Forscher, die HYFLOCK beobachten, beschreiben eine Ransomware-Operation, die ständig weiterentwickelt wird. Dem Bericht zufolge haben ihre Betreiber aufeinanderfolgende Windows-Verschlüsselungsprogramme entwickelt, die Dateien sperren, auf Netzwerkfreigaben zugreifen und versuchen, die Wiederherstellung zu behindern. Der Quellartikel ist knapp an technischen Details, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und konzentriert sich auf praktische Schritte zum Schutz vor HYFLOCK-Ransomware für Personen, die Windows-PCs zu Hause oder in einem kleinen Büro betreiben.

Was die neuen Verschlüsselungsprogramme von HYFLOCK tun

Das berichtete Verhalten lässt sich in drei Teile gliedern. Erstens sperren die Verschlüsselungsprogramme Dateien auf dem infizierten Windows-Rechner und machen Dokumente, Fotos und andere Daten ohne Schlüssel unlesbar. Zweitens reichen sie über die lokale Festplatte hinaus bis zu Netzwerkfreigaben, was bedeutet, dass ein einziger kompromittierter PC Dateien beeinträchtigen kann, die auf einem NAS, einem gemeinsamen Büroordner oder dem freigegebenen Laufwerk eines anderen Computers gespeichert sind. Drittens versuchen sie, die Wiederherstellung zu behindern, indem sie die Optionen angreifen, die ein Opfer normalerweise nutzen würde, um Dateien zurückzubekommen.

Das Wort „aufeinanderfolgend" ist wichtig. Es deutet darauf hin, dass die Betreiber verbesserte Versionen ihrer Werkzeuge veröffentlichen, anstatt sich auf einen einzigen Build zu verlassen. Für Verteidiger bedeutet das, dass signaturbasierte Annahmen über eine Version möglicherweise nicht für die nächste gelten und grundlegende Resilienz wichtiger ist als die Jagd nach einer einzelnen Probe.

Der Quellartikel beschreibt nicht, wie Opfer ursprünglich kompromittiert werden, wie viel Lösegeld gefordert wird oder wie viele Organisationen betroffen sind, daher werden wir zu diesen Punkten nicht spekulieren.

Wie Ransomware Netzwerkfreigaben erreicht und die Wiederherstellung blockiert

Das allgemeine Muster ist es wert, verstanden zu werden, auch ohne HYFLOCK-spezifische Details. Ransomware, die auf einem Windows-Rechner läuft, erbt typischerweise die Berechtigungen des Kontos, das sie gestartet hat. Wenn dieses Konto einen freigegebenen Ordner öffnen kann, kann die Malware oft verschlüsseln, was sich darin befindet. Ein zugeordnetes Laufwerk, das immer verbunden und beschreibbar ist, ist praktisch eine Erweiterung der lokalen Festplatte.

Die Behinderung der Wiederherstellung ist die andere Hälfte des Problems. Viele Menschen verlassen sich auf bequeme Sicherheitsnetze: lokale Backup-Laufwerke, die eingesteckt bleiben, Cloud-Sync-Ordner oder integrierte Wiederherstellungsfunktionen. Ransomware, die versucht, die Wiederherstellung zu stören, zielt genau auf diese ab. Ein Sync-Ordner lädt verschlüsselte Kopien getreulich hoch, und eine dauerhaft angeschlossene Backup-Festplatte kann zusammen mit allem anderen verschlüsselt werden.

Das ist die zentrale Lehre aus dem HYFLOCK-Bericht: Ein Backup, auf das der infizierte Computer zugreifen und das er verändern kann, ist nicht wirklich ein Backup. Dieselbe Logik gilt für Datendiebstahl, der getrennt von der Verschlüsselung erfolgen kann. Unsere Berichterstattung über Rhysida, das nach einer Lösegeldverweigerung 5,79 TB Berliner Daten leakt zeigt, was folgen kann, wenn Opfer sich weigern zu zahlen.

Backups und Zugriffskontrollen, die den Angriff abmildern

Diese Schritte zum Schutz vor HYFLOCK-Ransomware sind allgemein bewährte Praxis und adressieren die im Bericht beschriebenen Verhaltensweisen.

