Forskere, der følger HYFLOCK, har beskrevet en ransomware-operation, der bliver ved med at iterere. Ifølge rapporteringen har operatørerne bag bygget successive Windows-krypteringsprogrammer, der låser filer, tilgår netværksdrev og forsøger at hindre gendannelse. Kildeartiklen er kortfattet om tekniske detaljer, så dette indlæg holder sig til det, der er rapporteret, og fokuserer på praktiske trin til beskyttelse mod HYFLOCK-ransomware for personer, der bruger Windows-pc'er derhjemme eller på et lille kontor.

Hvad HYFLOCKs nye krypteringsprogrammer gør

Den rapporterede adfærd falder i tre dele. For det første låser krypteringsprogrammerne filer på den inficerede Windows-maskine, så dokumenter, billeder og andre data bliver ulæselige uden en nøgle. For det andet rækker de ud over den lokale disk til netværksdrev, hvilket betyder, at en enkelt kompromitteret pc kan påvirke filer, der er gemt på en NAS, en delt kontormappe eller en anden computers delte drev. For det tredje forsøger de at hindre gendannelse ved at gå efter de muligheder, et offer normalt ville bruge til at få filer tilbage.

Ordet "successive" er vigtigt. Det indikerer, at operatørerne udgiver forbedrede versioner af deres værktøj i stedet for at stole på en enkelt build. For forsvarere betyder det, at signaturbaserede antagelser om én version muligvis ikke holder for den næste, og grundlæggende modstandsdygtighed er vigtigere end at jagte en bestemt prøve.

Kildeartiklen beskriver ikke, hvordan ofre oprindeligt kompromitteres, hvor meget løsepenge der kræves, eller hvor mange organisationer der er berørt, så vi vil ikke spekulere i disse punkter.

Hvordan ransomware når netværksdrev og blokerer gendannelse

Det generelle mønster er værd at forstå, selv uden HYFLOCK-specifikke detaljer. Ransomware, der kører på en Windows-maskine, arver typisk tilladelserne for den konto, der startede det. Hvis den konto kan åbne en delt mappe, kan malware ofte kryptere det, der er indeni. Et tilknyttet drev, der altid er tilsluttet og skrivbart, er reelt en forlængelse af den lokale disk.

Hindring af gendannelse er den anden halvdel af problemet. Mange mennesker stoler på bekvemme sikkerhedsnet: lokale backup-drev, der forbliver tilsluttet, cloud-synkroniseringsmapper eller indbyggede gendannelsesfunktioner. Ransomware, der forsøger at forstyrre gendannelsen, sigter præcis mod disse. En synkroniseringsmappe vil trofast uploade krypterede kopier, og en permanent tilsluttet backup-disk kan blive krypteret sammen med alt andet.

Dette er den centrale lektion fra HYFLOCK-rapporteringen: en backup, som den inficerede computer kan nå og ændre, er ikke fuldt ud en backup. Den samme logik gælder for datatyveri, som kan ske separat fra kryptering. Vores dækning af Rhysida lækker 5,79TB Berlin-data efter afslag på løsepenge viser, hvad der kan følge, når ofre nægter at betale.

Backups og adgangskontroller, der sløver angrebet

Disse trin til beskyttelse mod HYFLOCK-ransomware er generel god praksis, og de adresserer den adfærd, der er beskrevet i rapporten.

  • Hold én backup afkoblet. Roter et eksternt drev, der kun er tilsluttet, mens en backup kører, og tag det derefter ud. En offline kopi kan ikke krypteres fra den inficerede pc.
  • Brug versionsstyrede eller uforanderlige cloud-backups. Vælg en tjeneste, der beholder tidligere filversioner, så du kan rulle tilbage til et tidspunkt før kryperingen, og beskyt den konto med en stærk, unik adgangskode og multifaktorautentificering.
  • Følg 3-2-1. Hold tre kopier af vigtige data på to typer medier, med én gemt eksternt eller offline.
  • Begræns delingstilladelser. Giv hver bruger og enhed adgang kun til de mapper, den har brug for. Undgå at lade netværksdrev være permanent tilknyttet med skriveadgang, når læseadgang er nok.
  • Adskil admin- og dagligdags-konti. Brug en standardkonto til dagligt arbejde, så malware arver færre rettigheder.
  • Patch og opdater. Hold Windows, browsere og router-firmware opdateret, og hold sikkerhedssoftware aktiveret.
  • Test en gendannelse. En backup, du aldrig har gendannet, er en antagelse. Prøv at gendanne et par filer hver par måneder.

Angribere bruger i stigende grad automatisering og AI til at sænke den nødvendige kompetence til indtrængen, en tendens vi undersøgte i Anthropics fund om AI-aktiverede hackere, der rammer 20+ organisationer. Det gør pålidelige basisting mere værdifulde, ikke mindre.

Hvad en VPN gør og ikke gør mod ransomware

En VPN krypterer trafik mellem din enhed og VPN-serveren og skjuler din IP-adresse for de websteder, du besøger. Det er nyttigt på offentligt Wi-Fi og for privatliv. Det er ikke et ransomware-forsvar. En VPN scanner ikke filer, stopper ikke en ondsindet vedhæftet fil i at køre eller forhindrer en allerede inficeret pc i at kryptere lokale filer og netværksdrev.

Der er én snæver, indirekte fordel: hvis du bruger en VPN til at nå hjemme- eller kontorressourcer eksternt, kan det undgå at eksponere tjenester som fildelinger direkte mod internettet. Selv da har VPN-kontoen brug for stærk autentificering, og den tilsluttede enhed skal stadig være ren. Behandl en VPN som et lag til privatliv og sikker fjernadgang, ikke som en erstatning for backups og tilladelser.

Hvad dette betyder for dig

HYFLOCK-rapporteringen er en påmindelse om, at ransomware ikke kun handler om filen på dit skrivebord. Det kan nå delt lager og manipulere de værktøjer, du ville bruge til at gendanne. Hvis din eneste backup altid er tilsluttet din pc eller synkroniseres automatisk, kan den dele skæbne med dine filer.

For små kontorer er eksponeringen større, fordi delte mapper indeholder alles arbejde. En inficeret bærbar computer med bred adgang kan have uforholdsmæssigt stor indvirkning. Datatyveri er også en separat risiko: selv med gode backups kan stjålne filer stadig lækkes, som i IDScan-retssagerne om et påstået brud på 153 mio. kørekort, hvor konsekvenserne af eksponerede data udspillede sig i retten.

Handlingsorienterede pointer

  1. I dag: tjek, hvor dine backups ligger, og om din pc kan skrive til dem hele tiden.
  2. Opret eller roter en offline backup af dine vigtigste filer.
  3. Gennemgå, hvilke netværksdrev der er tilknyttet, og hvem der har skriveadgang.
  4. Skift daglig brug til en ikke-administrativ konto, og aktivér multifaktorautentificering på cloud- og backup-konti.
  5. Test gendannelse af en fil fra hver backup.

Solide trin til beskyttelse mod HYFLOCK-ransomware kræver ikke dyre værktøjer, bare backups og adgangsregler, der stadig virker, når angriberen går efter sikkerhedsnettet. For mere om, hvad der sker, når løsepengekrav afvises, læs vores rapport om Rhysida-lækagen af Berlin-data, og revider derefter din egen opsætning, mens det stadig er en rutineopgave.