Operacja ransomware znana jako DeadLock znalazła nowy sposób na utrzymanie swojej infrastruktury ataku przy życiu: ukrywanie fragmentów konfiguracji dowodzenia i kontroli (C2) na blockchainie Polygon. Grupa, która ma już na koncie ponad 80 ofiar na całym świecie w kampanii podwójnego wymuszenia, wykorzystuje te same zasady decentralizacji, które napędzają kryptowaluty, aby utrudnić obrońcom i organom ścigania zamykanie jej operacji.

Jak DeadLock ukrywa swoją infrastrukturę dowodzenia na Polygon

Tradycyjne oprogramowanie ransomware opiera się na serwerach, które badacze bezpieczeństwa i organy ścigania mogą zidentyfikować, przejąć lub umieścić w sinkhole po wykryciu. Operatorzy DeadLock wydają się omijać tę podatność, przechowując dane konfiguracyjne C2 bezpośrednio na blockchainie Polygon – publicznej sieci używanej zwykle do transakcji kryptowalutowych i aplikacji zdecentralizowanych.

Zapisując szczegóły konfiguracji w transakcjach blockchain lub smart kontraktach, złośliwe oprogramowanie może pobierać instrukcje ze źródła, które nie jest hostowane na żadnym pojedynczym serwerze. Nie ma domeny do przejęcia ani dostawcy hostingu, do którego można wywrzeć presję, by wyłączył serwer. Dopóki działa sama sieć Polygon, dane, na których polega DeadLock, pozostają dostępne. Odzwierciedla to szerszy trend, który zespoły ds. bezpieczeństwa zauważyły w innych rodzinach malware eksperymentujących z infrastrukturą łańcuchową, ale jego pojawienie się w aktywnej kampanii ransomware podkreśla, jak szybko te techniki wychodzą poza badania typu proof-of-concept.

To podejście opiera się na taktykach, które DeadLock już wcześniej chętnie stosował w agresywny sposób. Jak szczegółowo opisano we wcześniejszym artykule o tym, jak ransomware DeadLock wyłącza Defendera, kopie zapasowe i dzienniki zdarzeń, grupa łączy znane metody włamań z celowym eliminowaniem wszystkiego, co mogłoby pomóc ofierze w odzyskaniu dostępu lub śledczym w analizie ataku.

Dlaczego C2 oparte na blockchainie jest trudniejsze do likwidacji niż tradycyjne serwery

Likwidacja infrastruktury ransomware zazwyczaj opiera się na identyfikacji i zakłócaniu scentralizowanych punktów awarii: serwera dowodzenia, rejestratora domeny, firmy hostingowej chętnej do współpracy. Publiczne blockchainy nie oferują takiego pojedynczego celu. Polygon, podobnie jak inne sieci blockchain, jest rozproszony na tysiącach niezależnych węzłów bez centralnego operatora, który mógłby po prostu usunąć transakcję lub zablokować adres.

Ta odporność jest właśnie powodem, dla którego zdecentralizowane rejestry są atrakcyjne dla atakujących, którzy chcą przetrwać działania organów ścigania. Nawet jeśli badacze bezpieczeństwa zidentyfikują konkretny kontrakt lub adres portfela używany przez DeadLock, usunięcie tych danych z blockchaina po ich zapisaniu jest nierealne. Śledczy mogą monitorować aktywność i potencjalnie śledzić powiązane portfele, ale nie mogą pociągnąć za te same dźwignie, co przeciwko wynajętemu serwerowi w centrum danych. To zmienia równowagę walki: obrońcy muszą bardziej skupić się na wykrywaniu zachowania malware na zainfekowanych systemach, zamiast liczyć na zakłócanie łańcucha dostaw jego infrastruktury.

Kto jest celem i co oznacza podwójne wymuszenie dla ofiar

Liczba ofiar DeadLock, obecnie przekraczająca 80 organizacji na całym świecie, odzwierciedla model podwójnego wymuszenia, który stał się standardem wśród motywowanych finansowo grup ransomware. Złośliwe oprogramowanie szyfruje pliki ofiary, odcinając dostęp do kluczowych systemów, podczas gdy operatorzy jednocześnie grożą publicznym ujawnieniem skradzionych danych, jeśli okup nie zostanie zapłacony. Daje to ofiarom dwa odrębne powody do zapłaty: przywrócenie działania operacyjnego i zapobieżenie szkodliwemu wyciekowi danych.

Konsekwencje tego drugiego zagrożenia stały się namacalne w sprawie opisanej wcześniej na tej stronie, gdzie naruszenie przez ransomware DeadLock ujawniło dekadę dokumentacji w Diater, firmie biofarmaceutycznej, której wrażliwe dane zdrowotne zostały zagrożone. Ten incydent pokazuje, że kampanie podwójnego wymuszenia nie kończą się na decyzji o okupie; wyciekłe dane mogą krążyć długo po zażegnaniu ataku, dotykając pacjentów, klientów lub partnerów, którzy nie brali bezpośredniego udziału w naruszeniu.

Co to oznacza dla Ciebie

Większość czytelników nie będzie bezpośrednim celem grupy ransomware takiej jak DeadLock, ale efekty uboczne tych ataków dotykają zwykłych ludzi, których dane osobowe znajdują się w systemach zaatakowanych organizacji. Oparta na blockchainie konfiguracja C2 nie zmienia tego, co dzieje się po stronie ofiary podczas naruszenia: Twoje informacje wciąż mogą trafić do wycieku, niezależnie od tego, jak zaawansowana jest infrastruktura zaplecza atakującego.

Dla organizacji wniosek jest bardziej bezpośredni. Grupy ransomware zapożyczają techniki odporności ze świata kryptowalut właśnie dlatego, że likwidacje stały się realnym środkiem odstraszającym. Oznacza to, że walkę trzeba coraz częściej toczyć wcześniej – na etapie włamania i szyfrowania – zamiast polegać na zakłócaniu infrastruktury po fakcie.

Praktyczne zabezpieczenia przed ransomware takim jak DeadLock

Kilka podstawowych zasad wciąż ma większe znaczenie niż pojedynczy produkt zabezpieczający. Utrzymuj offline'owe, niezmienne kopie zapasowe, do których ransomware nie ma dostępu i których nie może usunąć razem z głównymi systemami. Segmentuj sieci, tak aby pojedynczy zhakowany punkt końcowy nie doprowadził do pełnego zaszyfrowania dysków współdzielonych i serwerów. Aktualizuj narzędzia do wykrywania na punktach końcowych i monitoruj zachowania związane z wyłączaniem oprogramowania zabezpieczającego lub czyszczeniem dzienników zdarzeń – wzorzec, który DeadLock stosował przed uzyskaniem pełnej kontroli nad siecią.

Pojawienie się odpornego na likwidację C2 opartego na blockchainie w ransomware przypomina, że atakujący dostosowują się szybciej, niż może za nimi nadążyć pojedyncze narzędzie obronne. Wielowarstwowe zabezpieczenia, przetestowane kopie zapasowe i szybkie wykrywanie pozostają najbardziej niezawodnym sposobem ograniczania szkód, gdy sama prewencja nie wystarcza. Śledzenie informacji o tym, jak działają grupy takie jak DeadLock, i podjęcie podstawowych kroków ochronnych już teraz, to wciąż najbardziej praktyczny sposób na zmniejszenie narażenia na kolejne głośne naruszenia.