Tutkijat, jotka seuraavat HYFLOCKia, ovat kuvanneet kiristysohjelmaoperaation, joka kehittyy jatkuvasti. Raporttien mukaan sen operaattorit ovat rakentaneet peräkkäisiä Windows-salausohjelmia, jotka lukitsevat tiedostoja, käyttävät verkkoresursseja ja yrittävät estää palautuksen. Lähdeartikkeli on niukka teknisiltä yksityiskohdiltaan, joten tämä kirjoitus pitäytyy siinä, mikä on raportoitu, ja keskittyy käytännön HYFLOCK-kiristysohjelmasuojaukseen ihmisille, jotka käyttävät Windows-tietokoneita kotona tai pienessä toimistossa.
Mitä HYFLOCKin uudet salausohjelmat tekevät
Raportoitu toiminta jakautuu kolmeen osaan. Ensinnäkin salausohjelmat lukitsevat tiedostoja tartunnan saaneella Windows-koneella tehden asiakirjoista, valokuvista ja muista tiedoista lukukelvottomia ilman avainta. Toiseksi ne ulottuvat paikallisen levyn ulkopuolelle verkkoresursseihin, mikä tarkoittaa, että yksi vaarantunut tietokone voi vaikuttaa NAS-laitteeseen, jaettuun toimistokansioon tai toisen tietokoneen jaettuun asemaan tallennettuihin tiedostoihin. Kolmanneksi ne yrittävät estää palautuksen iskemällä vaihtoehtoihin, joita uhri normaalisti käyttäisi saadakseen tiedostonsa takaisin.
Sana "peräkkäiset" on merkityksellinen. Se osoittaa, että operaattorit julkaisevat parannettuja versioita työkaluistaan sen sijaan, että luottaisivat yhteen versioon. Puolustajille tämä tarkoittaa, että allekirjoituspohjaiset oletukset yhdestä versiosta eivät välttämättä päde seuraavaan, ja perustason sietokyky on tärkeämpää kuin yhden näytteen jäljittäminen.
Lähdeartikkeli ei kerro, miten uhrit alun perin vaarannetaan, kuinka suuria lunnaita vaaditaan tai kuinka moneen organisaatioon hyökkäys vaikuttaa, joten emme spekuloi näillä seikoilla.
Miten kiristysohjelma pääsee verkkoresursseihin ja estää palautuksen
Yleinen kaava on syytä ymmärtää, vaikka HYFLOCK-kohtaiset yksityiskohdat puuttuisivat. Windows-koneella toimiva kiristysohjelma perii tyypillisesti sen tilin käyttöoikeudet, joka sen käynnisti. Jos tämä tili voi avata jaetun kansion, haittaohjelma voi usein salata sen sisällön. Aina yhdistettynä ja kirjoitettavana oleva verkkolevyasema on käytännössä paikallisen levyn jatke.
Palautuksen estäminen on ongelman toinen puoli. Monet luottavat käteviin turvaverkkoihin: paikallisiin varmuuskopiolevyihin, jotka pysyvät kytkettyinä, pilvitahdistuskansioihin tai sisäänrakennettuihin palautusominaisuuksiin. Palautuksen häirintään tähtäävä kiristysohjelma iskee juuri näihin. Tahdistuskansio lataa uskollisesti salatut kopiot, ja pysyvästi kytketty varmuuskopiolevy voidaan salata kaiken muun ohella.
Tämä on HYFLOCK-raportoinnin keskeinen opetus: varmuuskopio, johon tartunnan saanut tietokone pääsee käsiksi ja jota se voi muokata, ei ole täysin varmuuskopio. Sama logiikka pätee tietovarkauteen, joka voi tapahtua erillään salauksesta. Käsittelymme aiheesta Rhysida vuoti 5,79 TB Berliinin dataa lunnaiden maksusta kieltäydyttyä osoittaa, mitä voi seurata, kun uhrit kieltäytyvät maksamasta.
Varmuuskopiot ja käyttöoikeuksien hallinta, jotka tylsyttävät hyökkäystä
Nämä HYFLOCK-kiristysohjelmasuojauksen vaiheet ovat yleistä hyvää käytäntöä, ja ne käsittelevät raportissa kuvattuja toimintatapoja.
- Pidä yksi varmuuskopio irtikytkettynä. Kierrätä ulkoista levyä, joka on kytketty vain varmuuskopioinnin aikana, ja irrota se sen jälkeen. Offline-kopiota ei voida salata tartunnan saaneelta tietokoneelta.
- Käytä versioituja tai muuttumattomia pilvivarmuuskopioita. Valitse palvelu, joka säilyttää aiempia tiedostoversioita, jotta voit palata salauksen edeltävään tilaan, ja suojaa kyseinen tili vahvalla, yksilöllisellä salasanalla ja monivaiheisella todennuksella.
