Como o DeadLock usa blockchain para resistir a derrubadas

Grupos de ransomware há muito dependem de servidores, domínios e provedores de hospedagem que pesquisadores de segurança e autoridades podem eventualmente apreender ou incluir em listas de bloqueio. O grupo de ransomware DeadLock está tentando eliminar esse ponto fraco da equação. De acordo com relatos recentes, o DeadLock agora armazena informações críticas de infraestrutura, como endereços de proxy ou de comunicação, em uma blockchain pública, em vez de em servidores que podem ser tirados do ar por meios convencionais.

Ao ancorar esses dados em um registro descentralizado, o DeadLock torna muito mais difícil para os defensores interromperem as operações com uma única ação coordenada. Derrubadas tradicionais dependem da identificação de um ponto central de falha: um provedor de hospedagem, um registrador de domínios ou um endereço IP que possa ser sinkholado. Quando essas informações passam a viver em uma blockchain, não há uma única empresa ou entidade para a qual enviar uma ordem judicial, e não há um único servidor para apreender. Os dados persistem em uma rede distribuída de nós que ninguém controla individualmente, exatamente a propriedade de resiliência que a tecnologia blockchain foi projetada para proporcionar, agora reaproveitada para infraestrutura criminosa.

Essa não é a única investida do grupo em direção à descentralização e à evasão. O DeadLock também foi observado adicionando o aplicativo de mensagens Session ao seu conjunto de ferramentas como forma de manter as comunicações com as vítimas funcionando mesmo depois que outros canais forem interrompidos. Juntas, essas escolhas apontam para uma estratégia deliberada: criar redundância em cada camada da operação para que nenhum esforço isolado de interrupção consiga derrubar tudo.

Por que as táticas tradicionais de interrupção de ransomware estão perdendo terreno

Durante anos, o manual padrão para combater a infraestrutura de ransomware envolveu a cooperação entre pesquisadores de segurança, provedores de hospedagem e autoridades para identificar e desmontar servidores de comando e controle, portais de negociação e sites de vazamento. Essa abordagem funcionou razoavelmente bem contra grupos que dependem de hospedagem web centralizada, porque esses serviços, em última análise, estão sujeitos à jurisdição legal e aos termos de serviço do provedor.

A infraestrutura baseada em blockchain contorna grande parte dessa alavancagem. Não há empresa de hospedagem para pressionar nem registrador central para notificar. Mesmo que os defensores identifiquem os endereços de blockchain que o DeadLock está usando, a rede subjacente continua funcionando mesmo assim. Isso devolve o peso aos defensores, que precisam se concentrar em outros pontos de estrangulamento, como os métodos de distribuição do malware, os fluxos de pagamento ou os endpoints onde a criptografia realmente acontece, em vez de esperar que uma derrubada de infraestrutura limpa e única resolva o problema.

Isso também sinaliza uma tendência mais ampla que merece atenção. À medida que as tecnologias descentralizadas se tornam mais fáceis de usar e mais amplamente disponíveis, outros operadores de ransomware provavelmente experimentarão técnicas de resiliência semelhantes, o que significa que os defensores não devem presumir que essa é uma tática isolada e limitada a um único grupo.

O que isso significa para organizações e indivíduos em risco

Para a maioria das organizações, o impacto prático da infraestrutura de blockchain do DeadLock tem menos a ver com a tecnologia em si e mais com o que ela representa: os grupos de ransomware estão ficando mais difíceis de interromper de fora, o que significa que prevenção e contenção dentro da própria rede são mais importantes do que nunca. Esperar que autoridades ou pesquisadores desmontem a infraestrutura de um grupo não é mais uma rede de segurança confiável, se é que algum dia foi.

Isso é especialmente relevante para pequenas e médias empresas que podem presumir que os esforços de interrupção de ransomware acabarão neutralizando as ameaças em seu nome. A abordagem do DeadLock é um lembrete de que a responsabilidade pela resiliência recai principalmente sobre as organizações visadas, não sobre o ecossistema de derrubada que tenta se atualizar depois do ocorrido.

Medidas defensivas: isolamento de rede, VPNs e redução da superfície de ataque

A boa notícia é que os fundamentos da defesa contra ransomware não mudaram só porque a infraestrutura de back-end de um grupo está mais difícil de derrubar. Algumas medidas práticas continuam altamente eficazes:

  • Segmente sua rede para que um único dispositivo ou conta comprometida não consiga alcançar todos os sistemas. O isolamento de rede limita até onde o ransomware pode se espalhar mesmo após o acesso inicial.
  • Use uma VPN para acesso remoto em vez de expor o protocolo de área de trabalho remota ou outras portas de gerenciamento diretamente à internet. Reduzir a superfície de ataque pública dificulta que os invasores encontrem um ponto de entrada logo de início.
  • Mantenha backups offline e testados para que a recuperação de dados não dependa de negociar com os invasores ou esperar por derrubadas de infraestrutura.
  • Corrija e monitore endpoints de forma agressiva, pois o ransomware ainda normalmente exige um ponto de apoio inicial por meio de phishing, serviços expostos ou software sem correção antes que qualquer back-end baseado em blockchain entre em cena.

Nenhuma dessas medidas exige ferramentas exóticas, mas exige consistência e acompanhamento, que é justamente onde muitas organizações falham.

Conclusão

O uso de infraestrutura de blockchain pelo DeadLock para resistir a derrubadas mostra como os operadores de ransomware estão se adaptando mais rápido do que as ferramentas tradicionalmente usadas para combatê-los. A abordagem de infraestrutura de blockchain do ransomware DeadLock não muda o que realmente impede um ataque: forte segmentação de rede, acesso remoto restrito e backups confiáveis. As organizações que tratarem esses fundamentos como prioridades contínuas, e não como projetos pontuais, estarão muito mais bem posicionadas, independentemente de quão resiliente a infraestrutura de qualquer grupo se torne.