Οι ερευνητές που παρακολουθούν το HYFLOCK έχουν περιγράψει μια επιχείρηση ransomware που συνεχώς εξελίσσεται. Σύμφωνα με το δημοσίευμα, οι διαχειριστές του έχουν κατασκευάσει διαδοχικούς κρυπτογραφητές για Windows που κλειδώνουν αρχεία, αποκτούν πρόσβαση σε δικτυακούς κοινόχρηστους φακέλους και επιχειρούν να εμποδίσουν την ανάκτηση. Το αρχικό άρθρο είναι σύντομο σε τεχνικές λεπτομέρειες, οπότε αυτό το άρθρο περιορίζεται σε όσα έχουν αναφερθεί και εστιάζει σε πρακτικά βήματα προστασίας από το ransomware HYFLOCK για ανθρώπους που χρησιμοποιούν Windows PC στο σπίτι ή σε ένα μικρό γραφείο.

Τι κάνουν οι νέοι κρυπτογραφητές του HYFLOCK

Η αναφερόμενη συμπεριφορά χωρίζεται σε τρία μέρη. Πρώτον, οι κρυπτογραφητές κλειδώνουν αρχεία στο μολυσμένο μηχάνημα Windows, καθιστώντας έγγραφα, φωτογραφίες και άλλα δεδομένα μη αναγνώσιμα χωρίς κλειδί. Δεύτερον, ξεπερνούν τον τοπικό δίσκο και φτάνουν σε δικτυακούς κοινόχρηστους φακέλους, που σημαίνει ότι ένας μόνο παραβιασμένος υπολογιστής μπορεί να επηρεάσει αρχεία που είναι αποθηκευμένα σε ένα NAS, σε έναν κοινόχρηστο φάκελο γραφείου ή στην κοινόχρηστη μονάδα δίσκου ενός άλλου υπολογιστή. Τρίτον, επιχειρούν να εμποδίσουν την ανάκτηση, στοχεύοντας τις επιλογές που θα χρησιμοποιούσε κανονικά ένα θύμα για να ανακτήσει τα αρχεία του.

Η λέξη «διαδοχικοί» έχει σημασία. Υποδηλώνει ότι οι διαχειριστές κυκλοφορούν βελτιωμένες εκδόσεις των εργαλείων τους αντί να βασίζονται σε μία μόνο έκδοση. Για τους αμυνόμενους, αυτό σημαίνει ότι οι υποθέσεις που βασίζονται σε υπογραφές για μία έκδοση μπορεί να μην ισχύουν για την επόμενη, και η βασική ανθεκτικότητα έχει μεγαλύτερη σημασία από το κυνήγι οποιουδήποτε μεμονωμένου δείγματος.

Το αρχικό άρθρο δεν αναφέρει λεπτομέρειες για το πώς τα θύματα παραβιάζονται αρχικά, πόσα λύτρα απαιτούνται ή πόσοι οργανισμοί επηρεάζονται, επομένως δεν θα κάνουμε εικασίες για αυτά τα σημεία.

Πώς το ransomware φτάνει σε δικτυακούς κοινόχρηστους φακέλους και εμποδίζει την ανάκτηση

Το γενικό μοτίβο αξίζει να το κατανοήσουμε ακόμη και χωρίς τις ειδικές λεπτομέρειες του HYFLOCK. Το ransomware που εκτελείται σε ένα μηχάνημα Windows συνήθως κληρονομεί τα δικαιώματα του λογαριασμού που το εκκίνησε. Αν αυτός ο λογαριασμός μπορεί να ανοίξει έναν κοινόχρηστο φάκελο, το κακόβουλο λογισμικό μπορεί συχνά να κρυπτογραφήσει ό,τι βρίσκεται μέσα σε αυτόν. Μια αντιστοιχισμένη μονάδα δίσκου που είναι πάντα συνδεδεμένη και εγγράψιμη είναι ουσιαστικά μια επέκταση του τοπικού δίσκου.

Η παρεμπόδιση της ανάκτησης είναι το άλλο μισό του προβλήματος. Πολλοί άνθρωποι βασίζονται σε βολικά δίχτυα ασφαλείας: τοπικούς δίσκους backup που μένουν συνδεδεμένοι, φακέλους συγχρονισμού στο cloud ή ενσωματωμένες λειτουργίες επαναφοράς. Το ransomware που προσπαθεί να παρέμβει στην ανάκτηση στοχεύει ακριβώς αυτά. Ένας φάκελος συγχρονισμού θα ανεβάσει πιστά κρυπτογραφημένα αντίγραφα, και ένας μόνιμα συνδεδεμένος δίσκος backup μπορεί να κρυπτογραφηθεί μαζί με όλα τα άλλα.

