Οι ερευνητές του Check Point Exposure Management βρήκαν αδυναμίες κρυπτογράφησης στο ransomware HYFLOCK που τους επέτρεψαν να ανακτήσουν κρυπτογραφημένα δεδομένα χωρίς το κλειδί των επιτιθέμενων. Το εύρημα είναι μια χρήσιμη υπενθύμιση ότι το ransomware είναι λογισμικό, και το λογισμικό μπορεί να έχει αδυναμίες. Για όποιον ανησυχεί για εκβιασμό, η αποκρυπτογράφηση του ransomware HYFLOCK χωρίς κλειδί είναι ένα αξιοσημείωτο αποτέλεσμα, αν και συνοδεύεται από σημαντικές επιφυλάξεις.

Η αναφορά πηγής είναι σύντομη, οπότε αυτό το άρθρο περιορίζεται σε ό,τι έχει επιβεβαιωθεί: οι ερευνητές εντόπισαν κρυπτογραφικές αδυναμίες στο HYFLOCK, και αυτές οι αδυναμίες κατέστησαν δυνατή την ανάκτηση χωρίς πληρωμή ή εξάρτηση από τους εγκληματίες.

Πώς οι ερευνητές έσπασαν την κρυπτογράφηση του HYFLOCK

Το ransomware συνήθως λειτουργεί κρυπτογραφώντας τα αρχεία ενός θύματος και στη συνέχεια απαιτώντας πληρωμή για το κλειδί που απαιτείται για το ξεκλείδωμά τους. Η ισχύς αυτού του σχήματος εξαρτάται εξ ολοκλήρου από το πόσο καλά υλοποιείται η κρυπτογράφηση. Ακόμη και όταν μια παραλλαγή χρησιμοποιεί γνωστούς αλγορίθμους, λάθη στον τρόπο με τον οποίο δημιουργούνται, αποθηκεύονται ή εφαρμόζονται τα κλειδιά μπορούν να αφήσουν μια πόρτα ανοιχτή.

Σύμφωνα με την αναφορά, οι ερευνητές του Check Point Exposure Management βρήκαν αδυναμίες αυτού του είδους στο HYFLOCK. Αυτές οι αδυναμίες τούς επέτρεψαν να ανακτήσουν δεδομένα χωρίς το κλειδί που κανονικά θα κατείχαν οι επιτιθέμενοι. Η αναφορά δεν παρέχει περαιτέρω τεχνική λεπτομέρεια στο υλικό που έχουμε στη διάθεσή μας, οπότε δεν θα κάνουμε εικασίες για τον συγκεκριμένο μηχανισμό, για το ποιες εκδόσεις επηρεάζονται ή για το αν υπάρχει δημόσιο εργαλείο αποκρυπτογράφησης.

Τι σημαίνει αυτό για τα θύματα ransomware

Το βασικό δίδαγμα είναι απλό: η πληρωμή δεν είναι η μόνη οδός, και σπάνια θα έπρεπε να είναι η πρώτη. Αν μια παραλλαγή έχει εκμεταλλεύσιμη αδυναμία, τα θύματα μπορεί να μπορούν να επαναφέρουν αρχεία χωρίς κόστος. Οι ερευνητές και οι εταιρείες ασφαλείας μερικές φορές δημοσιεύουν τέτοια ευρήματα ώστε να ωφεληθούν και άλλοι.

Αν ποτέ πέσετε θύμα ransomware, εξετάστε αυτά τα βήματα πριν έρθετε σε επαφή με τους επιτιθέμενους:

  • Απομονώστε την επηρεαζόμενη συσκευή από το δίκτυο για να περιορίσετε την περαιτέρω εξάπλωση.
  • Διατηρήστε τα κρυπτογραφημένα αρχεία και τυχόν σημείωμα λύτρων. Βοηθούν τους ειδικούς να αναγνωρίσουν την παραλλαγή.
  • Αναζητήστε νόμιμα εργαλεία ανάκτησης από αξιόπιστους προμηθευτές ασφαλείας και ερευνητές, και επιβεβαιώστε ότι η πηγή είναι αξιόπιστη πριν κατεβάσετε οτιδήποτε.
  • Επικοινωνήστε με έναν εξειδικευμένο επαγγελματία αντιμετώπισης περιστατικών αν τα δεδομένα είναι κρίσιμα για την επιχείρηση.

Να είστε προσεκτικοί με λήψεις "decryptor" από μη επαληθευμένες πηγές. Τα ψεύτικα εργαλεία ανάκτησης είναι ένας γνωστός τρόπος να προκληθεί δεύτερη μόλυνση, οπότε επαληθεύστε πριν εκτελέσετε οτιδήποτε.

Γιατί μια αδυναμία σε μία παραλλαγή δεν είναι δίχτυ ασφαλείας

Θα ήταν λάθος να διαβάσει κανείς αυτή την έρευνα ως απόδειξη ότι το ransomware είναι εύκολο να νικηθεί. Μια αδυναμία στο HYFLOCK δεν σημαίνει ότι άλλες παραλλαγές είναι παραβιάσιμες. Οι περισσότεροι φορείς ransomware έχουν ισχυρά κίνητρα να διορθώσουν λάθη μόλις εκτεθούν, και μια δημοσιευμένη αδυναμία μπορεί να οδηγήσει σε μια διορθωμένη έκδοση που δεν έχει πλέον την ίδια αδυναμία.

