În acest material discutăm despre DeadLock, un tip de ransomware care reușește să dezactiveze soluțiile de securitate de pe stațiile infectate.
Atacurile ransomware continuă să evolueze, iar infractorii cibernetici folosesc metode tot mai sofisticate pentru a evita detectarea și pentru a împiedica organizațiile să își recupereze datele. Un exemplu recent este DeadLock ransomware, o amenințare care a fost observată utilizând o tehnică de tip „Bring Your Own Vulnerable Driver” (BYOVD) pentru a neutraliza soluțiile de securitate instalate pe sistemele Windows.
Spre deosebire de atacurile ransomware clasice, în care obiectivul principal este criptarea fișierelor și solicitarea unei răscumpărări, campania analizată de cercetătorii Cisco Talos începe prin eliminarea mecanismelor de apărare. Atacatorii exploatează un driver legitim, dar vulnerabil, pentru a putea opri procesele EDR și antivirus înainte de executarea ransomware-ului.
Situația evidențiază o problemă importantă pentru organizațiile care se bazează pe soluții moderne de endpoint security. Un EDR poate oferi vizibilitate și protecție avansată, însă un atacator care reușește să ajungă la nivelul kernelului poate încerca să dezactiveze chiar mecanismele care ar trebui să detecteze și să blocheze atacul. Din acest motiv, protecția împotriva ransomware trebuie construită pe mai multe niveluri și trebuie să includă prevenția, detectarea, răspunsul și recuperarea.
DeadLock dezactivează protecțiile înainte de criptarea datelor
Potrivit analizei Cisco Talos, atacatorii din spatele campaniei DeadLock au folosit tehnica BYOVD pentru a introduce în sistem un driver legitim, dar vulnerabil. Este vorba despre BdApiUtil.sys, asociat software-ului Baidu Antivirus și afectat de vulnerabilitatea CVE-2024-51324. Problema permite unui proces să determine driverul să închidă procese la nivelul kernelului, oferind atacatorilor posibilitatea de a neutraliza componentele de securitate.
În cadrul atacului, driverul este redenumit DriverGay.sys, iar un loader denumit EDRGay.exe este folosit pentru inițializarea și controlul acestuia. Prin intermediul driverului, atacatorii pot identifica și opri procese asociate soluțiilor antivirus și EDR. Deoarece operațiunile au loc la nivel de kernel, mecanismul poate permite ocolirea unor protecții care, în mod normal, ar trebui să detecteze sau să blocheze ransomware-ul.
După dezactivarea mecanismelor de securitate, atacatorii folosesc PowerShell pentru pregătirea sistemului. Sunt dezactivate Windows Defender și alte servicii de securitate, sunt oprite servicii asociate bazelor de date și soluțiilor de backup și sunt șterse copiile Shadow Volume. Aceste acțiuni reduc semnificativ posibilitățile de recuperare după criptarea datelor. Printre aplicațiile vizate se află servicii asociate Microsoft SQL Server, Veeam și Symantec Endpoint Protection.
Campania nu se limitează la un singur sistem. Cercetătorii au observat utilizarea unor conturi valide, acces prin Remote Desktop Protocol (RDP) și instalarea discretă a AnyDesk pentru menținerea accesului. Odată obținut accesul, atacatorii pot analiza infrastructura și se pot deplasa lateral către sisteme și servere importante. Acest comportament crește riscul ca un incident inițial să se transforme într-un atac extins asupra întregii infrastructuri IT.
DeadLock folosește și tehnici de evitare a detecției. Malware-ul poate utiliza procesul legitim rundll32.exe pentru a-și masca activitatea, iar criptarea este realizată în mai multe fire de execuție. Anumite fișiere și directoare critice sunt excluse pentru ca sistemul să rămână funcțional și să poată afișa mesajul de răscumpărare. Analiza indică, de asemenea, existența unui bloc de configurare de aproximativ 8.888 de octeți, care controlează diferite aspecte ale comportamentului malware-ului.
Tehnica BYOVD este deosebit de relevantă deoarece atacatorii nu încearcă doar să pătrundă în sistem, ci să elimine mecanismele care ar putea detecta atacul. Astfel, ransomware-ul poate ajunge să opereze într-un mediu în care antivirusul, EDR-ul și mecanismele de recuperare au fost deja compromise.
De ce protecția ransomware este importantă pentru conformitatea NIS2
Pentru organizațiile aflate sub incidența NIS2, ransomware-ul nu reprezintă doar un risc operațional, ci și un element care trebuie inclus în cadrul general de gestionare a riscurilor de securitate cibernetică. Directiva stabilește cerințe privind măsurile de gestionare a riscurilor și securitatea rețelelor și sistemelor informatice, ceea ce face ca protecția împotriva unor amenințări precum ransomware să devină o componentă importantă a strategiei de securitate.
În cazul unui atac precum DeadLock, protecția trebuie să acopere mai mult decât endpoint-ul. Gestionarea vulnerabilităților, controlul accesului, segmentarea rețelei, protejarea conturilor privilegiate, monitorizarea activității neobișnuite și existența unor copii de siguranță protejate sunt măsuri care pot contribui la reducerea riscului și la limitarea impactului unui incident. Capacitatea de a detecta, răspunde și recupera după un atac este la fel de importantă precum prevenirea acestuia.
NIS2 include și obligații privind gestionarea și raportarea incidentelor semnificative. Pentru organizațiile vizate, un atac ransomware trebuie, prin urmare, tratat ca un scenariu care necesită proceduri clare de răspuns, responsabilități definite și capacitatea de a limita rapid consecințele. O strategie solidă de protecție ransomware contribuie astfel atât la reziliența operațională, cât și la îndeplinirea cerințelor de securitate prevăzute de cadrul NIS2.
Concluzie
Campania DeadLock demonstrează evoluția continuă a ransomware-ului și modul în care atacatorii încearcă să elimine mecanismele defensive înainte de criptarea datelor. Utilizarea tehnicii BYOVD și exploatarea unui driver vulnerabil pentru a opri soluțiile EDR transformă atacul într-o amenințare care trebuie analizată la nivelul întregii infrastructuri.
Pentru organizații, lecția principală este că protecția împotriva ransomware nu poate depinde de un singur produs. EDR-ul, antivirusul, backup-ul, segmentarea rețelei, controlul privilegiilor, autentificarea multifactor, managementul vulnerabilităților și planurile de răspuns trebuie să funcționeze împreună.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
