Hur DeadLock använder blockkedja för att stå emot nedstängningar

Ransomware-grupper har länge förlitat sig på servrar, domäner och hostingleverantörer som säkerhetsforskare och brottsbekämpande myndigheter så småningom kan beslagta eller svartlista. DeadLock-ransomwaregruppen försöker ta bort den svaga punkten ur ekvationen. Enligt nya rapporter lagrar DeadLock nu kritisk infrastrukturinformation, som proxy- eller kommunikationsadresser, på en offentlig blockkedja snarare än på servrar som kan tas offline med konventionella metoder.

Genom att förankra dessa data i en decentraliserad huvudbok gör DeadLock det mycket svårare för försvarare att störa verksamheten med en enda samordnad insats. Traditionella nedstängningar bygger på att identifiera en central felpunkt: en hostingleverantör, en domänregistrar eller en IP-adress som kan sinkholas. När den informationen i stället ligger på en blockkedja finns det inget enskilt företag eller ingen enskild enhet att delge ett rättsligt beslut, och ingen enskild server att beslagta. Informationen finns kvar i ett distribuerat nätverk av noder som ingen enskilt kontrollerar, vilket är precis den motståndskraft som blockkedjetekniken utformades för att ge – nu återanvänd för kriminell infrastruktur.

Detta är inte gruppens enda drag mot decentralisering och undvikande. DeadLock har också observerats lägga till meddelandeappen Session i sin verktygslåda för att hålla kommunikationen med offer igång även efter att andra kanaler störs. Tillsammans pekar dessa val på en medveten strategi: bygg in redundans i varje lager av verksamheten så att ingen enskild störningsinsats kan slå ut hela systemet.

Varför traditionella metoder för att störa ransomware tappar mark

I åratal har standardmetoden för att bekämpa ransomware-infrastruktur byggt på samarbete mellan säkerhetsforskare, hostingleverantörer och brottsbekämpande myndigheter för att identifiera och montera ned kommando- och kontrollservrar, förhandlingsportaler och läckagesajter. Denna metod har fungerat relativt väl mot grupper som förlitar sig på centraliserad webbhotellverksamhet, eftersom dessa tjänster i slutändan omfattas av jurisdiktion och leverantörernas användarvillkor.

Blockkedjebaserad infrastruktur kringgår mycket av den hävstången. Det finns inget hostingföretag att sätta press på och ingen central registrar att kontakta. Även om försvarare identifierar de blockkedjeadresser DeadLock använder fortsätter det underliggande nätverket att fungera. Detta flyttar bördan tillbaka till försvararna att fokusera på andra flaskhalsar, som malware-distributionsmetoder, betalningsflöden eller de slutpunkter där krypteringen faktiskt sker, snarare än att förvänta sig att en ren engångsnedstängning av infrastrukturen ska lösa problemet.

Det signalerar också en bredare trend värd att bevaka. I takt med att decentraliserad teknik blir enklare att använda och mer allmänt tillgänglig kommer sannolikt andra ransomware-operatörer att experimentera med liknande motståndskraftstekniker, vilket innebär att försvarare inte bör anta att detta är en engångstaktik begränsad till en enda grupp.

Vad detta innebär för organisationer och individer i riskzonen

För de flesta organisationer handlar den praktiska effekten av DeadLocks blockkedjeinfrastruktur mindre om själva tekniken och mer om vad den representerar: ransomware-grupper blir svårare att störa utifrån, vilket innebär att förebyggande och inneslutning i det egna nätverket betyder mer än någonsin. Att vänta på att brottsbekämpande myndigheter eller forskare ska montera ned en grupps infrastruktur är inte längre ett tillförlitligt skyddsnät, om det någonsin verkligen var det.

Detta är särskilt relevant för små och medelstora företag som kanske antar att insatser för att störa ransomware så småningom neutraliserar hoten åt dem. DeadLocks tillvägagångssätt är en påminnelse om att ansvaret för motståndskraft främst ligger hos de organisationer som utsätts, inte hos det ekosystem för nedstängning som försöker komma ikapp i efterhand.

Förebyggande åtgärder: nätverksisolering, VPN och minskad attackyta

Den goda nyheten är att grunderna i ransomware-försvar inte har förändrats bara för att en grupps bakomliggande infrastruktur är svårare att slå ut. Några praktiska åtgärder förblir mycket effektiva:

  • Segmentera nätverket så att en enskild komprometterad enhet eller ett enskilt konto inte kan nå alla system. Nätverksisolering begränsar hur långt ransomware kan spridas även efter initial åtkomst.
  • Använd VPN för fjärråtkomst i stället för att exponera Remote Desktop Protocol eller andra administrationsportar direkt mot internet. En minskad offentlig attackyta gör det svårare för angripare att hitta en väg in från första början.
  • Underhåll testade offline-säkerhetskopior så att dataåterställning inte är beroende av att förhandla med angripare eller vänta på nedstängning av infrastruktur.
  • Patcha och övervaka slutpunkter aktivt, eftersom ransomware vanligtvis fortfarande kräver ett första fotfäste via nätfiske, exponerade tjänster eller opatchad programvara innan någon blockkedjebaserad backend kommer in i bilden.

Ingen av dessa åtgärder kräver exotiska verktyg, men de kräver konsekvens och uthållighet, vilket ofta är där organisationer brister.

Slutsats

DeadLocks användning av blockkedjeinfrastruktur för att stå emot nedstängningar visar hur ransomware-operatörer anpassar sig snabbare än de verktyg som traditionellt använts för att bekämpa dem. DeadLock-ransomwarens blockkedjeinfrastruktur-metod förändrar inte vad som faktiskt stoppar en attack: stark nätverkssegmentering, begränsad fjärråtkomst och tillförlitliga säkerhetskopior. Organisationer som behandlar dessa grunder som ständiga prioriteringar, snarare än engångsprojekt, kommer att stå mycket bättre rustade oavsett hur motståndskraftig en enskild grupps infrastruktur blir.