Cum folosește DeadLock blockchain-ul pentru a rezista demontărilor

Grupurile de ransomware s-au bazat mult timp pe servere, domenii și furnizori de găzduire pe care cercetătorii în securitate și forțele de ordine le pot eventual confisca sau trece pe lista neagră. Grupul de ransomware DeadLock încearcă să elimine acel punct slab din ecuație. Potrivit unor rapoarte recente, DeadLock stochează acum informații critice despre infrastructură, cum ar fi adrese proxy sau de comunicare, pe un blockchain public, nu pe servere care pot fi scoase offline prin mijloace convenționale.

Ancorând aceste date într-un registru descentralizat, DeadLock face mult mai dificil pentru apărători să perturbe operațiunile printr-o singură acțiune coordonată. Demontările tradiționale se bazează pe identificarea unui punct central de eșec: un furnizor de găzduire, un registrator de domenii sau o adresă IP care poate fi sinkholed. Când aceste informații se află în schimb pe un blockchain, nu există o singură companie sau entitate căreia să i se transmită un ordin legal și niciun server unic de confiscat. Datele persistă într-o rețea distribuită de noduri pe care nimeni nu o controlează individual, ceea ce este exact proprietatea de reziliență pe care tehnologia blockchain a fost concepută să o ofere, acum reutilizată pentru infrastructură criminală.

Aceasta nu este singura mișcare a grupului către descentralizare și evitare. DeadLock a fost, de asemenea, observat adăugând aplicația de mesagerie Session la setul său de instrumente ca modalitate de a menține comunicațiile cu victimele funcționale chiar și după ce alte canale sunt perturbate. Împreună, aceste alegeri indică o strategie deliberată: construirea de redundanță în fiecare strat al operațiunii, astfel încât niciun efort de perturbare unic să nu poată opri întregul sistem.

De ce tacticile tradiționale de perturbare a ransomware-ului pierd teren

Timp de ani, manualul standard de combatere a infrastructurii ransomware a implicat cooperarea dintre cercetătorii în securitate, furnizorii de găzduire și forțele de ordine pentru a identifica și demonta serverele de comandă și control, portalurile de negociere și site-urile de publicare a datelor. Această abordare a funcționat destul de bine împotriva grupurilor care se bazează pe găzduire web centralizată, deoarece aceste servicii sunt în cele din urmă supuse jurisdicției legale și condițiilor de utilizare ale furnizorului.

Infrastructura bazată pe blockchain ocolește mult din această pârghie. Nu există nicio companie de găzduire asupra căreia să se facă presiuni și niciun registrator central de notificat. Chiar dacă apărătorii identifică adresele blockchain pe care le folosește DeadLock, rețeaua de bază continuă să funcționeze indiferent. Acest lucru mută povara înapoi asupra apărătorilor pentru a se concentra pe alte puncte de strangulare, cum ar fi metodele de distribuție ale malware-ului, fluxurile de plată sau endpoint-urile unde are loc efectiv criptarea, în loc să se aștepte ca o demontare curată, unică, a infrastructurii să rezolve problema.

De asemenea, semnalează o tendință mai largă care merită urmărită. Pe măsură ce tehnologiile descentralizate devin mai ușor de utilizat și mai larg disponibile, alți operatori de ransomware vor experimenta probabil tehnici similare de reziliență, ceea ce înseamnă că apărătorii nu ar trebui să presupună că aceasta este o tactică izolată, limitată la un singur grup.

Ce înseamnă acest lucru pentru organizații și persoanele expuse riscului

Pentru majoritatea organizațiilor, impactul practic al infrastructurii blockchain a DeadLock este mai puțin despre tehnologia în sine și mai mult despre ceea ce reprezintă: grupurile de ransomware devin tot mai greu de perturbat din exterior, ceea ce înseamnă că prevenirea și izolarea în interiorul propriei rețele contează mai mult ca niciodată. Așteptarea ca forțele de ordine sau cercetătorii să demanteleze infrastructura unui grup nu mai este o plasă de siguranță fiabilă, dacă a fost vreodată cu adevărat.

Acest lucru este relevant în special pentru întreprinderile mici și mijlocii care pot presupune că eforturile de perturbare a ransomware-ului vor neutraliza în cele din urmă amenințările în numele lor. Abordarea DeadLock este un memento că responsabilitatea pentru reziliență revine în primul rând organizațiilor vizate, nu ecosistemului de demontare care încearcă să recupereze decalajul după fapt.

Pași defensivi: izolarea rețelei, VPN-urile și reducerea suprafeței de atac

Vestea bună este că fundamentele apărării împotriva ransomware-ului nu s-au schimbat doar pentru că infrastructura backend a unui grup este mai greu de demontat. Câțiva pași practici rămân foarte eficienți:

  • Segmentează-ți rețeaua astfel încât un singur dispozitiv sau cont compromis să nu poată ajunge la fiecare sistem. Izolarea rețelei limitează cât de departe se poate răspândi ransomware-ul chiar și după accesul inițial.
  • Folosește un VPN pentru accesul de la distanță în loc să expui protocolul de desktop la distanță sau alte porturi de administrare direct pe internet. Reducerea suprafeței publice de atac face mai greu pentru atacatori să găsească un punct de intrare în primul rând.
  • Păstrează copii de rezervă offline, testate astfel încât recuperarea datelor să nu depindă de negocierea cu atacatorii sau de așteptarea demontării infrastructurii.
  • Aplică patch-uri și monitorizează endpoint-urile în mod agresiv, deoarece ransomware-ul necesită totuși de obicei un punct inițial de sprijin prin phishing, servicii expuse sau software nepatch-uit înainte ca orice backend bazat pe blockchain să intre în joc.

Nicio măsură nu necesită instrumente exotice, dar necesită consecvență și urmărire până la capăt, adesea exact acolo unde organizațiile rămân deficitare.

Concluzie

Utilizarea de către DeadLock a infrastructurii blockchain pentru a rezista demontărilor arată cât de repede se adaptează operatorii de ransomware, mai rapid decât instrumentele folosite în mod tradițional pentru a-i combate. Abordarea cu infrastructură blockchain a ransomware-ului DeadLock nu schimbă ceea ce oprește de fapt un atac: segmentarea puternică a rețelei, accesul la distanță restricționat și copiile de rezervă fiabile. Organizațiile care tratează aceste elemente de bază ca priorități continue, nu ca proiecte unice, vor fi mult mai bine poziționate indiferent cât de rezistentă devine infrastructura oricărui grup individual.