- Noudata 3-2-1-sääntöä. Pidä tärkeistä tiedoista kolme kopiota kahdella eri tallennusvälineellä, joista yksi säilytetään muualla tai offline-tilassa.
- Rajoita jakojen käyttöoikeuksia. Anna jokaiselle käyttäjälle ja laitteelle pääsy vain tarvitsemiinsa kansioihin. Vältä verkkolevyjen jättämistä pysyvästi yhdistetyiksi kirjoitusoikeuksin, kun lukuoikeus riittää.
- Erota ylläpitäjätili ja päivittäinen tili. Käytä päivittäiseen työhön tavallista tiliä, jotta haittaohjelma perii vähemmän oikeuksia.
- Paikkaa ja päivitä. Pidä Windows, selaimet ja reitittimen laiteohjelmisto ajan tasalla ja pidä tietoturvaohjelmisto käytössä.
- Testaa palautus. Varmuuskopio, jota et ole koskaan palauttanut, on oletus. Yritä palauttaa muutama tiedosto muutaman kuukauden välein.
Hyökkääjät käyttävät yhä enemmän automaatiota ja tekoälyä alentaakseen tunkeutumisiin tarvittavaa osaamista – ilmiö, jota tarkastelimme artikkelissa Anthropicin havainnot tekoälyavusteisista hakkereista, jotka iskivät yli 20 organisaatioon. Tämä tekee luotettavista perusasioista arvokkaampia, ei vähemmän.
Mitä VPN tekee ja mitä ei kiristysohjelmaa vastaan
VPN salaa liikenteen laitteesi ja VPN-palvelimen välillä ja piilottaa IP-osoitteesi vierailemiltasi sivustoilta. Siitä on hyötyä julkisessa Wi-Fi-verkossa ja yksityisyyden kannalta. Se ei ole kiristysohjelmasuojaus. VPN ei skannaa tiedostoja, estä haitallisen liitteen suorittamista tai estä jo tartunnan saanutta tietokonetta salaamasta paikallisia tiedostoja ja verkkoresursseja.
On yksi kapea, epäsuora hyöty: jos käytät VPN:ää kodin tai toimiston resurssien etäkäyttöön, se voi välttää palveluiden, kuten tiedostojakojen, suoran altistamisen internetille. Silloinkin VPN-tili tarvitsee vahvan todennuksen, ja yhdistetyn laitteen on edelleen oltava puhdas. Kohtele VPN:ää yhtenä kerroksena yksityisyyttä ja turvallista etäkäyttöä varten, ei korvaajana varmuuskopioille ja käyttöoikeuksille.
Mitä tämä tarkoittaa sinulle
HYFLOCK-raportointi muistuttaa, että kiristysohjelmassa ei ole kyse vain työpöydälläsi olevasta tiedostosta. Se voi ulottua jaettuun tallennustilaan ja peukaloida työkaluja, joita käyttäisit palauttamiseen. Jos ainoa varmuuskopiosi on aina kytkettynä tietokoneeseesi tai tahdistuu automaattisesti, se voi jakaa tiedostojesi kohtalon.
Pienissä toimistoissa altistus on suurempi, koska jaetut kansiot sisältävät kaikkien työn. Yksi tartunnan saanut kannettava tietokone, jolla on laajat käyttöoikeudet, voi aiheuttaa suhteettoman suuren vaikutuksen. Myös tietovarkaus on erillinen riski: hyvistä varmuuskopioista huolimatta varastetut tiedostot voivat silti vuotaa, kuten IDScan-oikeudenkäynneissä väitetystä 153 miljoonan ajokortin tietomurrosta, joissa paljastuneen datan seuraukset käsiteltiin oikeudessa.
Käytännön toimenpiteet
- Tarkista tänään, missä varmuuskopiosi sijaitsevat ja voiko tietokoneesi kirjoittaa niihin kaiken aikaa.
- Luo tai kierrätä offline-varmuuskopio tärkeimmistä tiedostoistasi.
- Käy läpi, mitkä verkkoresurssit on yhdistetty ja kenellä on kirjoitusoikeus.
- Siirrä päivittäinen käyttö pois ylläpitäjätililtä ja ota monivaiheinen todennus käyttöön pilvi- ja varmuuskopiotileillä.
- Testaa tiedoston palauttaminen kustakin varmuuskopiosta.
Hyvät HYFLOCK-kiristysohjelmasuojauksen vaiheet eivät vaadi kalliita työkaluja, vain varmuuskopiot ja käyttöoikeussäännöt, jotka toimivat vielä silloin, kun hyökkääjä iskee turvaverkkoon. Lisätietoja siitä, mitä tapahtuu, kun lunastusvaatimuksiin kieltäydytään vastaamasta, saat raportistamme Rhysidan Berliinin datan vuodosta – ja tarkasta oma järjestelysi vielä, kun se on rutiinitehtävä.