Αυτό είναι το βασικό δίδαγμα από το δημοσίευμα για το HYFLOCK: ένα backup στο οποίο ο μολυσμένος υπολογιστής μπορεί να έχει πρόσβαση και να τροποποιήσει δεν είναι πλήρως backup. Η ίδια λογική ισχύει για την κλοπή δεδομένων, η οποία μπορεί να συμβεί ξεχωριστά από την κρυπτογράφηση. Η κάλυψή μας για την Rhysida που διέρρευσε 5,79TB δεδομένων του Βερολίνου μετά από άρνηση πληρωμής λύτρων δείχνει τι μπορεί να ακολουθήσει όταν τα θύματα αρνούνται να πληρώσουν.

Backup και έλεγχοι πρόσβασης που περιορίζουν την επίθεση

Αυτά τα βήματα προστασίας από το ransomware HYFLOCK αποτελούν γενική καλή πρακτική και αντιμετωπίζουν τις συμπεριφορές που περιγράφονται στο δημοσίευμα.

  • Κρατήστε ένα backup αποσυνδεδεμένο. Εναλλάσσετε έναν εξωτερικό δίσκο που συνδέεται μόνο όσο εκτελείται ένα backup και μετά τον αποσυνδέετε. Ένα αντίγραφο εκτός σύνδεσης δεν μπορεί να κρυπτογραφηθεί από τον μολυσμένο υπολογιστή.
  • Χρησιμοποιήστε εκδόσεις ή αμετάβλητα backup στο cloud. Επιλέξτε μια υπηρεσία που διατηρεί προηγούμενες εκδόσεις αρχείων ώστε να μπορείτε να επιστρέψετε σε ένα σημείο πριν από την κρυπτογράφηση, και προστατέψτε αυτόν τον λογαριασμό με ισχυρό, μοναδικό κωδικό πρόσβασης και έλεγχο ταυτότητας πολλαπλών παραγόντων.
  • Ακολουθήστε το 3-2-1. Κρατήστε τρία αντίγραφα των σημαντικών δεδομένων, σε δύο τύπους μέσων, με ένα αποθηκευμένο εκτός τοποθεσίας ή εκτός σύνδεσης.
  • Περιορίστε τα δικαιώματα κοινόχρηστων φακέλων. Δώστε σε κάθε χρήστη και συσκευή πρόσβαση μόνο στους φακέλους που χρειάζεται. Αποφύγετε να αφήνετε δικτυακούς δίσκους μόνιμα αντιστοιχισμένους με δικαίωμα εγγραφής όταν η ανάγνωση είναι αρκετή.
  • Διαχωρίστε τους λογαριασμούς διαχειριστή και καθημερινής χρήσης. Χρησιμοποιήστε έναν τυπικό λογαριασμό για την καθημερινή εργασία ώστε το κακόβουλο λογισμικό να κληρονομεί λιγότερα δικαιώματα.
  • Ενημερώνετε και αναβαθμίζετε. Διατηρείτε τα Windows, τους περιηγητές και το firmware του router ενημερωμένα, και κρατάτε το λογισμικό ασφαλείας ενεργοποιημένο.
  • Δοκιμάστε μια επαναφορά. Ένα backup που δεν έχετε ποτέ επαναφέρει είναι μια υπόθεση. Δοκιμάστε να ανακτήσετε μερικά αρχεία κάθε λίγους μήνες.

Οι επιτιθέμενοι χρησιμοποιούν όλο και περισσότερο αυτοματοποίηση και AI για να μειώσουν τις δεξιότητες που απαιτούνται για εισβολές, μια τάση που εξετάσαμε στα ευρήματα της Anthropic για χάκερ με υποστήριξη AI που έπληξαν 20+ οργανισμούς. Αυτό κάνει τα αξιόπιστα βασικά πιο πολύτιμα, όχι λιγότερο.

