Як DeadLock використовує блокчейн для протидії блокуванню

Групи програм-вимагачів давно покладаються на сервери, домени та хостинг-провайдерів, які дослідники безпеки та правоохоронні органи зрештою можуть захопити або внести до чорних списків. Група програм-вимагачів DeadLock намагається прибрати це слабке місце з рівняння. Згідно з нещодавніми звітами, DeadLock тепер зберігає критично важливу інформацію про інфраструктуру, таку як адреси проксі або каналів звʼязку, у публічному блокчейні, а не на серверах, які можна відключити традиційними методами.

Закріплюючи ці дані в децентралізованому реєстрі, DeadLock робить значно складнішим для захисників порушення роботи операцій однією скоординованою дією. Традиційні блокування покладаються на виявлення центральної точки відмови: хостинг-провайдера, реєстратора доменів або IP-адреси, яку можна перевести в «кишеню» (sinkhole). Коли ця інформація натомість зберігається в блокчейні, не існує жодної окремої компанії чи субʼєкта, якому можна надіслати судовий припис, і жодного окремого сервера, який можна захопити. Дані зберігаються в розподіленій мережі вузлів, які ніхто окремо не контролює, — це саме та властивість стійкості, для забезпечення якої була розроблена технологія блокчейну, тепер перепрофільована для злочинної інфраструктури.

Це не єдиний крок групи до децентралізації та ухилення. Також було помічено, що DeadLock додав месенджер Session до свого інструментарію як спосіб підтримувати звʼязок із жертвами навіть після порушення інших каналів. Разом ці рішення вказують на продуману стратегію: вбудувати резервування в кожен рівень операції, щоб жодна окрема спроба порушення не могла зупинити все повністю.

Чому традиційні тактики протидії програмам-вимагачам втрачають позиції

Протягом багатьох років стандартний підхід до боротьби з інфраструктурою програм-вимагачів передбачав співпрацю між дослідниками безпеки, хостинг-провайдерами та правоохоронними органами для виявлення та демонтажу серверів управління та контролю, порталів для переговорів і сайтів витоку даних. Цей підхід працював досить добре проти груп, які покладаються на централізований веб-хостинг, оскільки ці послуги зрештою підпадають під правову юрисдикцію та умови надання послуг провайдерів.

Інфраструктура на основі блокчейну обходить значну частину цих важелів впливу. Немає хостинг-компанії, на яку можна тиснути, і немає центрального реєстратора, якого можна повідомити. Навіть якщо захисники ідентифікують адреси блокчейну, які використовує DeadLock, базова мережа продовжує працювати незалежно від цього. Це перекладає тягар назад на захисників — зосередитися на інших вузьких місцях, таких як методи поширення шкідливого програмного забезпечення, грошові потоки або кінцеві точки, де фактично відбувається шифрування, замість того, щоб очікувати чистого одноразового блокування інфраструктури для вирішення проблеми.

Це також сигналізує про ширший тренд, за яким варто спостерігати. Оскільки децентралізовані технології стають простішими у використанні та ширше доступними, інші оператори програм-вимагачів, ймовірно, експериментуватимуть із подібними техніками стійкості, а це означає, що захисникам не слід вважати, що це одноразова тактика, обмежена однією групою.

Що це означає для організацій та осіб, які перебувають у зоні ризику

Для більшості організацій практичний вплив блокчейн-інфраструктури DeadLock повʼязаний менше з самою технологією, а більше з тим, що вона означає: групи програм-вимагачів стає дедалі складніше порушувати ззовні, а це означає, що профілактика та стримування всередині вашої власної мережі важливіші, ніж будь-коли. Очікування, що правоохоронні органи або дослідники демонтують інфраструктуру групи, більше не є надійною страховкою, якщо взагалі колись було.

Це особливо актуально для малих і середніх підприємств, які можуть припускати, що зусилля з протидії програмам-вимагачам зрештою нейтралізують загрози за них. Підхід DeadLock — це нагадування про те, що відповідальність за стійкість лежить насамперед на організаціях, які є цілями атак, а не на екосистемі блокувань, яка намагається наздогнати вже постфактум.

Захисні кроки: ізоляція мережі, VPN та зменшення поверхні атаки

Хороша новина полягає в тому, що основи захисту від програм-вимагачів не змінилися лише тому, що бекенд-інфраструктуру групи стало складніше знищити. Кілька практичних кроків залишаються надзвичайно ефективними:

  • Сегментуйте свою мережу, щоб один скомпрометований пристрій або обліковий запис не міг отримати доступ до всіх систем. Ізоляція мережі обмежує поширення програми-вимагача навіть після початкового доступу.
  • Використовуйте VPN для віддаленого доступу, а не відкривайте протокол віддаленого робочого столу або інші порти керування безпосередньо в інтернет. Зменшення публічної поверхні атаки ускладнює зловмисникам пошук точки входу.
  • Підтримуйте офлайн-резервні копії, які пройшли тестування, щоб відновлення даних не залежало від переговорів зі зловмисниками або очікування блокувань інфраструктури.
  • Агресивно оновлюйте та моніторте кінцеві точки, оскільки програма-вимагач зазвичай все одно потребує початкової точки опори через фішинг, відкриті сервіси або неоновлене програмне забезпечення, перш ніж задіюється будь-який бекенд на основі блокчейну.

Жоден із цих заходів не потребує екзотичних інструментів, але вони вимагають послідовності та доведення до кінця, чого організаціям часто бракує.

Висновок

Використання DeadLock блокчейн-інфраструктури для протидії блокуванням показує, як оператори програм-вимагачів адаптуються швидше, ніж інструменти, які традиційно використовуються для боротьби з ними. Підхід DeadLock до блокчейн-інфраструктури для програм-вимагачів не змінює того, що насправді зупиняє атаку: надійна сегментація мережі, обмежений віддалений доступ і надійні резервні копії. Організації, які розглядають ці основи як постійні пріоритети, а не разові проєкти, будуть у набагато кращій позиції незалежно від того, наскільки стійкою стане інфраструктура будь-якої окремої групи.