Hur DeadLock inaktiverar Windows Defender och raderar säkerhetskopior

DeadLock är en ekonomiskt motiverad ransomware-operation som har uppmärksammats för att kombinera välkända intrångstekniker med infrastruktur byggd specifikt för att motstå nedtagningsförsök. Enligt säkerhetsforskare som spårar gruppen släpper DeadLocks operatörer inte bara ut skadlig kod och hoppas att den slinker förbi säkerhetsverktygen. Istället neutraliserar de metodiskt offrets försvar innan krypteringen ens påbörjas.

Den processen inleds vanligtvis med att inaktivera Windows Defender, vilket tar bort det inbyggda skydd som många organisationer förlitar sig på som sin främsta försvarslinje. Därifrån riktar DeadLock in sig på säkerhetskopieringssystem, ett särskilt förödande steg eftersom säkerhetskopior ofta är det snabbaste sättet för ett offer att återställa utan att betala en lösensumma. Slutligen raderar gruppen Windows händelseloggar, vilket utplånar mycket av det forensiska spår som incidenthanterare normalt skulle använda för att rekonstruera attacken och förstå hur den gick till.

Kombinationen är avsiktlig. När filerna faktiskt krypteras har den drabbade organisationen redan förlorat sitt skyddsnät och mycket av sin förmåga att utreda intrånget. Det här är inte ett smash-and-grab-skadeprogram; det är en strukturerad operation utformad för att maximera påtryckningsmedlen mot offret.

Varför slutpunktssäkerhet ensamt misslyckas mot modern ransomware

DeadLocks spelbok är en tydlig påminnelse om att slutpunktsantivirus, även när det är en kapabel produkt som Windows Defender, inte är en fristående lösning. Om en ransomware-operatör får tillräckliga privilegier i ett nätverk för att inaktivera säkerhetsprogramvara, radera säkerhetskopior och rensa loggar, innebär det att de redan har tagit sig långt förbi den punkt där ett enskilt verktyg hade kunnat stoppa dem.

Moderna ransomware-grupper planerar allt oftare för just detta scenario. De utgår från att försvararna har antivirus igång och bygger in steg specifikt för att stänga av det eller kringgå det. Det förskjuter den verkliga stridslinjen från "kommer antiviruset att fånga filen" till "hur snabbt kan misstänkt lateral rörelse, privilegieeskalering eller ovanlig administrativ aktivitet upptäckas och stoppas innan krypteringen börjar".

Detta är anledningen till att säkerhetsteam i allt högre grad talar om upptäckt och respons snarare än enbart förebyggande. En enda komprometterad autentiseringsuppgift eller felkonfigurerat system kan räcka för att en angripare ska nå den punkt där de inaktiverar skydd istället för att kringgå dem. Slutpunktsverktyg är fortfarande värdefulla, men de fungerar bäst som ett lager bland flera, inte som den sista försvarslinjen.

Försvar i lager: nätverkssegmentering, VPN och offline-säkerhetskopior

Eftersom DeadLocks taktik är uppbyggd kring att ta bort offrets återställningsalternativ fokuserar de mest effektiva motåtgärderna på att begränsa hur långt en angripare kan röra sig och säkerställa att det finns återställningsvägar som angriparen inte kan nå.

Nätverkssegmentering är ett av de mest praktiska steg organisationer kan vidta. Genom att dela upp nätverk i mindre, isolerade zoner ger en komprometterad arbetsstation eller server inte automatiskt en angripare en väg till säkerhetskopieringsservrar, domänkontrollanter eller andra högvärdessystem. Denna inneslutning kan vara skillnaden mellan en begränsad incident och en organisationsomfattande nedstängning.

Säker fjärråtkomst är lika viktigt. VPN och andra krypterade åtkomstverktyg hjälper till att säkerställa att anslutningar till företagsnätverk, särskilt för distansarbetare och tredjepartsleverantörer, autentiseras och övervakas istället för att lämnas som en öppen dörr. I kombination med starka åtkomstkontroller minskar detta antalet ingångspunkter som angripare som DeadLocks operatörer kan utnyttja för att få det första fotfäste de behöver innan de eskalerar privilegier.

Offline- eller oföränderliga säkerhetskopior förtjänar särskild uppmärksamhet med tanke på DeadLocks specifika fokus på att förstöra återställningsdata. Säkerhetskopior som är frånkopplade från nätverket, eller lagrade på ett sätt som förhindrar ändring även av ett administratörskonto, kan inte raderas eller krypteras tillsammans med produktionssystemen. Att regelbundet testa att dessa säkerhetskopior faktiskt återställs korrekt är lika viktigt som att underhålla dem från början.

Vad DeadLocks taktik avslöjar om decentraliserad ransomware-infrastruktur

Utöver de tekniska steg som vidtas mot enskilda offer pekar DeadLocks infrastrukturval på en bredare trend bland ransomware-operatörer: att bygga system som är utformade för att överleva brottsbekämpande myndigheters påtryckningar och nedtagningsförsök. Decentraliserad infrastruktur gör det svårare för försvarare och myndigheter att störa en hel operation genom att rikta in sig på en enda server eller domän, vilket innebär att gruppen kan fortsätta att verka även efter att delar av dess nätverk har avslöjats eller beslagtagits.

Denna motståndskraft påminner om vad som hände i efterdyningarna av ett av DeadLocks bekräftade intrång. DeadLock-ransomware-intrånget som exponerade ett decennium av Diaters register visade hur mycket skada ett enda framgångsrikt intrång kan orsaka när säkerhetskopior och detektionsförmåga har avlägsnats, och hur långvariga konsekvenserna kan bli för de organisationer och individer vars data var inblandad.

Vad detta betyder för dig

För de flesta läsare är DeadLocks måltavlor organisationer snarare än individer, men den underliggande läxan gäller brett. Om du hanterar IT för ett företag, eller är ansvarig för att skydda känsliga data av något slag, utgå ifrån att en beslutsam angripare som får ett fotfäste kommer att försöka inaktivera dina säkerhetsverktyg och förstöra dina säkerhetskopior, inte bara kryptera dina filer. Planera dina försvar utifrån det antagandet snarare än förhoppningen att antivirus ensamt ska fånga det första försöket.

För anställda och distansarbetare förstärker detta också värdet av att använda säkra, övervakade anslutningar snarare än ad hoc-fjärråtkomst när de ansluter till arbetssystem, eftersom svaga ingångspunkter är precis vad operationer som DeadLock förlitar sig på för att komma igång.

Praktiska slutsatser

  • Förlita dig inte på slutpunktsantivirus som ditt enda försvar; para ihop det med övervakning av ovanlig privilegieeskalering och lateral rörelse.
  • Segmentera nätverk så att en enda komprometterad enhet inte kan nå säkerhetskopieringssystem eller kritisk infrastruktur.
  • Underhåll offline- eller oföränderliga säkerhetskopior och testa återställning regelbundet.
  • Använd VPN och stark autentisering för fjärråtkomst för att minska exponerade ingångspunkter.
  • Granska verkliga incidenter som Diater-intrånget kopplat till DeadLock för att förstå de praktiska riskerna med att hoppa över försvar i lager.

Skydd mot DeadLock-ransomware handlar inte om att hitta ett perfekt verktyg. Det handlar om att bygga överlappande försvar så att även om ett lager misslyckas, stöter angriparen fortfarande på hinder innan de når punkten utan återvändo.