Как DeadLock использует блокчейн для сопротивления отключениям

Группы вымогателей долгое время зависели от серверов, доменов и хостинг-провайдеров, которые исследователи безопасности и правоохранительные органы могут в конечном итоге изымать или вносить в чёрный список. Группа вымогателей DeadLock пытается убрать это слабое место из уравнения. Согласно недавним отчётам, DeadLock теперь хранит критически важную инфраструктурную информацию, такую как прокси- или коммуникационные адреса, в публичном блокчейне, а не на серверах, которые можно отключить обычными средствами.

Привязывая эти данные к децентрализованному реестру, DeadLock значительно усложняет защитникам возможность сорвать операции одним скоординированным действием. Традиционные отключения опираются на выявление центральной точки отказа: хостинг-провайдера, регистратора доменов или IP-адреса, который можно перенаправить в sinkhole. Когда эта информация вместо этого находится в блокчейне, не существует ни одной компании или организации, которой можно было бы направить судебное предписание, и ни одного сервера, который можно изъять. Данные сохраняются в распределённой сети узлов, которую никто не контролирует по отдельности, — именно это свойство устойчивости и должна была обеспечить технология блокчейн, теперь перепрофилированное для криминальной инфраструктуры.

Это не единственный шаг группы в сторону децентрализации и уклонения. DeadLock также был замечен за добавлением мессенджера Session в свой набор инструментов, чтобы поддерживать связь с жертвами даже после нарушения других каналов. В совокупности эти решения указывают на продуманную стратегию: встроить резервирование в каждый уровень операции, чтобы ни одна попытка срыва не могла полностью её остановить.

Почему традиционные методы срыва вымогателей теряют эффективность

Годами стандартный сценарий борьбы с инфраструктурой вымогателей включал сотрудничество между исследователями безопасности, хостинг-провайдерами и правоохранительными органами для выявления и демонтажа командно-контрольных серверов, порталов переговоров и сайтов утечек. Этот подход достаточно хорошо работал против групп, которые полагаются на централизованный веб-хостинг, поскольку такие сервисы в конечном итоге подчиняются правовой юрисдикции и условиям предоставления услуг провайдера.

Инфраструктура на основе блокчейна обходит значительную часть этих рычагов. Нет хостинговой компании, на которую можно надавить, и нет центрального регистратора, которого можно уведомить. Даже если защитники выявят блокчейн-адреса, используемые DeadLock, базовая сеть всё равно продолжит работать. Это переносит нагрузку обратно на защитников, заставляя их сосредоточиться на других узких местах, таких как методы распространения вредоносного ПО, потоки платежей или конечные точки, где фактически происходит шифрование, а не ожидать, что однократное чистое отключение инфраструктуры решит проблему.

Это также указывает на более широкую тенденцию, за которой стоит следить. По мере того как децентрализованные технологии становятся проще в использовании и более доступными, другие операторы вымогателей, вероятно, начнут экспериментировать с аналогичными методами устойчивости, а значит, защитникам не следует считать, что это разовая тактика, ограниченная одной группой.

Что это значит для организаций и частных лиц под угрозой

Для большинства организаций практическое значение блокчейн-инфраструктуры DeadLock связано не столько с самой технологией, сколько с тем, что она символизирует: группы вымогателей становится всё труднее остановить извне, а значит, предотвращение и сдерживание внутри собственной сети важны как никогда. Ожидание, что правоохранительные органы или исследователи демонтируют инфраструктуру группы, больше не является надёжной страховкой, если вообще когда-либо ею было.

Это особенно актуально для малого и среднего бизнеса, который может предполагать, что усилия по срыву вымогателей в конечном итоге нейтрализуют угрозы за него. Подход DeadLock служит напоминанием о том, что ответственность за устойчивость лежит прежде всего на организациях, которые становятся целями, а не на экосистеме отключений, пытающейся догонять постфактум.

Защитные меры: изоляция сети, VPN и сокращение поверхности атаки

Хорошая новость в том, что основы защиты от вымогателей не изменились только потому, что серверную инфраструктуру группы сложнее отключить. Несколько практических мер остаются весьма эффективными:

  • Сегментируйте сеть, чтобы одно скомпрометированное устройство или учётная запись не могли получить доступ ко всем системам. Изоляция сети ограничивает, насколько далеко может распространиться вымогатель даже после получения первоначального доступа.
  • Используйте VPN для удалённого доступа, а не выставляйте протокол удалённого рабочего стола или другие порты управления напрямую в интернет. Сокращение публичной поверхности атаки затрудняет злоумышленникам поиск точки входа с самого начала.
  • Поддерживайте автономные проверенные резервные копии, чтобы восстановление данных не зависело от переговоров со злоумышленниками или ожидания отключения инфраструктуры.
  • Активно устанавливайте обновления и отслеживайте конечные точки, поскольку вымогателям по-прежнему обычно нужна первоначальная точка опоры через фишинг, открытые сервисы или необновлённое ПО, прежде чем в дело вступит какой-либо бэкенд на блокчейне.

Ни одна из этих мер не требует экзотических инструментов, но они требуют последовательности и доведения до конца, чего организациям часто не хватает.

Заключение

Использование DeadLock блокчейн-инфраструктуры для сопротивления отключениям показывает, как операторы вымогателей адаптируются быстрее, чем инструменты, традиционно используемые для борьбы с ними. Подход DeadLock с блокчейн-инфраструктурой не меняет того, что действительно останавливает атаку: надёжную сегментацию сети, ограниченный удалённый доступ и резервное копирование. Организации, которые относятся к этим базовым мерам как к постоянным приоритетам, а не к разовым проектам, будут в гораздо лучшем положении независимо от того, насколько устойчивой станет инфраструктура какой-либо отдельной группы.