy ransomware coraz trudniej zakłócić z zewnątrz, co oznacza, że zapobieganie i powstrzymywanie zagrożeń we własnej sieci mają większe znaczenie niż kiedykolwiek. Oczekiwanie, że organy ścigania lub badacze rozmontują infrastrukturę grupy, nie jest już niezawodną siatką bezpieczeństwa, o ile kiedykolwiek naprawdę nią było.

Jest to szczególnie istotne dla małych i średnich firm, które mogą zakładać, że działania zakłócające ransomware w końcu zneutralizują zagrożenia za nie. Podejście DeadLock przypomina, że odpowiedzialność za odporność spoczywa przede wszystkim na atakowanych organizacjach, a nie na ekosystemie likwidującym infrastrukturę, który próbuje nadrobić zaległości po fakcie.

Kroki obronne: izolacja sieci, sieci VPN i ograniczanie powierzchni ataku

Dobra wiadomość jest taka, że podstawy obrony przed ransomware nie zmieniły się tylko dlatego, że infrastrukturę zaplecza grupy trudniej wyłączyć. Kilka praktycznych kroków pozostaje wysoce skutecznych:

• Segmentuj sieć, aby pojedyncze przejęte urządzenie lub konto nie mogło dotrzeć do każdego systemu. Izolacja sieci ogranicza, jak daleko ransomware może się rozprzestrzenić nawet po uzyskaniu początkowego dostępu.
• Używaj sieci VPN do zdalnego dostępu, zamiast wystawiać protokół pulpitu zdalnego lub inne porty zarządzania bezpośrednio do internetu. Ograniczenie publicznej powierzchni ataku utrudnia atakującym znalezienie punktu wejścia.
• Utrzymuj offline’owe, przetestowane kopie zapasowe, aby odzyskiwanie danych nie zależało od negocjacji z atakującymi ani od czekania na wyłączenie infrastruktury.
• Regularnie łataj i monitoruj punkty końcowe, ponieważ ransomware nadal zwykle wymaga początkowego przyczółka za pośrednictwem phishingu, odsłoniętych usług lub niezałatanego oprogramowania, zanim jakiekolwiek zaplecze oparte na blockchainie wejdzie w grę.

Podsumowanie

Wykorzystanie infrastruktury blockchain przez DeadLock do opierania się likwidacji pokazuje, jak operatorzy ransomware dostosowują się szybciej niż narzędzia tradycyjnie używane do walki z nimi. Podejście DeadLock oparte na infrastrukturze blockchain nie zmienia tego, co faktycznie powstrzymuje atak: silnej segmentacji sieci, ograniczonego dostępu zdalnego i niezawodnych kopii zapasowych. Organizacje, które traktują te podstawy jako stałe priorytety, a nie jednorazowe projekty, będą znacznie lepiej przygotowane niezależnie od tego, jak odporna stanie się infrastruktura pojedynczej grupy.