Výzkumníci z Check Point Exposure Management objevili v ransomwaru HYFLOCK slabiny v šifrování, které jim umožnily obnovit zašifrovaná data bez klíče útočníků. Tento nález je užitečnou připomínkou, že ransomware je software a software může mít chyby. Pro každého, kdo se obává vydírání, je dešifrování ransomwaru HYFLOCK bez klíče pozoruhodným výsledkem, i když s sebou nese důležitá upozornění.

Zdrojová zpráva je stručná, proto se tento článek drží toho, co bylo potvrzeno: výzkumníci identifikovali v HYFLOCK kryptografické slabiny a tyto slabiny umožnily obnovu bez placení nebo spoléhání se na zločince.

Jak výzkumníci prolomili šifrování HYFLOCK

Ransomware obvykle funguje tak, že zašifruje soubory oběti a poté požaduje platbu za klíč potřebný k jejich odemčení. Síla tohoto schématu závisí výhradně na tom, jak dobře je šifrování implementováno. I když varianta používá dobře známé algoritmy, chyby ve způsobu generování, ukládání nebo aplikace klíčů mohou nechat otevřené dveře.

Podle zprávy našli výzkumníci z Check Point Exposure Management v HYFLOCK slabiny tohoto druhu. Tyto chyby jim umožnily obnovit data bez klíče, který by útočníci běžně měli. Zpráva v materiálu, který máme k dispozici, neposkytuje další technické podrobnosti, proto nebudeme spekulovat o konkrétním mechanismu, o tom, které verze jsou zasaženy, ani o tom, zda existuje veřejný dešifrovací nástroj.

Co to znamená pro oběti ransomwaru

Základní ponaučení je jednoduché: placení není jediná cesta a mělo by být jen zřídka tou první. Pokud má varianta zneužitelnou chybu, oběti mohou být schopny obnovit soubory bez nákladů. Výzkumníci a bezpečnostní společnosti někdy takové nálezy zveřejňují, aby z nich mohli těžit ostatní.

Pokud se někdy stanete terčem ransomwaru, zvažte před jednáním s útočníky tyto kroky:

  • Izolujte zasažené zařízení od sítě, abyste omezili další šíření.
  • Zachovejte zašifrované soubory a jakoukoli výkupnou zprávu. Pomohou odborníkům identifikovat variantu.
  • Hledejte legitimní nástroje pro obnovu od renomovaných bezpečnostních dodavatelů a výzkumníků a před stažením čehokoli si ověřte, že zdroj je důvěryhodný.
  • Kontaktujte kvalifikovaného odborníka na reakci na incidenty, pokud jsou data pro firmu kritická.

Buďte opatrní při stahování „dešifrátorů“ z neověřených zdrojů. Falešné nástroje pro obnovu jsou známým způsobem, jak způsobit druhou infekci, proto si vše před spuštěním ověřte.

Proč chyba v jedné variantě není záchranná síť

Bylo by chybou číst tento výzkum jako důkaz, že ransomware lze snadno porazit. Slabina v HYFLOCK neznamená, že ostatní varianty lze prolomit. Většina provozovatelů ransomwaru má silné pobídky opravit chyby, jakmile jsou odhaleny, a zveřejněná chyba může vést k opravené verzi, která již stejnou slabinu nemá.

Obnova také závisí na načasování a okolnostech. Data, která již byla odcizena, nelze vrátit, i když zašifrované kopie lze obnovit. Mnoho incidentů ransomwaru zahrnuje jak šifrování, tak krádež dat, takže úspěšné dešifrování nevymaže důsledky pro soukromí. Únik dat HandyTrac v nemovitosti spravované společností Greystar je reálným příkladem toho, jak incident ransomwaru může odhalit citlivé informace daleko za rámec souborů původní oběti.

Praktické kroky k ochraně souborů a zařízení

Nikdo by neměl spoléhat na to, že útočníci udělají kryptografické chyby. Mnohem důležitější jsou silné návyky:

  1. Udržujte offline zálohy. Mějte alespoň jednu zálohu odpojenou od počítače a sítě, aby ji ransomware nemohl zašifrovat. Pravidelně testujte obnovu z ní.
  2. Dodržujte přístup 3-2-1. Uchovávejte tři kopie důležitých dat na dvou typech úložišť, přičemž jedna kopie je mimo pracoviště nebo offline.
  3. Aktualizujte software včas. Operační systémy, prohlížeče a aplikace by měly dostávat bezpečnostní záplaty, jakmile jsou k dispozici.
  4. Vyhýbejte se podezřelým stahováním a přílohám. Pirátěný software, neočekávané e-mailové přílohy a neznámé odkazy jsou běžné cesty doručení.
  5. Používejte silná, jedinečná hesla a vícefaktorové ověřování, abyste útočníkům ztížili získání opěrného bodu.
  6. Omezte oprávnění účtů. Pro každodenní práci používejte standardní účet, nikoli účet správce.

VPN může chránit váš provoz v nedůvěryhodných sítích, ale sama o sobě ransomware nezastaví. Zálohy, aktualizace a opatrné chování jsou zde tím, na čem záleží.

Co to znamená pro vás

Pro většinu čtenářů je hlavní sdělení o přípravě a trpělivosti. Pokud vám někdy ransomware zamkne soubory, nepropadejte panice a neplaťte okamžitě. Ověřte, zda existuje legitimní možnost obnovy, protože výzkum, jako je ten od Check Point, ukazuje, že některé varianty lze porazit. Zároveň berte každý incident ransomwaru jako možný případ krádeže dat: změňte hesla, sledujte známky zneužití a řiďte se pokyny organizace, která vaše data uchovává.

Klíčové poznatky

Zjištění, že dešifrování ransomwaru HYFLOCK bez klíče je možné, je povzbudivé, ale je spíše výjimkou než pravidlem. Udržujte offline zálohy, vyhýbejte se podezřelým stahováním a nikdy neplaťte výkupné, dokud neprověříte legitimní nástroje pro obnovu. Chcete-li vidět, jak ransomware může zasáhnout lidi daleko za rámec původní oběti, přečtěte si o úniku dat HandyTrac a zamyslete se, jak by vypadaly vaše vlastní zálohovací a bezpečnostní rutiny v podobné situaci.