Como o DeadLock desativa o Windows Defender e apaga os backups

O DeadLock é uma operação de ransomware com motivação financeira que chamou a atenção por combinar técnicas de intrusão conhecidas com uma infraestrutura construída especificamente para resistir a tentativas de derrubada. De acordo com pesquisadores de segurança que monitoram o grupo, os operadores do DeadLock não simplesmente lançam malware e esperam que ele passe despercebido pelas ferramentas de segurança. Em vez disso, eles neutralizam metodicamente as defesas da vítima antes mesmo de iniciar a criptografia.

Esse processo normalmente começa com a desativação do Windows Defender, removendo a proteção integrada na qual muitas organizações confiam como sua principal linha de defesa. A partir daí, o DeadLock ataca os sistemas de backup, uma etapa especialmente danosa porque os backups costumam ser a maneira mais rápida de uma vítima se recuperar sem pagar o resgate. Por fim, o grupo limpa os logs de eventos do Windows, apagando grande parte do rastro forense que os respondedores de incidentes normalmente usariam para reconstruir o ataque e entender como ele aconteceu.

A combinação é deliberada. Quando os arquivos são de fato criptografados, a organização vítima já perdeu sua rede de segurança e grande parte de sua capacidade de investigar a intrusão. Isso não é um malware de ação rápida; é uma operação estruturada projetada para maximizar a vantagem sobre a vítima.

Por que a segurança de endpoint sozinha falha contra o ransomware moderno

O manual do DeadLock é um lembrete contundente de que o antivírus de endpoint, mesmo quando é um produto capaz como o Windows Defender, não é uma solução autônoma. Se um operador de ransomware obtiver privilégios suficientes em uma rede para desativar o software de segurança, excluir backups e limpar logs, significa que ele já ultrapassou o ponto em que uma única ferramenta poderia tê-lo detido.

Os grupos de ransomware modernos planejam cada vez mais para esse cenário exato. Eles presumem que os defensores têm antivírus em execução e incorporam etapas específicas para desativá-lo ou contorná-lo. Isso muda o verdadeiro campo de batalha de “o antivírus vai detectar o arquivo” para “com que rapidez o movimento lateral suspeito, a escalada de privilégios ou a atividade administrativa incomum podem ser detectados e interrompidos antes que a criptografia comece”.

É por isso que as equipes de segurança falam cada vez mais sobre detecção e resposta, em vez de apenas prevenção. Uma única credencial comprometida ou um sistema mal configurado pode ser suficiente para que um invasor chegue ao ponto de desativar as proteções, em vez de evitá-las. As ferramentas de endpoint continuam valiosas, mas funcionam melhor como uma camada entre várias, não como a última linha de defesa.

Defesas em camadas: segmentação de rede, VPNs e backups offline

Como as táticas do DeadLock são construídas em torno da remoção das opções de recuperação da vítima, as contramedidas mais eficazes se concentram em limitar até onde um invasor pode se mover e garantir que existam caminhos de recuperação que o invasor não possa alcançar.

A segmentação de rede é uma das etapas mais práticas que as organizações podem tomar. Ao dividir as redes em zonas menores e isoladas, uma estação de trabalho ou servidor comprometido não dá automaticamente ao invasor um caminho para servidores de backup, controladores de domínio ou outros sistemas de alto valor. Essa contenção pode ser a diferença entre um incidente contido e uma paralisação em toda a organização.

O acesso remoto seguro é igualmente importante. VPNs e outras ferramentas de acesso criptografado ajudam a garantir que as conexões com as redes corporativas, especialmente para funcionários remotos e fornecedores terceirizados, sejam autenticadas e monitoradas, em vez de deixadas como uma porta aberta. Combinado com controles de acesso rígidos, isso reduz o número de pontos de entrada que um invasor como os operadores do DeadLock pode explorar para obter o ponto de apoio inicial necessário antes de escalar privilégios.

Backups offline ou imutáveis merecem atenção especial, dado o foco específico do DeadLock em destruir dados de recuperação. Backups que estão desconectados da rede, ou armazenados de forma a impedir a modificação mesmo por uma conta de administrador, não podem ser excluídos ou criptografados junto com os sistemas de produção. Testar regularmente se esses backups realmente restauram corretamente é tão importante quanto mantê-los em primeiro lugar.

O que as táticas do DeadLock revelam sobre a infraestrutura descentralizada de ransomware

Além das etapas técnicas realizadas contra vítimas individuais, as escolhas de infraestrutura do DeadLock apontam para uma tendência mais ampla entre os operadores de ransomware: construir sistemas projetados para resistir à pressão das autoridades e a tentativas de derrubada. A infraestrutura descentralizada dificulta que defensores e autoridades interrompam uma operação inteira visando um único servidor ou domínio, o que significa que o grupo pode continuar operando mesmo depois que partes de sua rede forem expostas ou apreendidas.

Essa resiliência reflete o que aconteceu após uma das intrusões confirmadas do DeadLock. A violação do ransomware DeadLock que expôs uma década de registros da Diater mostrou quanto dano uma única intrusão bem-sucedida pode causar depois que os backups e as capacidades de detecção foram removidos, e quão duradouras podem ser as consequências para as organizações e indivíduos cujos dados foram envolvidos.

O que isso significa para você

Para a maioria dos leitores, os alvos do DeadLock são organizações, e não indivíduos, mas a lição subjacente se aplica de forma ampla. Se você gerencia TI para uma empresa, ou é responsável por proteger dados confidenciais de qualquer tipo, presuma que um invasor determinado que consiga um ponto de apoio tentará desativar suas ferramentas de segurança e destruir seus backups, não apenas criptografar seus arquivos. Planeje suas defesas com base nessa suposição, em vez de na esperança de que o antivírus sozinho vá capturar a tentativa inicial.

Para funcionários e trabalhadores remotos, isso também reforça o valor de usar conexões seguras e monitoradas, em vez de acesso remoto improvisado, ao se conectar a sistemas de trabalho, já que pontos de entrada fracos são exatamente o que operações como o DeadLock dependem para começar.

Pontos práticos a serem adotados

  • Não confie apenas no antivírus de endpoint como sua única defesa; combine-o com monitoramento de escalada de privilégios e movimentação lateral incomuns.
  • Segmente as redes para que um único dispositivo comprometido não consiga acessar sistemas de backup ou infraestrutura crítica.
  • Mantenha backups offline ou imutáveis e teste a restauração regularmente.
  • Use VPNs e autenticação forte para acesso remoto para reduzir pontos de entrada expostos.
  • Analise incidentes reais como a violação da Diater ligada ao DeadLock para entender as consequências práticas de ignorar defesas em camadas.

A proteção contra o ransomware DeadLock não se trata de encontrar uma ferramenta perfeita. Trata-se de construir defesas sobrepostas para que, mesmo que uma camada falhe, o invasor ainda encontre obstáculos antes de chegar ao ponto sem retorno.