Istraživači koji prate HYFLOCK opisali su ransomware operaciju koja neprestano iterira. Prema izvješću, njezini operateri izgradili su uzastopne Windows enkriptore koji zaključavaju datoteke, pristupaju mrežnim dijelovima i pokušavaju ometati oporavak. Izvorni je članak kratak na tehničkim detaljima, pa se ovaj post drži onoga što je izviješteno i fokusira se na praktične korake zaštite od HYFLOCK ransomwarea za ljude koji koriste Windows računala kod kuće ili u malom uredu.

Što rade HYFLOCKovi novi enkriptori

Prijavljeno ponašanje dijeli se na tri dijela. Prvo, enkriptori zaključavaju datoteke na zaraženom Windows računalu, čineći dokumente, fotografije i druge podatke nečitljivima bez ključa. Drugo, dosežu izvan lokalnog diska do mrežnih dijelova, što znači da jedno kompromitirano računalo može utjecati na datoteke pohranjene na NAS-u, zajedničkoj mapi ureda ili dijeljenom disku drugog računala. Treće, pokušavaju ometati oporavak, napadajući opcije koje bi žrtva inače koristila za povrat datoteka.

Riječ "uzastopni" je važna. Označava da operateri objavljuju poboljšane verzije svog alata umjesto da se oslanjaju na jednu jedinu verziju. Za branitelje to znači da pretpostavke temeljene na potpisima o jednoj verziji možda neće vrijediti za sljedeću, a osnovna otpornost važnija je od juranja za bilo kojim pojedinim uzorkom.

Izvorni članak ne detaljira kako su žrtve inicijalno kompromitirane, koliki se iznos otkupnine zahtijeva ni koliko je organizacija pogođeno, pa nećemo spekulirati o tim točkama.

Kako ransomware doseže mrežne dijelove i blokira oporavak

Opći obrazac vrijedi razumjeti čak i bez HYFLOCK-specifičnih pojedinosti. Ransomware koji se izvršava na Windows računalu obično nasljeđuje dopuštenja računa koji ga je pokrenuo. Ako taj račun može otvoriti dijeljenu mapu, zlonamjerni softver često može enkriptirati ono što je u njoj. Mapirani pogon koji je stalno povezan i omogućen za pisanje zapravo je produžetak lokalnog diska.

Ometanje oporavka druga je polovica problema. Mnogi se ljudi oslanjaju na prikladne sigurnosne mreže: lokalne pogone za sigurnosne kopije koji ostaju priključeni, mape za sinkronizaciju s oblakom ili ugrađene značajke vraćanja. Ransomware koji pokušava ometati oporavak cilja upravo na njih. Mapa za sinkronizaciju vjerno će prenijeti enkriptirane kopije, a trajno priključeni disk za sigurnosnu kopiju može biti enkriptiran zajedno sa svim ostalim.

Ovo je ključna lekcija iz HYFLOCK izvješća: sigurnosna kopija do koje zaraženo računalo može doći i koju može mijenjati nije u potpunosti sigurnosna kopija. Ista logika vrijedi i za krađu podataka, koja se može dogoditi odvojeno od enkripcije. Naše izvješće o Rhysida curi 5,79 TB berlinskih podataka nakon odbijanja otkupnine pokazuje što može uslijediti kada žrtve odbiju platiti.

Sigurnosne kopije i kontrole pristupa koje ublažavaju napad

Ovi koraci zaštite od HYFLOCK ransomwarea opća su dobra praksa i rješavaju ponašanja opisana u izvješću.

