Изследователи от Check Point Exposure Management откриха слабости в криптирането на рансъмуера HYFLOCK, които им позволиха да възстановят криптирани данни без ключа на атакуващите. Откритието е полезно напомняне, че рансъмуерът е софтуер, а софтуерът може да има дефекти. За всеки, който се тревожи от изнудване, дешифрирането на рансъмуера HYFLOCK без ключ е забележителен резултат, макар и с важни уточнения.

Изходният доклад е кратък, затова тази статия се придържа към потвърденото: изследователите са идентифицирали криптографски слабости в HYFLOCK и тези слабости са направили възстановяването възможно без плащане и без разчитане на престъпниците.

Как изследователите разбиха криптирането на HYFLOCK

Рансъмуерът обикновено работи, като криптира файловете на жертвата и след това иска плащане за ключа, необходим за отключването им. Силата на тази схема зависи изцяло от това колко добре е реализирано криптирането. Дори когато даден щам използва добре известни алгоритми, грешки при генерирането, съхранението или прилагането на ключовете могат да оставят отворена врата.

Според доклада изследователите от Check Point Exposure Management са открили слабости от този вид в HYFLOCK. Тези дефекти им позволиха да възстановят данни без ключа, който атакуващите обикновено държат. Докладът не предоставя допълнителни технически подробности в наличните за нас материали, затова няма да спекулираме за конкретния механизъм, кои версии са засегнати или дали съществува публичен инструмент за дешифриране.

Какво означава това за жертвите на рансъмуер

Основният урок е прост: плащането не е единственият път и рядко трябва да бъде първият. Ако даден щам има експлоатируем дефект, жертвите може да успеят да възстановят файловете си без разходи. Изследователи и компании за сигурност понякога публикуват такива открития, за да могат други да се възползват.

Ако някога станете жертва на рансъмуер, обмислете следните стъпки, преди да влезете в контакт с атакуващите:

  • Изолирайте засегнатото устройство от мрежата, за да ограничите по-нататъшното разпространение.
  • Запазете криптираните файлове и всяка бележка с искане за откуп. Те помагат на експертите да идентифицират щама.
  • Търсете легитимни инструменти за възстановяване от реномирани доставчици на сигурност и изследователи и се уверявайте, че източникът е надежден, преди да изтеглите каквото и да е.
  • Свържете се с квалифициран специалист по реагиране на инциденти, ако данните са критични за бизнеса.

Бъдете внимателни с изтегляния на „декриптори“ от непроверени източници. Фалшивите инструменти за възстановяване са добре известен начин да се предизвика втора инфекция, затова проверявайте, преди да стартирате каквото и да е.

Защо дефект в един щам не е предпазна мрежа

Би било грешка да се приеме това изследване като доказателство, че рансъмуерът е лесен за побеждаване. Слабост в HYFLOCK не означава, че други щамове са пробиваеми. Повечето оператори на рансъмуер имат силни стимули да поправят грешките, след като бъдат разкрити, а публикуван дефект може да доведе до коригирана версия, която вече не съдържа същата слабост.

Възстановяването също зависи от времето и обстоятелствата. Данни, които вече са откраднати, не могат да бъдат „върнати“, дори ако криптираните копия могат да бъдат възстановени. Много инциденти с рансъмуер включват както криптиране, така и кражба на данни, така че успешното дешифриране не заличава последствията за поверителността. Пробивът при HandyTrac в имот, управляван от Greystar, е реален пример за това как инцидент с рансъмуер може да изложи чувствителна информация далеч отвъд първоначалните файлове на жертвата.

Практични стъпки за защита на вашите файлове и устройства

Никой не трябва да разчита, че атакуващите ще допускат криптографски грешки. Силните навици имат много по-голямо значение:

  1. Поддържайте офлайн резервни копия. Дръжте поне едно резервно копие, изключено от компютъра и мрежата ви, така че рансъмуерът да не може да го криптира. Периодично тествайте възстановяването от него.
  2. Следвайте подхода 3-2-1. Пазете три копия на важните данни, на два вида носители, като едното копие е извън обекта или офлайн.
  3. Актуализирайте софтуера своевременно. Операционните системи, браузърите и приложенията трябва да получават защитни кръпки веднага щом станат налични.
  4. Избягвайте подозрителни изтегляния и прикачени файлове. Пиратският софтуер, неочакваните имейл прикачени файлове и непознатите връзки са чести пътища за доставяне.
  5. Използвайте силни, уникални пароли и многофакторна автентикация, за да затрудните атакуващите да си осигурят позиция.
  6. Ограничете привилегиите на акаунтите. Използвайте стандартен акаунт за ежедневна работа, а не администраторски акаунт.

VPN може да защити трафика ви в ненадеждни мрежи, но сам по себе си не спира рансъмуера. Резервните копия, актуализациите и внимателното поведение са защитите, които имат значение тук.

Какво означава това за вас

За повечето читатели изводът е за подготовката и търпението. Ако рансъмуер някога заключи файловете ви, не се паникьосвайте и не плащайте веднага. Проверете дали съществува легитимна опция за възстановяване, тъй като изследвания като това на Check Point показват, че някои щамове могат да бъдат победени. В същото време третирайте всеки инцидент с рансъмуер като възможен случай на кражба на данни: сменете паролите, следете за признаци на злоупотреба и следвайте указанията на организацията, която съхранява данните ви.

Ключови изводи

Откритието, че дешифрирането на рансъмуера HYFLOCK без ключ е възможно, е окуражаващо, но то е по-скоро изключение, отколкото правило. Пазете офлайн резервни копия, избягвайте подозрителни изтегляния и никога не плащайте откуп, преди да проверите за легитимни инструменти за възстановяване. За да видите как рансъмуерът може да засегне хора далеч отвъд първоначалната жертва, прочетете за пробива при HandyTrac и помислете как биха изглеждали вашите собствени рутини за резервни копия и сигурност в подобна ситуация.