Ransomware DeadLock sử dụng blockchain để tránh bị triệt phá

DeadLock sử dụng blockchain để chống lại các nỗ lực triệt phá như thế nào

Các nhóm ransomware từ lâu đã phụ thuộc vào các máy chủ, tên miền và nhà cung cấp dịch vụ lưu trữ mà các nhà nghiên cứu bảo mật và cơ quan thực thi pháp luật cuối cùng có thể thu giữ hoặc đưa vào danh sách đen. Nhóm ransomware DeadLock đang cố gắng loại bỏ điểm yếu đó khỏi phương trình. Theo báo cáo gần đây, DeadLock hiện lưu trữ thông tin cơ sở hạ tầng quan trọng, chẳng hạn như địa chỉ proxy hoặc địa chỉ liên lạc, trên một blockchain công khai thay vì trên các máy chủ có thể bị hạ gục bằng các biện pháp thông thường.

Bằng cách neo dữ liệu này vào một sổ cái phi tập trung, DeadLock khiến các bên phòng thủ khó phá vỡ hoạt động bằng một hành động phối hợp duy nhất hơn nhiều. Các vụ triệt phá truyền thống dựa vào việc xác định một điểm lỗi trung tâm: nhà cung cấp dịch vụ lưu trữ, nhà đăng ký tên miền hoặc địa chỉ IP có thể bị vô hiệu hóa bằng sinkhole. Khi thông tin đó thay vào đó nằm trên blockchain, không có công ty hoặc thực thể duy nhất nào để gửi lệnh pháp lý, và không có máy chủ duy nhất nào để thu giữ. Dữ liệu tồn tại trên một mạng lưới các nút phân tán mà không ai kiểm soát riêng lẻ, đó chính xác là đặc tính phục hồi mà công nghệ blockchain được thiết kế để cung cấp, giờ bị tái định hướng cho cơ sở hạ tầng tội phạm.

Đây không phải là động thái duy nhất của nhóm hướng tới phi tập trung hóa và né tránh. DeadLock cũng đã bị quan sát thấy thêm ứng dụng nhắn tin Session vào bộ công cụ của mình như một cách để giữ liên lạc với nạn nhân ngay cả sau khi các kênh khác bị gián đoạn. Cùng với nhau, những lựa chọn này cho thấy một chiến lược có chủ đích: xây dựng tính dự phòng vào mọi lớp của hoạt động để không một nỗ lực phá vỡ đơn lẻ nào có thể đóng cửa toàn bộ.

Vì sao các chiến thuật phá vỡ ransomware truyền thống đang mất dần hiệu quả

Trong nhiều năm, sổ tay tiêu chuẩn để chống lại cơ sở hạ tầng ransomware bao gồm sự hợp tác giữa các nhà nghiên cứu bảo mật, nhà cung cấp dịch vụ lưu trữ và cơ quan thực thi pháp luật để xác định và triệt phá các máy chủ điều khiển và kiểm soát, cổng đàm phán và trang rò rỉ dữ liệu. Cách tiếp cận này hoạt động tương đối tốt đối với các nhóm dựa vào lưu trữ web tập trung, vì các dịch vụ đó cuối cùng vẫn chịu quyền tài phán pháp lý và điều khoản dịch vụ của nhà cung cấp.

Cơ sở hạ tầng dựa trên blockchain tránh được phần lớn đòn bẩy đó. Không có công ty lưu trữ nào để gây áp lực và không có nhà đăng ký trung tâm nào để thông báo. Ngay cả khi các bên phòng thủ xác định được các địa chỉ blockchain mà DeadLock đang sử dụng, mạng lưới nền tảng vẫn tiếp tục chạy. Điều này chuyển gánh nặng trở lại cho các bên phòng thủ, buộc họ tập trung vào các điểm nghẽn khác, chẳng hạn như phương thức phát tán phần mềm độc hại, dòng tiền thanh toán hoặc các điểm cuối nơi việc mã hóa thực sự xảy ra, thay vì kỳ vọng một vụ triệt phá cơ sở hạ tầng một lần gọn gàng sẽ giải quyết vấn đề.

