Výzkumníci sledující HYFLOCK popsali ransomwarevou operaci, která neustále iteruje. Podle zpráv její operátoři vytvořili sérii po sobě jdoucích Windows šifrovačů, které zamykají soubory, přistupují k síťovým sdílením a pokoušejí se bránit obnově dat. Zdrojový článek je stručný co do technických detailů, proto se tento příspěvek drží toho, co bylo reportováno, a zaměřuje se na praktické kroky k ochraně před ransomwarem HYFLOCK pro lidi, kteří provozují Windows PC doma nebo v malé kanceláři.

Co dělají nové šifrovače HYFLOCK

Reportované chování se dělí na tři části. Za prvé, šifrovače zamykají soubory na infikovaném Windows stroji, čímž činí dokumenty, fotografie a další data nečitelnými bez klíče. Za druhé, dostávají se za hranice lokálního disku k síťovým sdílením, což znamená, že jeden kompromitovaný PC může ovlivnit soubory uložené na NAS, ve sdílené kancelářské složce nebo na sdíleném disku jiného počítače. Za třetí, pokoušejí se bránit obnově dat tím, že útočí na možnosti, které by oběť normálně použila k získání souborů zpět.

Slovo „postupné" je důležité. Naznačuje, že operátoři vydávají vylepšené verze svých nástrojů, místo aby se spoléhali na jediný build. Pro obránce to znamená, že předpoklady založené na signaturách jedné verze nemusí platit pro tu následující a základní odolnost je důležitější než honba za jakýmkoli jedním vzorkem.

Zdrojový článek neuvádí, jak jsou oběti zpočátku kompromitovány, kolik výkupného je požadováno ani kolik organizací je zasaženo, proto o těchto bodech nebudeme spekulovat.

Jak se ransomware dostane k síťovým sdílením a blokuje obnovu

Obecný vzorec stojí za pochopení i bez specifických detailů HYFLOCK. Ransomware běžící na Windows stroji obvykle dědí oprávnění účtu, který jej spustil. Pokud tento účet může otevřít sdílenou složku, malware často dokáže zašifrovat její obsah. Mapovaný disk, který je neustále připojen a zapisovatelný, je fakticky rozšířením lokálního disku.

Bránící obnově je druhá polovina problému. Mnoho lidí se spoléhá na pohodlné záchranné sítě: lokální záložní disky, které zůstávají připojené, složky cloudové synchronizace nebo vestavěné funkce obnovení. Ransomware, který se snaží zasáhnout do obnovy, cílí právě na tyto. Synchronizační složka věrně nahraje zašifrované kopie a trvale připojený záložní disk může být zašifrován spolu se vším ostatním.

To je klíčové poučení ze zpráv o HYFLOCK: záloha, ke které se infikovaný počítač může dostat a může ji měnit, není plnohodnotnou zálohou. Stejná logika platí pro krádež dat, která může proběhnout odděleně od šifrování. Naše pokrytí Rhysida uniká 5,79 TB berlínských dat po odmítnutí výkupného ukazuje, co může následovat, když oběti odmítnou zaplatit.

Zálohy a řízení přístupu, které otupují útok

Tyto kroky k ochraně před ransomwarem HYFLOCK jsou obecnou dobrou praxí a řeší chování popsané ve zprávě.

  • Udržujte jednu zálohu odpojenou. Střídejte externí disk, který je připojen pouze po dobu zálohování, a poté jej odpojte. Offline kopii nelze z infikovaného PC zašifrovat.
  • Používejte verzované nebo neměnné cloudové zálohy. Zvolte službu, která uchovává předchozí verze souborů, abyste se mohli vrátit k bodu před šifrováním, a chraňte tento účet silným, jedinečným heslem a vícefaktorovou autentizací.
  • Dodržujte 3-2-1. Uchovávejte tři kopie důležitých dat na dvou typech médií, přičemž jedna je uložena mimo lokalitu nebo offline.
  • Omezte oprávnění ke sdílení. Dejte každému uživateli a zařízení přístup pouze ke složkám, které potřebuje. Vyhněte se trvale mapovaným síťovým diskům s právem zápisu, když stačí právo čtení.
  • Oddělte administrátorské a každodenní účty. Pro každodenní práci používejte standardní účet, aby malware zdědil méně práv.
  • Aktualizujte a záplatujte. Udržujte Windows, prohlížeče a firmware routeru aktuální a mějte zapnutý bezpečnostní software.
  • Otestujte obnovu. Záloha, kterou jste nikdy neobnovili, je jen předpoklad. Zkuste každých několik měsíců obnovit několik souborů.

Útočníci stále více využívají automatizaci a AI ke snížení dovedností potřebných k průnikům, trendu, který jsme zkoumali v zjištěních Anthropicu o hackerech s podporou AI útočících na 20+ organizací. To činí spolehlivé základy cennějšími, nikoli méně.

Co VPN dělá a co nedělá proti ransomware

VPN šifruje provoz mezi vaším zařízením a VPN serverem a skrývá vaši IP adresu před navštěvovanými stránkami. To je užitečné na veřejných Wi-Fi a pro soukromí. Není to obrana proti ransomwaru. VPN naskenuje soubory, nezastaví spuštění škodlivé přílohy ani nezabrání již infikovanému PC v šifrování lokálních souborů a síťových sdílení.

Existuje jeden úzký, nepřímý přínos: pokud používáte VPN pro vzdálený přístup k domácím nebo kancelářským prostředkům, může zabránit přímému vystavení služeb, jako jsou sdílené složky, internetu. I tak však účet VPN potřebuje silnou autentizaci a připojené zařízení musí být stále čisté. Berte VPN jako jednu vrstvu pro soukromí a bezpečný vzdálený přístup, nikoli jako náhradu za zálohy a oprávnění.

Co to znamená pro vás

Zprávy o HYFLOCK jsou připomínkou, že ransomware není jen o souboru na vaší ploše. Může dosáhnout na sdílené úložiště a manipulovat s nástroji, které byste použili k obnově. Pokud je vaše jediná záloha vždy připojena k PC nebo se automaticky synchronizuje, může sdílet osud vašich souborů.

Pro malé kanceláře je expozice větší, protože sdílené složky obsahují práci všech. Jeden infikovaný notebook s širokým přístupem může mít nepřiměřený dopad. Krádež dat je také samostatné riziko: i s dobrými zálohami mohou být ukradené soubory stále uniknout, jako v případě žalob IDScan kvůli údajnému úniku 153 milionů řidičských průkazů, kde se důsledky exponovaných dat odehrály u soudu.

Praktické závěry

  1. Ještě dnes zkontrolujte, kde jsou vaše zálohy a zda do nich váš PC může kdykoli zapisovat.
  2. Vytvořte nebo obnovte offline zálohu svých nejdůležitějších souborů.
  3. Zkontrolujte, které síťové sdílení jsou mapované a kdo má právo zápisu.
  4. Přepněte každodenní používání na účet bez administrátorských práv a zapněte vícefaktorovou autentizaci u cloudových a záložních účtů.
  5. Otestujte obnovení souboru z každé zálohy.

Solidní kroky k ochraně před ransomwarem HYFLOCK nevyžadují drahé nástroje, jen zálohy a pravidla přístupu, která stále fungují, když útočník zaútočí na záchrannou síť. Více o tom, co se stane, když jsou požadavky na výkupné odmítnuty, si přečtěte v naší zprávě o úniku berlínských dat Rhysida, a poté si projděte vlastní nastavení, dokud je to ještě rutinní úkol.