Check Point Exposure Managementin tutkijat ovat löytäneet HYFLOCK-kiristysohjelman salausheikkouksia, joiden avulla he pystyivät palauttamaan salatut tiedot ilman hyökkääjien avainta. Löydös on hyödyllinen muistutus siitä, että kiristysohjelmat ovat ohjelmistoja – ja ohjelmistoissa voi olla virheitä. Kaikille kiristyksestä huolestuneille HYFLOCK-kiristysohjelman salauksen purkaminen ilman avainta on merkittävä tulos, vaikkakin siihen liittyy tärkeitä varauksia.
Lähderaportti on lyhyt, joten tämä artikkeli pitäytyy vahvistetussa: tutkijat tunnistivat HYFLOCKin kryptografisia heikkouksia, ja nämä heikkoudet mahdollistivat palauttamisen ilman maksamista tai rikollisiin tukeutumista.
Miten tutkijat mursivat HYFLOCKin salauksen
Kiristysohjelmat toimivat tyypillisesti salaamalla uhrin tiedostot ja vaatimalla sitten maksua avaimesta, jolla ne saa auki. Tämän järjestelyn vahvuus riippuu täysin siitä, miten hyvin salaus on toteutettu. Vaikka haittaohjelmavariantti käyttäisi tunnettuja algoritmeja, virheet avainten luonnissa, tallennuksessa tai käytössä voivat jättää oven auki.
Raportin mukaan Check Point Exposure Managementin tutkijat löysivät tällaisia heikkouksia HYFLOCKista. Nämä puutteet antoivat heidän palauttaa tietoja ilman avainta, joka hyökkääjillä normaalisti olisi. Raportti ei tarjoa lisätietoja teknisistä yksityiskohdista käytettävissämme olevassa materiaalissa, joten emme spekuloi tietystä mekanismista, siitä mitkä versiot ovat vaikutuksen alaisia tai siitä, onko olemassa julkinen salauksenpurkutyökalu.
Mitä tämä tarkoittaa kiristysohjelmien uhreille
Ydinopetus on yksinkertainen: maksaminen ei ole ainoa tie, eikä sen pitäisi harvoin olla ensimmäinen. Jos variantissa on hyödynnettävä puute, uhrit voivat mahdollisesti palauttaa tiedostot ilman kustannuksia. Tutkijat ja turvallisuusyritykset julkaisevat joskus tällaisia löydöksiä, jotta muut voivat hyötyä niistä.
Jos joudut koskaan kiristysohjelman kohteeksi, harkitse näitä vaiheita ennen yhteydenottoa hyökkääjiin:
- Eristä vaikutuksen alainen laite verkosta estääksesi leviämisen edelleen.
- Säilytä salatut tiedostot ja mahdollinen lunasviesti. Ne auttavat asiantuntijoita tunnistamaan variantin.
- Etsi laillisia palautustyökaluja arvostetuimmilta turvallisuustoimittajilta ja tutkijoilta ja varmista, että lähde on luotettava ennen lataamista.
- Ota yhteyttä pätevään incident response -ammattilaiseen, jos tiedot ovat liiketoiminnan kannalta kriittisiä.
Ole varovainen "salauksenpurkajien" lataamisessa vahvistamattomista lähteistä. Väärennetyt palautustyökalut ovat tunnettu tapa aiheuttaa toinen tartunta, joten varmista ennen kuin suoritat mitään.
Miksi yhden variantin puute ei ole turvaverkko
Olisi virhe lukea tätä tutkimusta todisteena siitä, että kiristysohjelmat on helppo voittaa. HYFLOCKin heikkous ei tarkoita, että muut variantit olisivat murrettavissa. Useimmilla kiristysohjelmien operaattoreilla on vahvat kannustimet korjata virheet, kun ne paljastuvat, ja julkaistu puute voi johtaa päivitettyyn versioon, jossa samaa heikkoutta ei enää ole.
Palautuminen riippuu myös ajoituksesta ja olosuhteista. Tietoja, jotka on jo varastettu, ei voi varastaa takaisin, vaikka salatut kopiot voitaisiin palauttaa. Moniin kiristysohjelmatapauksiin liittyy sekä salaus että tietojen varastaminen, joten onnistunut salauksen purkaminen ei poista yksityisyysseurauksia. HandyTrac-tietomurto Greystarin hallinnoimassa kiinteistössä on tosimaailman esimerkki siitä, miten kiristysohjelmatapaus voi paljastaa arkaluonteisia tietoja paljon alkuperäisen uhrin tiedostoja laajemmin.
Käytännön toimenpiteet tiedostojesi ja laitteidesi suojaamiseksi
Kenenkään ei pitäisi luottaa siihen, että hyökkääjät tekevät kryptografisia virheitä. Vahvat tavat ovat paljon tärkeämpiä:
- Pidä offline-varmuuskopioita. Ylläpidä vähintään yhtä varmuuskopiota, joka on irrotettu tietokoneestasi ja verkostasi, jotta kiristysohjelma ei voi salata sitä. Testaa palauttamista siitä säännöllisesti.
- Noudata 3-2-1-lähestymistapaa. Pidä kolme kopiota tärkeistä tiedoista kahdella tallennustyypillä, joista yksi kopio on muualla tai offline-tilassa.
- Päivitä ohjelmistot viipymättä. Käyttöjärjestelmien, selainten ja sovellusten tulisi saada tietoturvakorjaukset heti, kun ne ovat saatavilla.
- Vältä epäilyttäviä latauksia ja liitteitä. Piratoidut ohjelmistot, odottamattomat sähköpostiliitteet ja tuntemattomat linkit ovat yleisiä levitysreittejä.
- Käytä vahvoja, ainutlaatuisia salasanoja ja monivaiheista tunnistautumista vaikeuttaaksesi hyökkääjien jalansijan saamista.
- Rajoita tilien käyttöoikeuksia. Käytä päivittäiseen työhön tavallista tiliä järjestelmänvalvojan tilin sijaan.
VPN voi suojata liikennettäsi epäluotettavissa verkoissa, mutta se ei yksinään estä kiristysohjelmia. Varmuuskopiot, päivitykset ja varovainen toiminta ovat tässä ratkaisevia puolustuskeinoja.
Mitä tämä tarkoittaa sinulle
Useimmille lukijoille keskeinen viesti on valmistautuminen ja kärsivällisyys. Jos kiristysohjelma joskus lukitsee tiedostosi, älä panikoi äläkä maksa heti. Tarkista, onko olemassa laillinen palautusvaihtoehto, sillä Check Pointin kaltaiset tutkimukset osoittavat, että jotkin variantit voidaan voittaa. Samalla käsittele jokaista kiristysohjelmatapausta mahdollisena tietovarkautena: vaihda salasanat, seuraa väärinkäytön merkkejä ja noudata tietojasi hallinnoivan organisaation ohjeita.
Keskeiset huomiot
Löydös siitä, että HYFLOCK-kiristysohjelman salauksen purkaminen ilman avainta on mahdollista, on rohkaiseva, mutta se on poikkeus eikä sääntö. Pidä offline-varmuuskopioita, vältä epäilyttäviä latauksia äläkä koskaan maksa lunnaita ennen kuin olet tarkistanut laillisten palautustyökalujen olemassaolon. Nähdäksesi, miten kiristysohjelmat voivat vaikuttaa ihmisiin paljon alkuperäistä uhria laajemmin, lue HandyTrac-tietomurrosta ja mieti, miltä omat varmuuskopiointi- ja turvallisuusrutiinisi näyttäisivät vastaavassa tilanteessa.