Η ανάκτηση εξαρτάται επίσης από τον χρόνο και τις περιστάσεις. Δεδομένα που έχουν ήδη κλαπεί δεν μπορούν να ανακτηθούν ως μη κλαπέντα, ακόμη και αν τα κρυπτογραφημένα αντίγραφα μπορούν να αποκατασταθούν. Πολλά περιστατικά ransomware περιλαμβάνουν τόσο κρυπτογράφηση όσο και κλοπή δεδομένων, οπότε μια επιτυχής αποκρυπτογράφηση δεν εξαλείφει τις συνέπειες για την ιδιωτικότητα. Η παραβίαση HandyTrac σε ακίνητο υπό διαχείριση της Greystar είναι ένα πραγματικό παράδειγμα του πώς ένα περιστατικό ransomware μπορεί να εκθέσει ευαίσθητες πληροφορίες πολύ πέρα από τα αρχεία του αρχικού θύματος.

Πρακτικά βήματα για την προστασία των αρχείων και των συσκευών σας

Κανείς δεν θα έπρεπε να βασίζεται στο ότι οι επιτιθέμενοι θα κάνουν κρυπτογραφικά λάθη. Οι ισχυρές συνήθειες έχουν πολύ μεγαλύτερη σημασία:

  1. Διατηρείτε αντίγραφα ασφαλείας εκτός σύνδεσης. Διατηρήστε τουλάχιστον ένα αντίγραφο ασφαλείας αποσυνδεδεμένο από τον υπολογιστή και το δίκτυό σας, ώστε το ransomware να μην μπορεί να το κρυπτογραφήσει. Δοκιμάζετε περιοδικά την επαναφορά από αυτό.
  2. Ακολουθήστε την προσέγγιση 3-2-1. Διατηρήστε τρία αντίγραφα των σημαντικών δεδομένων, σε δύο τύπους αποθήκευσης, με ένα αντίγραφο εκτός τοποθεσίας ή εκτός σύνδεσης.
  3. Ενημερώνετε το λογισμικό άμεσα. Τα λειτουργικά συστήματα, τα προγράμματα περιήγησης και οι εφαρμογές θα πρέπει να λαμβάνουν ενημερώσεις ασφαλείας μόλις είναι διαθέσιμες.
  4. Αποφεύγετε ύποπτες λήψεις και συνημμένα. Το πειρατικό λογισμικό, τα απροσδόκητα συνημμένα email και οι άγνωστοι σύνδεσμοι είναι συνήθεις οδοί παράδοσης.
  5. Χρησιμοποιείτε ισχυρούς, μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας πολλαπλών παραγόντων για να δυσκολέψετε τους επιτιθέμενους να αποκτήσουν βάση.
  6. Περιορίζετε τα προνόμια λογαριασμού. Χρησιμοποιείτε τυπικό λογαριασμό για την καθημερινή εργασία αντί για λογαριασμό διαχειριστή.

Ένα VPN μπορεί να προστατεύσει την κίνησή σας σε μη αξιόπιστα δίκτυα, αλλά δεν σταματά από μόνο του το ransomware. Τα αντίγραφα ασφαλείας, οι ενημερώσεις και η προσεκτική συμπεριφορά είναι οι άμυνες που μετράνε εδώ.

Τι σημαίνει αυτό για εσάς

Για τους περισσότερους αναγνώστες, το συμπέρασμα αφορά την προετοιμασία και την υπομονή. Αν ποτέ το ransomware κλειδώσει τα αρχεία σας, μην πανικοβληθείτε και μην πληρώσετε αμέσως. Ελέγξτε αν υπάρχει νόμιμη επιλογή ανάκτησης, καθώς έρευνα όπως αυτή του Check Point δείχνει ότι ορισμένες παραλλαγές μπορούν να ηττηθούν. Ταυτόχρονα, αντιμετωπίστε κάθε περιστατικό ransomware ως πιθανό περιστατικό κλοπής δεδομένων: αλλάξτε κωδικούς πρόσβασης, προσέξτε για σημάδια κατάχρησης και ακολουθήστε τις οδηγίες του οργανισμού που κατέχει τα δεδομένα σας.

Βασικά συμπεράσματα

Το εύρημα ότι η αποκρυπτογράφηση του ransomware HYFLOCK χωρίς κλειδί είναι δυνατή είναι ενθαρρυντικό, αλλά αποτελεί την εξαίρεση και όχι τον κανόνα. Διατηρείτε αντίγραφα ασφαλείας εκτός σύνδεσης, αποφεύγετε ύποπτες λήψεις και μην πληρώνετε ποτέ λύτρα πριν ελέγξετε για νόμιμα εργαλεία ανάκτησης. Για να δείτε πώς το ransomware μπορεί να επηρεάσει ανθρώπους πολύ πέρα από το αρχικό θύμα, διαβάστε για την παραβίαση HandyTrac και σκεφτείτε πώς θα έμοιαζαν οι δικές σας ρουτίνες αντιγράφων ασφαλείας και ασφάλειας σε μια παρόμοια κατάσταση.