DeadLock ใช้บล็อกเชนเพื่อต่อต้านการปิดระบบอย่างไร

กลุ่มแรนซัมแวร์พึ่งพาเซิร์ฟเวอร์ โดเมน และผู้ให้บริการโฮสติ้งที่นักวิจัยความปลอดภัยและหน่วยงานบังคับใช้กฎหมายสามารถยึดหรือขึ้นบัญชีดำได้ในที่สุดมาโดยตลอด กลุ่มแรนซัมแวร์ DeadLock กำลังพยายามขจัดจุดอ่อนนั้นออกจากสมการ ตามรายงานล่าสุด DeadLock จัดเก็บข้อมูลโครงสร้างพื้นฐานที่สำคัญ เช่น ที่อยู่พร็อกซีหรือที่อยู่สำหรับการสื่อสาร ไว้บนบล็อกเชนสาธารณะแทนที่จะเก็บไว้บนเซิร์ฟเวอร์ที่สามารถทำให้ออฟไลน์ได้ด้วยวิธีการปกติ

ด้วยการยึดข้อมูลนี้เข้ากับบัญชีแยกประเภทแบบกระจายศูนย์ DeadLock ทำให้ผู้ป้องกันยากขึ้นมากที่จะขัดขวางการปฏิบัติการด้วยการกระทำที่ประสานงานเพียงครั้งเดียว การปิดระบบแบบดั้งเดิมอาศัยการระบุจุดศูนย์กลางความล้มเหลวเพียงจุดเดียว เช่น ผู้ให้บริการโฮสติ้ง นายทะเบียนโดเมน หรือที่อยู่ IP ที่สามารถทำ sinkhole ได้ แต่เมื่อข้อมูลดังกล่าวไปอยู่บนบล็อกเชนแทน ก็ไม่มีบริษัทหรือหน่วยงานใดหน่วยงานหนึ่งที่จะส่งคำสั่งทางกฎหมายไปให้ และไม่มีเซิร์ฟเวอร์เพียงเครื่องเดียวให้ยึด ข้อมูลยังคงอยู่ข้ามเครือข่ายโหนดแบบกระจายที่ไม่มีใครควบคุมเป็นรายบุคคล ซึ่งเป็นคุณสมบัติความยืดหยุ่นที่เทคโนโลยีบล็อกเชนถูกออกแบบมาให้มีอย่างแท้จริง แต่ตอนนี้ถูกนำมาใช้ใหม่เพื่อโครงสร้างพื้นฐานทางอาชญากรรม

นี่ไม่ใช่การเคลื่อนไหวเพียงอย่างเดียวของกลุ่มไปสู่การกระจายศูนย์และการหลบหลีก DeadLock ยังถูกพบว่า เพิ่มแอปส่งข้อความ Session เข้าไปในชุดเครื่องมือของตน เพื่อให้การสื่อสารกับเหยื่อดำเนินต่อไปได้แม้หลังจากช่องทางอื่นถูกขัดขวาง เมื่อรวมกันแล้ว ตัวเลือกเหล่านี้ชี้ไปที่กลยุทธ์ที่จงใจ: สร้างความซ้ำซ้อนในทุกเลเยอร์ของการปฏิบัติการ เพื่อไม่ให้ความพยายามขัดขวางเพียงครั้งเดียวสามารถปิดระบบทั้งหมดได้

เหตุใดกลยุทธ์ดั้งเดิมในการขัดขวางแรนซัมแวร์จึงเริ่มใช้ไม่ได้ผล

เป็นเวลาหลายปี แนวทางมาตรฐานในการต่อสู้กับโครงสร้างพื้นฐานของแรนซัมแวร์เกี่ยวข้องกับความร่วมมือระหว่างนักวิจัยความปลอดภัย ผู้ให้บริการโฮสติ้ง และหน่วยงานบังคับใช้กฎหมาย เพื่อระบุและทำลายเซิร์ฟเวอร์ควบคุมและสั่งการ พอร์ทัลเจรจา และเว็บไซต์รั่วไหลข้อมูล แนวทางนี้ใช้ได้ผลดีพอสมควรกับกลุ่มที่พึ่งพาเว็บโฮสติ้งแบบรวมศูนย์ เพราะบริการเหล่านั้นสุดท้ายแล้วอยู่ภายใต้เขตอำนาจทางกฎหมายและเงื่อนไขการให้บริการของผู้ให้บริการ

โครงสร้างพื้นฐานที่ใช้บล็อกเชนหลบเลี่ยงอำนาจต่อรองเหล่านั้นไปได้มาก ไม่มีบริษัทโฮสติ้งให้กดดัน และไม่มีนายทะเบียนกลางให้แจ้งเตือน ถึงแม้ผู้ป้องกันจะระบุที่อยู่บล็อกเชนที่ DeadLock ใช้ได้ เครือข่ายพื้นฐานก็ยังทำงานต่อไปโดยไม่สนใจ สิ่งนี้ผลักภาระกลับไปให้ผู้ป้องกันต้องมุ่งเน้นที่จุดคอขวดอื่น ๆ เช่น วิธีการกระจายมัลแวร์ กระแสการชำระเงิน หรือจุดปลายทางที่การเข้ารหัสเกิดขึ้นจริง แทนที่จะคาดหวังว่าการปิดโครงสร้างพื้นฐานครั้งเดียวแบบหมดจดจะช่วยแก้ปัญหาได้

