Les chercheurs de Check Point Exposure Management ont découvert des faiblesses de chiffrement dans le rançongiciel HYFLOCK qui leur ont permis de récupérer des données chiffrées sans la clé des attaquants. Cette découverte rappelle utilement qu'un rançongiciel est un logiciel, et qu'un logiciel peut comporter des défauts. Pour quiconque craint l'extorsion, le déchiffrement du rançongiciel HYFLOCK sans clé est un résultat notable, bien qu'il s'accompagne de réserves importantes.

Le rapport source est bref, c'est pourquoi cet article s'en tient à ce qui a été confirmé : les chercheurs ont identifié des faiblesses cryptographiques dans HYFLOCK, et ces faiblesses ont rendu la récupération possible sans payer ni dépendre des criminels.

Comment les chercheurs ont cassé le chiffrement de HYFLOCK

Un rançongiciel fonctionne généralement en chiffrant les fichiers d'une victime, puis en exigeant un paiement pour la clé nécessaire à leur déverrouillage. La solidité de ce procédé dépend entièrement de la qualité de mise en œuvre du chiffrement. Même lorsqu'une souche utilise des algorithmes bien connus, des erreurs dans la génération, le stockage ou l'application des clés peuvent laisser une porte ouverte.

Selon le rapport, les chercheurs de Check Point Exposure Management ont trouvé des faiblesses de ce type dans HYFLOCK. Ces défauts leur ont permis de récupérer des données sans la clé que les attaquants détiennent normalement. Le rapport ne fournit pas de détail technique supplémentaire dans les éléments dont nous disposons, nous ne spéculerons donc pas sur le mécanisme précis, sur les versions concernées, ni sur l'existence d'un outil de déchiffrement public.

Ce que cela signifie pour les victimes de rançongiciels

La leçon essentielle est simple : payer n'est pas la seule voie, et cela devrait rarement être la première. Si une souche présente une faille exploitable, les victimes peuvent être en mesure de restaurer leurs fichiers sans frais. Les chercheurs et les entreprises de sécurité publient parfois de telles découvertes afin que d'autres puissent en bénéficier.

Si vous êtes un jour victime d'un rançongiciel, envisagez ces étapes avant d'entrer en contact avec les attaquants :

  • Isolez l'appareil affecté du réseau pour limiter toute propagation supplémentaire.
  • Conservez les fichiers chiffrés et toute note de rançon. Ils aident les experts à identifier la souche.
  • Recherchez des outils de récupération légitimes auprès de fournisseurs de sécurité et de chercheurs réputés, et confirmez que la source est digne de confiance avant de télécharger quoi que ce soit.
  • Contactez un professionnel qualifié en réponse aux incidents si les données sont essentielles à l'entreprise.

Soyez prudent avec les téléchargements de « déchiffreurs » provenant de sources non vérifiées. Les faux outils de récupération sont un moyen bien connu de provoquer une seconde infection, vérifiez donc avant d'exécuter quoi que ce soit.

Pourquoi une faille dans une souche ne constitue pas un filet de sécurité

Ce serait une erreur de lire cette recherche comme la preuve qu'il est facile de vaincre un rançongiciel. Une faiblesse dans HYFLOCK ne signifie pas que d'autres souches sont cassables. La plupart des opérateurs de rançongiciels ont de fortes incitations à corriger les erreurs une fois qu'elles sont exposées, et une faille publiée peut conduire à une version corrigée qui ne présente plus la même faiblesse.

La récupération dépend aussi du moment et des circonstances. Des données déjà volées ne peuvent pas être « dévolées », même si les copies chiffrées peuvent être restaurées. De nombreux incidents de rançongiciels impliquent à la fois le chiffrement et le vol de données, de sorte qu'un déchiffrement réussi n'efface pas les conséquences en matière de vie privée. La fuite HandyTrac dans une propriété gérée par Greystar est un exemple concret de la façon dont un incident de rançongiciel peut exposer des informations sensibles bien au-delà des fichiers de la victime initiale.

Étapes pratiques pour protéger vos fichiers et vos appareils

Personne ne devrait compter sur les erreurs cryptographiques des attaquants. De bonnes habitudes comptent bien davantage :

  1. Maintenez des sauvegardes hors ligne. Conservez au moins une sauvegarde déconnectée de votre ordinateur et de votre réseau, afin que le rançongiciel ne puisse pas la chiffrer. Testez périodiquement la restauration à partir de celle-ci.
  2. Suivez l'approche 3-2-1. Conservez trois copies des données importantes, sur deux types de supports, avec une copie hors site ou hors ligne.
  3. Mettez à jour les logiciels rapidement. Les systèmes d'exploitation, les navigateurs et les applications doivent recevoir les correctifs de sécurité dès qu'ils sont disponibles.
  4. Évitez les téléchargements et les pièces jointes suspects. Les logiciels piratés, les pièces jointes inattendues et les liens inconnus sont des voies de livraison courantes.
  5. Utilisez des mots de passe forts et uniques ainsi que l'authentification multifacteur pour compliquer la prise de contrôle par les attaquants.
  6. Limitez les privilèges des comptes. Utilisez un compte standard pour le travail quotidien plutôt qu'un compte administrateur.

Un VPN peut protéger votre trafic sur des réseaux non fiables, mais il n'arrête pas à lui seul un rançongiciel. Les sauvegardes, les mises à jour et un comportement prudent sont les défenses qui comptent ici.

Ce que cela signifie pour vous

Pour la plupart des lecteurs, l'essentiel concerne la préparation et la patience. Si un rançongiciel verrouille un jour vos fichiers, ne paniquez pas et ne payez pas immédiatement. Vérifiez s'il existe une option de récupération légitime, car des recherches comme celles de Check Point montrent que certaines souches peuvent être vaincues. En même temps, traitez tout incident de rançongiciel comme un possible vol de données : changez les mots de passe, surveillez les signes d'utilisation abusive et suivez les conseils de l'organisation qui détient vos données.

Points clés à retenir

La découverte selon laquelle le déchiffrement du rançongiciel HYFLOCK sans clé est possible est encourageante, mais elle relève de l'exception plutôt que de la règle. Maintenez des sauvegardes hors ligne, évitez les téléchargements suspects et ne payez jamais une rançon avant d'avoir cherché des outils de récupération légitimes. Pour voir comment un rançongiciel peut affecter des personnes bien au-delà de la victime initiale, lisez le sujet de la fuite HandyTrac et réfléchissez à ce que seraient vos propres routines de sauvegarde et de sécurité dans une situation similaire.