Điều này cũng báo hiệu một xu hướng rộng hơn đáng chú ý. Khi các công nghệ phi tập trung trở nên dễ sử dụng hơn và phổ biến rộng rãi hơn, các nhóm ransomware khác có khả năng sẽ thử nghiệm các kỹ thuật phục hồi tương tự, nghĩa là các bên phòng thủ không nên cho rằng đây là chiến thuật một lần giới hạn trong một nhóm duy nhất.

Điều này có ý nghĩa gì đối với các tổ chức và cá nhân có nguy cơ

Đối với hầu hết các tổ chức, tác động thực tế của cơ sở hạ tầng blockchain của DeadLock ít nằm ở bản thân công nghệ mà nằm ở điều nó đại diện: các nhóm ransomware đang ngày càng khó bị phá vỡ từ bên ngoài, điều đó có nghĩa là việc phòng ngừa và ngăn chặn bên trong mạng của chính bạn quan trọng hơn bao giờ hết. Chờ đợi cơ quan thực thi pháp luật hoặc các nhà nghiên cứu triệt phá cơ sở hạ tầng của một nhóm không còn là lưới an toàn đáng tin cậy, nếu nó từng thực sự như vậy.

Điều này đặc biệt liên quan đến các doanh nghiệp vừa và nhỏ, những đơn vị có thể cho rằng các nỗ lực phá vỡ ransomware cuối cùng sẽ vô hiệu hóa mối đe dọa thay họ. Cách tiếp cận của DeadLock là lời nhắc nhở rằng trách nhiệm về khả năng phục hồi chủ yếu nằm ở các tổ chức bị nhắm tới, chứ không phải ở hệ sinh thái triệt phá đang cố gắng bắt kịp sau khi sự việc xảy ra.

Các bước phòng thủ: Phân vùng mạng, VPN và giảm bề mặt tấn công

Tin tốt là các nguyên tắc cơ bản trong phòng thủ ransomware không thay đổi chỉ vì cơ sở hạ tầng hậu cần của một nhóm khó triệt phá hơn. Một số bước thực tế vẫn rất hiệu quả:

• Phân vùng mạng của bạn sao cho một thiết bị hoặc tài khoản bị xâm nhập không thể truy cập vào mọi hệ thống. Việc cô lập mạng giới hạn phạm vi lây lan của ransomware ngay cả sau khi có truy cập ban đầu.
• Sử dụng VPN cho truy cập từ xa thay vì để lộ giao thức remote desktop hoặc các cổng quản trị khác trực tiếp ra internet. Giảm bề mặt tấn công công khai khiến kẻ tấn công khó tìm điểm xâm nhập ngay từ đầu.
• Duy trì các bản sao lưu ngoại tuyến, đã được kiểm tra để việc khôi phục dữ liệu không phụ thuộc vào đàm phán với kẻ tấn công hoặc chờ đợi các vụ triệt phá cơ sở hạ tầng.
• Vá và giám sát điểm cuối một cách quyết liệt, vì ransomware vẫn thường yêu cầu chỗ đứng ban đầu thông qua lừa đảo, dịch vụ bị lộ hoặc phần mềm chưa vá trước khi bất kỳ hậu cần dựa trên blockchain nào được sử dụng.

Không có biện pháp nào trong số này đòi hỏi công cụ phức tạp, nhưng chúng đòi hỏi sự nhất quán và triển khai trọn vẹn, điều mà các tổ chức thường thiếu sót.

Kết luận

Việc DeadLock sử dụng cơ sở hạ tầng blockchain để chống lại các vụ triệt phá cho thấy các nhóm ransomware đang thích ứng nhanh hơn các công cụ truyền thống được dùng để chống lại chúng. Cách tiếp cận cơ sở hạ tầng blockchain của ransomware DeadLock không thay đổi điều thực sự ngăn chặn một cuộc tấn công: phân vùng mạng mạnh mẽ, hạn chế truy cập từ xa và các bản sao lưu đáng tin cậy. Các tổ chức coi những điều cơ bản này là ưu tiên liên tục, thay vì các dự án một lần, sẽ có vị thế tốt hơn nhiều bất kể cơ sở hạ tầng của bất kỳ nhóm nào trở nên phục hồi đến đâu.