มันยังส่งสัญญาณถึงแนวโน้มที่กว้างขึ้นซึ่งน่าจับตามอง เมื่อเทคโนโลยีแบบกระจายศูนย์ใช้งานง่ายขึ้นและแพร่หลายมากขึ้น ผู้ดำเนินการแรนซัมแวร์รายอื่นมีแนวโน้มจะทดลองใช้เทคนิคความยืดหยุ่นคล้ายกัน หมายความว่าผู้ป้องกันไม่ควรทึกทักว่านี่เป็นกลยุทธ์ครั้งเดียวที่จำกัดอยู่แค่กลุ่มเดียว

สิ่งนี้หมายความอย่างไรสำหรับองค์กรและบุคคลที่มีความเสี่ยง

สำหรับองค์กรส่วนใหญ่ ผลกระทบเชิงปฏิบัติของโครงสร้างพื้นฐานบล็อกเชนของ DeadLock เกี่ยวข้องกับเทคโนโลยีน้อยกว่าสิ่งที่มันเป็นตัวแทน: กลุ่มแรนซัมแวร์กำลังถูกขัดขวางจากภายนอกได้ยากขึ้น ซึ่งหมายความว่าการป้องกันและการจำกัดวงภายในเครือข่ายของคุณเองสำคัญกว่าที่เคย การรอให้หน่วยงานบังคับใช้กฎหมายหรือนักวิจัยทำลายโครงสร้างพื้นฐานของกลุ่มไม่ใช่ตาข่ายนิรภัยที่เชื่อถือได้อีกต่อไป หากเคยเป็นเช่นนั้นจริง

นี่เกี่ยวข้องเป็นพิเศษกับธุรกิจขนาดเล็กและขนาดกลางที่อาจคิดว่าความพยายามขัดขวางแรนซัมแวร์จะช่วยจัดการภัยคุกคามแทนพวกเขาในที่สุด แนวทางของ DeadLock เป็นเครื่องเตือนใจว่าความรับผิดชอบต่อความยืดหยุ่นอยู่ที่องค์กรที่ตกเป็นเป้าหมายเป็นหลัก ไม่ใช่ระบบนิเวศที่พยายามตามไล่ปิดระบบหลังเหตุการณ์เกิดขึ้นแล้ว

ขั้นตอนการป้องกัน: การแยกเครือข่าย, VPN และการลดพื้นที่โจมตี

ข่าวดีคือพื้นฐานการป้องกันแรนซัมแวร์ไม่ได้เปลี่ยนไปเพียงเพราะโครงสร้างพื้นฐานหลังบ้านของกลุ่มถูกทำให้ปิดได้ยากขึ้น ขั้นตอนเชิงปฏิบัติไม่กี่ขั้นยังคงมีประสิทธิภาพสูง:

  • แบ่งแยกเครือข่าย เพื่อไม่ให้อุปกรณ์หรือบัญชีที่ถูกโจมตีเพียงรายการเดียวเข้าถึงทุกระบบได้ การแยกเครือข่ายจำกัดว่าแรนซัมแวร์จะแพร่กระจายไปได้ไกลแค่ไหนแม้หลังจากการเข้าถึงครั้งแรกสำเร็จ
  • ใช้ VPN สำหรับการเข้าถึงระยะไกล แทนการเปิดพอร์ต Remote Desktop Protocol หรือพอร์ตการจัดการอื่น ๆ สู่อินเทอร์เน็ตโดยตรง การลดพื้นที่โจมตีสาธารณะทำให้ผู้โจมตีหาจุดเข้าได้ยากขึ้นตั้งแต่แรก
  • รักษาข้อมูลสำรองแบบออฟไลน์ที่ผ่านการทดสอบแล้ว เพื่อให้การกู้คืนข้อมูลไม่ต้องขึ้นอยู่กับการเจรจากับผู้โจมตีหรือการรอคอยการปิดโครงสร้างพื้นฐาน
  • แพตช์และเฝ้าระวังจุดปลายทางอย่างเข้มงวด เนื่องจากแรนซัมแวร์ยังต้องอาศัยการตั้งหลักครั้งแรกผ่านฟิชชิ่ง บริการที่เปิดเผย หรือซอฟต์แวร์ที่ไม่ได้รับการแพตช์ ก่อนที่โครงสร้างหลังบ้านแบบบล็อกเชนจะเข้ามามีบทบาท

มาตรการเหล่านี้ไม่ต้องใช้เครื่องมือพิเศษ แต่ต้องอาศัยความสม่ำเสมอและการทำจนจบ ซึ่งมักเป็นจุดที่องค์กรทำได้ไม่ดีพอ

บทสรุป

การใช้โครงสร้างพื้นฐานบล็อกเชนของ DeadLock เพื่อต่อต้านการปิดระบบแสดงให้เห็นว่าผู้ดำเนินการแรนซัมแวร์ปรับตัวได้เร็วกว่าเครื่องมือที่ใช้ต่อสู้กับพวกเขาแบบดั้งเดิม แนวทางโครงสร้างพื้นฐานบล็อกเชนของแรนซัมแวร์ DeadLock ไม่ได้เปลี่ยนสิ่งที่หยุดการโจมตีได้จริง นั่นคือการแบ่งแยกเครือข่ายที่เข้มแข็ง การจำกัดการเข้าถึงระยะไกล และข้อมูลสำรองที่เชื่อถือได้ องค์กรที่ปฏิบัติต่อพื้นฐานเหล่านี้เป็นลำดับความสำคัญต่อเนื่อง ไม่ใช่โครงการที่ทำครั้งเดียวจบ จะอยู่ในตำแหน่งที่ดีกว่ามาก ไม่ว่าโครงสร้างพื้นฐานของกลุ่มใดกลุ่มหนึ่งจะยืดหยุ่นเพียงใดก็ตาม