Изследователи, проследяващи HYFLOCK, описват операция с рансъмуер, която непрекъснато се развива. Според доклада нейните оператори са създали последователни Windows шифровачи, които заключват файлове, получават достъп до мрежови дялове и се опитват да възпрепятстват възстановяването. Изходната статия е кратка по отношение на технически подробности, затова тази публикация се придържа към това, което е докладвано, и се фокусира върху практични стъпки за защита от рансъмуер HYFLOCK за хора, които използват Windows компютри у дома или в малък офис.

Какво правят новите шифровачи на HYFLOCK

Докладваното поведение се разделя на три части. Първо, шифровачите заключват файлове на заразената Windows машина, правейки документи, снимки и други данни нечетими без ключ. Второ, те достигат отвъд локалния диск до мрежови дялове, което означава, че един компрометиран компютър може да засегне файлове, съхранявани на NAS, споделена офис папка или споделен диск на друг компютър. Трето, те се опитват да възпрепятстват възстановяването, атакувайки опциите, които жертвата обикновено би използвала, за да си върне файловете.

Думата „последователни" е важна. Тя показва, че операторите пускат подобрени версии на своите инструменти, вместо да разчитат на единична разработка. За защитниците това означава, че предположенията, базирани на сигнатури за една версия, може да не важат за следващата, и базовата устойчивост е по-важна от преследването на който и да е отделен образец.

Изходната статия не описва подробно как жертвите са първоначално компрометирани, какъв откуп се изисква или колко организации са засегнати, затова няма да спекулираме по тези точки.

Как рансъмуерът достига до мрежови дялове и блокира възстановяването

Общият модел си заслужава разбирането дори без спецификите на HYFLOCK. Рансъмуер, работещ на Windows машина, обикновено наследява разрешенията на акаунта, който го е стартирал. Ако този акаунт може да отвори споделена папка, зловредният софтуер често може да шифрова това, което е вътре в нея. Свързан мрежов диск, който е постоянно свързан и достъпен за запис, е на практика продължение на локалния диск.

Възпрепятстването на възстановяването е другата половина на проблема. Много хора разчитат на удобни предпазни мрежи: локални резервни дискове, които остават включени, папки за синхронизиране в облака или вградени функции за възстановяване. Рансъмуерът, който се опитва да попречи на възстановяването, се насочва точно към тях. Папката за синхронизиране ще качи шифровани копия вярно, а постоянно свързаният резервен диск може да бъде шифрован заедно с всичко останало.

Това е ключовият урок от доклада за HYFLOCK: резервно копие, до което заразеният компютър може да достигне и да го промени, не е напълно резервно копие. Същата логика важи и за кражбата на данни, която може да се случи отделно от шифроването. Нашето отразяване на Rhysida изтече 5.79TB данни от Берлин след отказ да се плати откуп показва какво може да последва, когато жертвите откажат да платят.

Резервни копия и контрол на достъпа, които смекчават атаката

Тези стъпки за защита от рансъмуер HYFLOCK са обща добра практика и адресират поведението, описано в доклада.

  • Дръжте едно резервно копие изключено. Ротирайте външен диск, който е свързан само докато тече резервно копиране, след което го изключете. Офлайн копие не може да бъде шифровано от заразения компютър.
  • Използвайте версионирани или неизменяеми облачни резервни копия. Изберете услуга, която запазва предишни версии на файловете, за да можете да се върнете към точка преди шифроването, и защитете този акаунт със силна, уникална парола и многофакторна автентикация.
  • Следвайте 3-2-1. Дръжте три копия на важните данни, на два вида носители, като едно се съхранява на отдалечено място или офлайн.
  • Ограничете разрешенията за споделяне. Давайте на всеки потребител и устройство достъп само до папките, които са му необходими. Избягвайте оставянето на мрежови дискове постоянно свързани с достъп за запис, когато достъпът за четене е достатъчен.
  • Разделете администраторски и ежедневни акаунти. Използвайте стандартен акаунт за ежедневна работа, за да наследява зловредният софтуер по-малко права.
  • Прилагайте кръпки и актуализации. Поддържайте Windows, браузърите и фърмуера на рутера актуални и дръжте софтуера за сигурност включен.
  • Тествайте възстановяване. Резервно копие, което никога не сте възстановявали, е предположение. Опитвайте да възстановите няколко файла на всеки няколко месеца.

Атакуващите все по-често използват автоматизация и AI, за да намалят уменията, необходими за проникване — тенденция, която разгледахме в констатациите на Anthropic за хакери, подпомогнати от AI, ударили над 20 организации. Това прави надеждните основи по-ценни, а не по-малко.

Какво прави и какво не прави една VPN срещу рансъмуер

VPN шифрова трафика между вашето устройство и VPN сървъра и скрива вашия IP адрес от сайтовете, които посещавате. Това е полезно в публичен Wi-Fi и за поверителност. Това не е защита срещу рансъмуер. VPN не сканира файлове, не спира злонамерен прикачен файл да се изпълни и не пречи на вече заразен компютър да шифрова локални файлове и мрежови дялове.

Има една тясна, косвена полза: ако използвате VPN за отдалечен достъп до домашни или офис ресурси, това може да избегне излагането на услуги като файлови споделяния директно в интернет. Дори тогава VPN акаунтът се нуждае от силна автентикация, а свързаното устройство все още трябва да е чисто. Третирайте VPN като един слой за поверителност и сигурен отдалечен достъп, а не като заместител на резервните копия и разрешенията.

Какво означава това за вас

Докладът за HYFLOCK е напомняне, че рансъмуерът не е само за файла на вашия работен плот. Той може да достигне до споделено хранилище и да манипулира инструментите, които бихте използвали за възстановяване. Ако единственото ви резервно копие е винаги свързано с вашия компютър или се синхронизира автоматично, то може да сподели съдбата на вашите файлове.

За малките офиси излагането е по-голямо, защото споделените папки съдържат работата на всички. Един заразен лаптоп с широк достъп може да има непропорционално въздействие. Кражбата на данни също е отделен риск: дори с добри резервни копия, откраднатите файлове все още могат да бъдат изтекли, както в съдебните дела срещу IDScan за предполагаемо нарушение на 153M шофьорски книжки, където последиците от изложени данни се разиграха в съда.

Практически изводи

  1. Днес проверете къде се намират вашите резервни копия и дали вашият компютър може да пише към тях по всяко време.
  2. Създайте или ротирайте офлайн резервно копие на най-важните си файлове.
  3. Прегледайте кои мрежови дялове са свързани и кой има достъп за запис.
  4. Превключете ежедневната употреба към акаунт без администраторски права и активирайте многофакторна автентикация на облачните и резервните акаунти.
  5. Тествайте възстановяването на файл от всяко резервно копие.

Солидните стъпки за защита от рансъмуер HYFLOCK не изискват скъпи инструменти, само резервни копия и правила за достъп, които все още работят, когато атакуващият се насочи към предпазната мрежа. За повече информация какво се случва, когато исканията за откуп са отказани, прочетете нашия доклад за изтичането на данни от Берлин от Rhysida, след което одитирайте собствената си конфигурация, докато тя все още е рутинна задача.