Les chercheurs qui suivent HYFLOCK ont décrit une opération de rançongiciel qui ne cesse d'itérer. Selon les informations rapportées, ses opérateurs ont développé des chiffreurs Windows successifs qui verrouillent les fichiers, accèdent aux partages réseau et tentent d'entraver la récupération. L'article source est bref sur les détails techniques, c'est pourquoi ce billet s'en tient à ce qui a été rapporté et se concentre sur des mesures pratiques de protection contre le rançongiciel HYFLOCK pour les personnes qui utilisent des PC Windows à la maison ou dans un petit bureau.
Ce que font les nouveaux chiffreurs de HYFLOCK
Le comportement rapporté se divise en trois parties. Premièrement, les chiffreurs verrouillent les fichiers sur la machine Windows infectée, rendant les documents, les photos et autres données illisibles sans une clé. Deuxièmement, ils vont au-delà du disque local vers les partages réseau, ce qui signifie qu'un seul PC compromis peut affecter des fichiers stockés sur un NAS, un dossier de bureau partagé ou le disque partagé d'un autre ordinateur. Troisièmement, ils tentent d'entraver la récupération, en s'attaquant aux options qu'une victime utiliserait normalement pour récupérer ses fichiers.
Le mot « successifs » compte. Il indique que les opérateurs publient des versions améliorées de leurs outils plutôt que de s'appuyer sur une seule version. Pour les défenseurs, cela signifie que les hypothèses fondées sur les signatures d'une version peuvent ne pas tenir pour la suivante, et que la résilience de base importe davantage que la poursuite d'un échantillon particulier.
L'article source ne détaille pas comment les victimes sont initialement compromises, quel montant de rançon est exigé, ni combien d'organisations sont affectées, nous ne spéculerons donc pas sur ces points.
Comment un rançongiciel atteint les partages réseau et bloque la récupération
Le schéma général mérite d'être compris même sans les spécificités propres à HYFLOCK. Un rançongiciel exécuté sur une machine Windows hérite généralement des autorisations du compte qui l'a lancé. Si ce compte peut ouvrir un dossier partagé, le logiciel malveillant peut souvent chiffrer ce qu'il contient. Un lecteur mappé toujours connecté et accessible en écriture est effectivement une extension du disque local.
L'entrave à la récupération est l'autre moitié du problème. Beaucoup de gens s'appuient sur des filets de sécurité pratiques : des disques de sauvegarde locaux qui restent branchés, des dossiers de synchronisation cloud ou des fonctionnalités de restauration intégrées. Un rançongiciel qui tente d'interférer avec la récupération vise exactement ces éléments. Un dossier de synchronisation téléversera fidèlement des copies chiffrées, et un disque de sauvegarde attaché en permanence peut être chiffré en même temps que tout le reste.
C'est la leçon clé des informations sur HYFLOCK : une sauvegarde que l'ordinateur infecté peut atteindre et modifier n'est pas pleinement une sauvegarde. La même logique s'applique au vol de données, qui peut se produire indépendamment du chiffrement. Notre couverture de Rhysida divulguant 5,79 To de données berlinoises après un refus de rançon montre ce qui peut suivre lorsque les victimes refusent de payer.
Des sauvegardes et des contrôles d'accès qui émoussent l'attaque
Ces mesures de protection contre le rançongiciel HYFLOCK relèvent des bonnes pratiques générales et répondent aux comportements décrits dans le rapport.
- Gardez une sauvegarde déconnectée. Faites tourner un disque externe qui n'est branché que pendant l'exécution d'une sauvegarde, puis débranchez-le. Une copie hors ligne ne peut pas être chiffrée depuis le PC infecté.
- Utilisez des sauvegardes cloud versionnées ou immuables. Choisissez un service qui conserve les versions précédentes des fichiers afin de pouvoir revenir à un point antérieur au chiffrement, et protégez ce compte avec un mot de passe fort et unique ainsi que l'authentification multifacteur.
