Check Point Exposure Management-forskere har fundet krypteringssvagheder i HYFLOCK-ransomware, som gjorde det muligt for dem at gendanne krypterede data uden angribernes nøgle. Fundet er en nyttig påmindelse om, at ransomware er software, og software kan være fejlbehæftet. For alle, der er bekymrede for afpresning, er dekryptering af HYFLOCK-ransomware uden nøgle et bemærkelsesværdigt resultat, selvom det kommer med vigtige forbehold.
Kilderapporten er kort, så denne artikel holder sig til det, der er bekræftet: Forskerne identificerede kryptografiske svagheder i HYFLOCK, og disse svagheder gjorde gendannelse mulig uden at betale eller være afhængig af kriminelle.
Hvordan forskerne brød HYFLOCKs kryptering
Ransomware fungerer typisk ved at kryptere en victims filer og derefter kræve betaling for den nøgle, der er nødvendig for at låse dem op. Styrken af denne ordning afhænger helt af, hvor godt krypteringen er implementeret. Selv når en strain bruger velkendte algoritmer, kan fejl i, hvordan nøgler genereres, lagres eller anvendes, efterlade en dør åben.
Ifølge rapporten fandt Check Point Exposure Management-forskere svagheder af denne type i HYFLOCK. Disse fejl gjorde det muligt for dem at gendanne data uden den nøgle, som angriberne normalt ville være i besiddelse af. Rapporten giver ikke yderligere teknisk detaljer i det materiale, der er tilgængeligt for os, så vi vil ikke spekulere i den specifikke mekanisme, hvilke versioner der er berørt, eller om der findes et offentligt dekrypteringsværktøj.
Hvad dette betyder for ofre for ransomware
Den centrale lektie er enkel: Betaling er ikke den eneste vej, og den bør sjældent være den første. Hvis en strain har en udnyttelig fejl, kan ofre muligvis gendanne filer uden omkostninger. Forskere og sikkerhedsvirksomheder offentliggør nogle gange sådanne fund, så andre kan drage fordel af dem.
Hvis du nogensinde bliver ramt af ransomware, bør du overveje disse trin, før du interagerer med angriberne:
- Isolér den berørte enhed fra netværket for at begrænse yderligere spredning.
- Bevar de krypterede filer og eventuelle ransom notes. De hjælper eksperter med at identificere strainen.
- Søg efter legitime gendannelsesværktøjer fra pålidelige sikkerhedsleverandører og forskere, og bekræft, at kilden er troværdig, før du downloader noget.
- Kontakt en kvalificeret incident response-professionel, hvis dataene er forretningskritiske.
Vær forsigtig med downloads af "decryptors" fra ubekræftede kilder. Falske gendannelsesværktøjer er en velkendt måde at forårsage en sekundær infektion, så verificér, før du kører noget.
Hvorfor en fejl i én strain ikke er et sikkerhedsnet
Det ville være en fejl at læse denne forskning som bevis på, at ransomware er let at besejre. En svaghed i HYFLOCK betyder ikke, at andre strains kan brydes. De fleste ransomware-operatører har stærke incitamenter til at rette fejl, når de er afsløret, og en offentliggjort fejl kan føre til en patchet version, der ikke længere har den samme svaghed.
Gendannelse afhænger også af timing og omstændigheder. Data, der allerede er stjålet, kan ikke gøres ustjålne, selvom de krypterede kopier kan gendannes. Mange ransomware-hændelser involverer både kryptering og datatyveri, så en vellykket dekryptering fjerner ikke konsekvenserne for privatlivet. HandyTrac-bruddet på en Greystar-administreret ejendom er et virkeligt eksempel på, hvordan en ransomware-hændelse kan eksponere følsomme oplysninger langt ud over den oprindelige victims filer.
Praktiske trin til at beskytte dine filer og enheder
Ingen bør regne med, at angribere begår kryptografiske fejl. Stærke vaner betyder langt mere:
- Hold offline-backups. Vedligehold mindst én backup, der er afbrudt fra din computer og dit netværk, så ransomware ikke kan kryptere den. Test gendannelse fra den med jævne mellemrum.
- Følg 3-2-1-tilgangen. Hold tre kopier af vigtige data på to typer lager med én kopi off-site eller offline.
- Opdater software hurtigt. Styresystemer, browsere og applikationer bør modtage sikkerhedsrettelser, så snart de er tilgængelige.
- Undgå mistænkelige downloads og vedhæftede filer. Piratkopieret software, uventede email-vedhæftede filer og ukendte links er almindelige leveringsveje.
- Brug stærke, unikke adgangskoder og multifaktorautentificering for at gøre det sværere for angribere at få fodfæste.
- Begræns kontoprivilegier. Brug en standardkonto til dagligt arbejde i stedet for en administratorkonto.
En VPN kan beskytte din trafik på utroværdige netværk, men den stopper ikke ransomware alene. Backups, opdateringer og forsigtig adfærd er de forsvar, der tæller her.
Hvad dette betyder for dig
For de fleste læsere handler det om forberedelse og tålmodighed. Hvis ransomware nogensinde låser dine filer, så gå ikke i panik, og betal ikke med det samme. Undersøg, om der findes en legitim gendannelsesmulighed, da forskning som Check Points viser, at nogle strains kan besejres. Samtidig bør du behandle enhver ransomware-hændelse som en mulig datatyveri-hændelse: Skift adgangskoder, hold øje med tegn på misbrug, og følg vejledningen fra den organisation, der har dine data.
Vigtige pointer
Fundet af, at dekryptering af HYFLOCK-ransomware uden nøgle er muligt, er opmuntrende, men det er undtagelsen snarere end reglen. Hold offline-backups, undgå mistænkelige downloads, og betal aldrig en løsesum, før du har undersøgt muligheden for legitime gendannelsesværktøjer. For at se, hvordan ransomware kan påvirke folk langt ud over det oprindelige offer, kan du læse om HandyTrac-bruddet og overveje, hvordan dine egne backup- og sikkerhedsrutiner ville se ud i en lignende situation.