Τι κάνει και τι δεν κάνει ένα VPN κατά του ransomware

Ένα VPN κρυπτογραφεί την κίνηση μεταξύ της συσκευής σας και του διακομιστή VPN και κρύβει τη διεύθυνση IP σας από τους ιστότοπους που επισκέπτεστε. Αυτό είναι χρήσιμο σε δημόσιο Wi-Fi και για την ιδιωτικότητα. Δεν είναι άμυνα κατά του ransomware. Ένα VPN δεν σαρώνει αρχεία, δεν σταματά την εκτέλεση ενός κακόβουλου συνημμένου ούτε εμποδίζει έναν ήδη μολυσμένο υπολογιστή από το να κρυπτογραφήσει τοπικά αρχεία και δικτυακούς κοινόχρηστους φακέλους.

Υπάρχει ένα στενό, έμμεσο όφελος: αν χρησιμοποιείτε VPN για να αποκτήσετε απομακρυσμένη πρόσβαση σε πόρους του σπιτιού ή του γραφείου, μπορεί να αποφύγετε την άμεση έκθεση υπηρεσιών όπως οι κοινόχρηστοι φάκελοι αρχείων στο διαδίκτυο. Ακόμη και τότε, ο λογαριασμός VPN χρειάζεται ισχυρό έλεγχο ταυτότητας και η συνδεδεμένη συσκευή πρέπει να είναι καθαρή. Αντιμετωπίστε ένα VPN ως ένα επίπεδο για ιδιωτικότητα και ασφαλή απομακρυσμένη πρόσβαση, όχι ως αντικατάσταση των backup και των δικαιωμάτων.

Τι σημαίνει αυτό για εσάς

Το δημοσίευμα για το HYFLOCK είναι μια υπενθύμιση ότι το ransomware δεν αφορά μόνο το αρχείο στην επιφάνεια εργασίας σας. Μπορεί να φτάσει σε κοινόχρηστο χώρο αποθήκευσης και να παραποιήσει τα εργαλεία που θα χρησιμοποιούσατε για ανάκτηση. Αν το μοναδικό σας backup είναι πάντα συνδεδεμένο με τον υπολογιστή σας ή συγχρονίζεται αυτόματα, μπορεί να μοιραστεί την τύχη των αρχείων σας.

Για μικρά γραφεία, η έκθεση είναι μεγαλύτερη επειδή οι κοινόχρηστοι φάκελοι περιέχουν την εργασία όλων. Ένας μολυσμένος φορητός υπολογιστής με ευρεία πρόσβαση μπορεί να έχει δυσανάλογο αντίκτυπο. Η κλοπή δεδομένων είναι επίσης ξεχωριστός κίνδυνος: ακόμη και με καλά backup, τα κλεμμένα αρχεία μπορούν να διαρρεύσουν, όπως στις αγωγές κατά της IDScan για φερόμενη παραβίαση 153 εκατομμυρίων αδειών οδήγησης, όπου οι συνέπειες των εκτεθειμένων δεδομένων εκτυλίχθηκαν στο δικαστήριο.

Πρακτικά συμπεράσματα

  1. Σήμερα, ελέγξτε πού βρίσκονται τα backup σας και αν ο υπολογιστής σας μπορεί να γράψει σε αυτά ανά πάσα στιγμή.
  2. Δημιουργήστε ή εναλλάξτε ένα backup εκτός σύνδεσης των πιο σημαντικών αρχείων σας.
  3. Ελέγξτε ποιοι δικτυακοί κοινόχρηστοι φάκελοι είναι αντιστοιχισμένοι και ποιος έχει δικαίωμα εγγραφής.
  4. Μεταβείτε στην καθημερινή χρήση σε λογαριασμό μη διαχειριστή και ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων στους λογαριασμούς cloud και backup.
  5. Δοκιμάστε την επαναφορά ενός αρχείου από κάθε backup.

Τα σταθερά βήματα προστασίας από το ransomware HYFLOCK δεν απαιτούν ακριβά εργαλεία, μόνο backup και κανόνες πρόσβασης που εξακολουθούν να λειτουργούν όταν ο επιτιθέμενος στρέφεται κατά του διχτυού ασφαλείας. Για περισσότερα σχετικά με το τι συμβαίνει όταν οι απαιτήσεις λύτρων απορρίπτονται, διαβάστε την αναφορά μας για τη διαρροή δεδομένων του Βερολίνου από τη Rhysida και στη συνέχεια ελέγξτε τη δική σας ρύθμιση όσο είναι ακόμη μια συνηθισμένη εργασία.