- Suivez la règle 3-2-1. Conservez trois copies des données importantes, sur deux types de supports, avec une copie stockée hors site ou hors ligne.
- Limitez les autorisations de partage. Donnez à chaque utilisateur et appareil l'accès uniquement aux dossiers dont il a besoin. Évitez de laisser des lecteurs réseau mappés en permanence avec un accès en écriture lorsque l'accès en lecture suffit.
- Séparez les comptes administrateur et les comptes quotidiens. Utilisez un compte standard pour le travail quotidien afin que les logiciels malveillants héritent de moins de droits.
- Appliquez les correctifs et les mises à jour. Maintenez Windows, les navigateurs et le firmware du routeur à jour, et gardez les logiciels de sécurité activés.
- Testez une restauration. Une sauvegarde que vous n'avez jamais restaurée est une supposition. Essayez de récupérer quelques fichiers tous les quelques mois.
Les attaquants utilisent de plus en plus l'automatisation et l'IA pour abaisser le niveau de compétence nécessaire aux intrusions, une tendance que nous avons examinée dans les conclusions d'Anthropic sur des pirates assistés par l'IA ciblant plus de 20 organisations. Cela rend les fondamentaux fiables plus précieux, et non moins.
Ce qu'un VPN fait et ne fait pas contre un rançongiciel
Un VPN chiffre le trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. C'est utile sur un Wi-Fi public et pour la confidentialité. Ce n'est pas une défense contre un rançongiciel. Un VPN ne scanne pas les fichiers, n'empêche pas une pièce jointe malveillante de s'exécuter et n'empêche pas un PC déjà infecté de chiffrer les fichiers locaux et les partages réseau.
Il existe un avantage indirect étroit : si vous utilisez un VPN pour accéder à distance à des ressources domestiques ou professionnelles, il peut éviter d'exposer directement des services tels que les partages de fichiers à internet. Même dans ce cas, le compte VPN doit disposer d'une authentification forte, et l'appareil connecté doit toujours être sain. Considérez un VPN comme une couche pour la confidentialité et l'accès à distance sécurisé, et non comme un remplacement des sauvegardes et des autorisations.
Ce que cela signifie pour vous
Les informations sur HYFLOCK rappellent que le rançongiciel ne concerne pas seulement le fichier sur votre bureau. Il peut atteindre le stockage partagé et altérer les outils que vous utiliseriez pour récupérer. Si votre seule sauvegarde est toujours connectée à votre PC, ou se synchronise automatiquement, elle peut partager le sort de vos fichiers.
Pour les petits bureaux, l'exposition est plus grande car les dossiers partagés contiennent le travail de tout le monde. Un seul ordinateur portable infecté disposant d'un large accès peut avoir un impact démesuré. Le vol de données est aussi un risque distinct : même avec de bonnes sauvegardes, des fichiers volés peuvent encore fuiter, comme dans les poursuites IDScan concernant une prétendue violation de 153 M de permis de conduire, où les conséquences de données exposées se sont jouées devant les tribunaux.
Points à retenir concrets
- Aujourd'hui, vérifiez où se trouvent vos sauvegardes et si votre PC peut y écrire à tout moment.
- Créez ou faites tourner une sauvegarde hors ligne de vos fichiers les plus importants.
- Passez en revue les partages réseau mappés et qui dispose d'un accès en écriture.
- Passez à un compte non administrateur pour l'usage quotidien et activez l'authentification multifacteur sur les comptes cloud et de sauvegarde.
- Testez la restauration d'un fichier depuis chaque sauvegarde.
De solides mesures de protection contre le rançongiciel HYFLOCK ne nécessitent pas d'outils coûteux, juste des sauvegardes et des règles d'accès qui fonctionnent encore lorsque l'attaquant s'en prend au filet de sécurité. Pour en savoir plus sur ce qui se passe lorsque les demandes de rançon sont refusées, lisez notre rapport sur la fuite de données berlinoises par Rhysida, puis auditez votre propre configuration pendant que cela reste encore une tâche de routine.