  • Halten Sie ein Backup getrennt. Rotieren Sie eine externe Festplatte, die nur während eines Backups angeschlossen wird, und ziehen Sie sie danach ab. Eine Offline-Kopie kann nicht vom infizierten PC aus verschlüsselt werden.
  • Verwenden Sie versionierte oder unveränderliche Cloud-Backups. Wählen Sie einen Dienst, der frühere Dateiversionen aufbewahrt, damit Sie zu einem Zeitpunkt vor der Verschlüsselung zurückkehren können, und schützen Sie dieses Konto mit einem starken, einzigartigen Passwort und Multi-Faktor-Authentifizierung.
  • Befolgen Sie 3-2-1. Bewahren Sie drei Kopien wichtiger Daten auf zwei Medientypen auf, wobei eine extern oder offline gespeichert wird.
  • Begrenzen Sie Freigabeberechtigungen. Geben Sie jedem Benutzer und Gerät nur Zugriff auf die Ordner, die er benötigt. Vermeiden Sie es, Netzwerklaufwerke dauerhaft mit Schreibzugriff zugeordnet zu lassen, wenn Lesezugriff ausreicht.
  • Trennen Sie Admin- und Alltagskonten. Verwenden Sie für die tägliche Arbeit ein Standardkonto, damit Malware weniger Rechte erbt.
  • Patchen und aktualisieren Sie. Halten Sie Windows, Browser und Router-Firmware aktuell und lassen Sie Sicherheitssoftware aktiviert.
  • Testen Sie eine Wiederherstellung. Ein Backup, das Sie nie wiederhergestellt haben, ist eine Annahme. Versuchen Sie alle paar Monate, einige Dateien wiederherzustellen.

Angreifer setzen zunehmend Automatisierung und KI ein, um die für Eindringlinge erforderlichen Fähigkeiten zu senken – ein Trend, den wir in Anthropics Erkenntnissen über KI-fähige Hacker, die 20+ Organisationen angreifen untersucht haben. Das macht verlässliche Grundlagen wertvoller, nicht weniger.

Was ein VPN gegen Ransomware tut und was nicht

Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den Websites, die Sie besuchen. Das ist nützlich in öffentlichen WLANs und für die Privatsphäre. Es ist keine Ransomware-Abwehr. Ein VPN scannt keine Dateien, stoppt nicht die Ausführung eines schädlichen Anhangs und verhindert nicht, dass ein bereits infizierter PC lokale Dateien und Netzwerkfreigaben verschlüsselt.

Es gibt einen engen, indirekten Vorteil: Wenn Sie ein VPN nutzen, um remote auf Heim- oder Büroressourcen zuzugreifen, kann es vermeiden, Dienste wie Dateifreigaben direkt dem Internet auszusetzen. Selbst dann benötigt das VPN-Konto eine starke Authentifizierung, und das verbundene Gerät muss trotzdem sauber sein. Betrachten Sie ein VPN als eine Schicht für Privatsphäre und sicheren Fernzugriff, nicht als Ersatz für Backups und Berechtigungen.

Was das für Sie bedeutet

Der HYFLOCK-Bericht ist eine Erinnerung daran, dass es bei Ransomware nicht nur um die Datei auf Ihrem Desktop geht. Sie kann auf gemeinsam genutzten Speicher zugreifen und die Werkzeuge manipulieren, die Sie zur Wiederherstellung verwenden würden. Wenn Ihr einziges Backup immer mit Ihrem PC verbunden ist oder automatisch synchronisiert wird, könnte es das Schicksal Ihrer Dateien teilen.

Für kleine Büros ist die Exposition größer, weil gemeinsame Ordner die Arbeit aller enthalten. Ein infizierter Laptop mit weitreichendem Zugriff kann überproportionale Auswirkungen haben. Datendiebstahl ist ebenfalls ein separates Risiko: Selbst mit guten Backups können gestohlene Dateien noch geleakt werden, wie bei den IDScan-Klagen wegen eines angeblichen Verstoßes gegen 153 Mio. Führerscheine, wo die Konsequenzen exponierter Daten vor Gericht ausgetragen wurden.

Umsetzbare Erkenntnisse

  1. Prüfen Sie noch heute, wo Ihre Backups liegen und ob Ihr PC jederzeit darauf schreiben kann.
  2. Erstellen oder rotieren Sie ein Offline-Backup Ihrer wichtigsten Dateien.
  3. Überprüfen Sie, welche Netzwerkfreigaben zugeordnet sind und wer Schreibzugriff hat.
  4. Wechseln Sie für die tägliche Nutzung zu einem Nicht-Administratorkonto und aktivieren Sie Multi-Faktor-Authentifizierung für Cloud- und Backup-Konten.
  5. Testen Sie die Wiederherstellung einer Datei aus jedem Backup.

Solide Schritte zum Schutz vor HYFLOCK-Ransomware erfordern keine teuren Werkzeuge, nur Backups und Zugriffsregeln, die noch funktionieren, wenn der Angreifer das Sicherheitsnetz ins Visier nimmt. Mehr darüber, was passiert, wenn Lösegeldforderungen abgelehnt werden, lesen Sie in unserem Bericht über das Rhysida-Leak Berliner Daten, und prüfen Sie dann Ihre eigene Einrichtung, solange es noch eine Routineaufgabe ist.