  • Držite jednu sigurnosnu kopiju odspojenu. Izmjenjujte vanjski pogon koji je priključen samo dok traje sigurnosno kopiranje, a zatim ga odspojite. Izvanmrežna kopija ne može se enkriptirati sa zaraženog računala.
  • Koristite verzionirane ili nepromjenjive sigurnosne kopije u oblaku. Odaberite uslugu koja čuva prethodne verzije datoteka kako biste se mogli vratiti na točku prije enkripcije, i zaštitite taj račun jakom, jedinstvenom lozinkom i višefaktorskom autentifikacijom.
  • Slijedite 3-2-1. Držite tri kopije važnih podataka, na dvije vrste medija, s jednom pohranjenom izvan lokacije ili izvanmrežno.
  • Ograničite dopuštenja za dijeljenje. Svakom korisniku i uređaju dajte pristup samo mapama koje su mu potrebne. Izbjegavajte trajno mapirane mrežne pogone s pravom pisanja kada je pravo čitanja dovoljno.
  • Odvojite administratorske i svakodnevne račune. Koristite standardni račun za svakodnevni rad kako bi zlonamjerni softver naslijedio manje prava.
  • Zakrpajte i ažurirajte. Održavajte Windows, preglednike i firmware usmjerivača ažurnima i držite sigurnosni softver uključenim.
  • Testirajte vraćanje. Sigurnosna kopija koju nikada niste vratili samo je pretpostavka. Pokušajte obnoviti nekoliko datoteka svakih nekoliko mjeseci.

Napadači sve više koriste automatizaciju i AI kako bi smanjili vještinu potrebnu za upade, trend koji smo analizirali u Anthropicovim nalazima o hakerima potpomognutim AI-jem koji su pogodili 20+ organizacija. To čini pouzdane osnove vrjednijima, a ne manje vrijednima.

Što VPN čini i ne čini protiv ransomwarea

VPN enkriptira promet između vašeg uređaja i VPN poslužitelja i skriva vašu IP adresu od stranica koje posjećujete. To je korisno na javnom Wi-Fi-ju i za privatnost. To nije obrana od ransomwarea. VPN ne skenira datoteke, ne sprječava izvršavanje zlonamjernog privitka niti sprječava već zaraženo računalo da enkriptira lokalne datoteke i mrežne dijelove.

Postoji jedna uska, neizravna korist: ako koristite VPN za daljinski pristup kućnim ili uredskim resursima, može izbjeći izlaganje usluga poput dijeljenja datoteka izravno internetu. Čak i tada, VPN račun treba jaku autentifikaciju, a povezani uređaj i dalje mora biti čist. Tretirajte VPN kao jedan sloj za privatnost i siguran daljinski pristup, ne kao zamjenu za sigurnosne kopije i dopuštenja.

Što to znači za vas

HYFLOCK izvješće podsjetnik je da ransomware nije samo stvar datoteke na vašoj radnoj površini. Može dosegnuti dijeljenu pohranu i mijenjati alate koje biste koristili za oporavak. Ako je vaša jedina sigurnosna kopija uvijek povezana s vašim računalom ili se automatski sinkronizira, može podijeliti sudbinu vaših datoteka.

Za male urede izloženost je veća jer dijeljene mape sadrže rad svih. Jedno zaraženo prijenosno računalo sa širokim pristupom može imati nerazmjerno velik utjecaj. Krađa podataka također je odvojen rizik: čak i uz dobre sigurnosne kopije, ukradene datoteke i dalje mogu procuriti, kao u tužbama IDScan zbog navodnog proboja 153 milijuna vozačkih dozvola, gdje su se posljedice izloženih podataka odigrale na sudu.

Ključni koraci za djelovanje

  1. Danas provjerite gdje se nalaze vaše sigurnosne kopije i može li vaše računalo stalno pisati u njih.
  2. Stvorite ili izmijenite izvanmrežnu sigurnosnu kopiju svojih najvažnijih datoteka.
  3. Pregledajte koji su mrežni dijelovi mapirani i tko ima pravo pisanja.
  4. Prebacite svakodnevno korištenje na račun koji nije administrator i omogućite višefaktorsku autentifikaciju na računima u oblaku i računima za sigurnosne kopije.
  5. Testirajte vraćanje datoteke iz svake sigurnosne kopije.

Solidni koraci zaštite od HYFLOCK ransomwarea ne zahtijevaju skupe alate, samo sigurnosne kopije i pravila pristupa koja još funkcioniraju kada napadač krene na sigurnosnu mrežu. Za više o tome što se događa kada se zahtjevi za otkupninom odbiju, pročitajte naše izvješće o Rhysida curenju berlinskih podataka, a zatim revidirajte vlastitu postavku dok je još rutinski zadatak.