Istraživači Check Point Exposure Managementa pronašli su slabosti u enkripciji HYFLOCK ransomwarea koje su im omogućile oporavak šifriranih podataka bez ključa napadača. Ovo otkriće koristan je podsjetnik da je ransomware softver, a softver može imati mane. Za svakoga koga brine iznuda, dešifriranje HYFLOCK ransomwarea bez ključa značajan je rezultat, iako dolazi s važnim ogradama.
Izvorno izvješće je kratko, pa se ovaj članak drži onoga što je potvrđeno: istraživači su identificirali kriptografske slabosti u HYFLOCK-u, a te su slabosti omogućile oporavak bez plaćanja ili oslanjanja na kriminalce.
Kako su istraživači probili HYFLOCK-ovu enkripciju
Ransomware obično funkcionira tako da šifrira žrtvine datoteke i zatim zahtijeva plaćanje za ključ potreban za njihovo otključavanje. Snaga te sheme u potpunosti ovisi o tome koliko je dobro enkripcija implementirana. Čak i kada neki soj koristi dobro poznate algoritme, pogreške u načinu generiranja, pohrane ili primjene ključeva mogu ostaviti otvorena vrata.
Prema izvješću, istraživači Check Point Exposure Managementa pronašli su slabosti te vrste u HYFLOCK-u. Te su im mane omogućile oporavak podataka bez ključa koji bi napadači inače držali. Izvješće ne pruža daljnje tehničke pojedinosti u materijalu koji nam je dostupan, pa nećemo nagađati o konkretnom mehanizmu, o tome koje su verzije zahvaćene ni o tome postoji li javni alat za dešifriranje.
Što to znači za žrtve ransomwarea
Osnovna je lekcija jednostavna: plaćanje nije jedini put i rijetko bi trebalo biti prvi. Ako neki soj ima iskoristivu manu, žrtve mogu moći besplatno obnoviti datoteke. Istraživači i sigurnosne tvrtke ponekad objavljuju takva otkrića kako bi drugi mogli imati koristi.
Ako vas ikada pogodi ransomware, razmotrite ove korake prije nego što stupite u kontakt s napadačima:
- Izolirajte zahvaćeni uređaj od mreže kako biste ograničili daljnje širenje.
- Sačuvajte šifrirane datoteke i svaku poruku s otkupninom. One pomažu stručnjacima identificirati soj.
- Potražite legitimne alate za oporavak provjerenih sigurnosnih dobavljača i istraživača te potvrdite da je izvor pouzdan prije nego što bilo što preuzmete.
- Obratite se kvalificiranom stručnjaku za odgovor na incidente ako su podaci poslovno kritični.
Budite oprezni s preuzimanjem "dešifriranja" s neprovjerenih izvora. Lažni alati za oporavak dobro su poznat način da se izazove druga infekcija, stoga provjerite prije nego što bilo što pokrenete.
Zašto mana u jednom soju nije sigurnosna mreža
Bilo bi pogrešno ovo istraživanje shvatiti kao dokaz da je ransomware lako pobijediti. Slabost u HYFLOCK-u ne znači da su drugi sojevi ranjivi. Većina ransomware operatera ima snažne poticaje da isprave pogreške nakon što se otkriju, a objavljena mana može dovesti do zakrpane verzije koja više nema istu slabost.
Oporavak također ovisi o vremenu i okolnostima. Podaci koji su već ukradeni ne mogu se poništiti, čak i ako se šifrirane kopije mogu obnoviti. Mnogi incidenti s ransomwareom uključuju i enkripciju i krađu podataka, pa uspješno dešifriranje ne briše posljedice po privatnost. Provala u HandyTrac u objektu kojim upravlja Greystar stvarni je primjer kako incident s ransomwareom može izložiti osjetljive informacije daleko izvan datoteka izvorne žrtve.
Praktični koraci za zaštitu datoteka i uređaja
Nitko ne bi trebao računati na to da će napadači napraviti kriptografske pogreške. Jako važnije su dobre navike:
- Držite sigurnosne kopije izvan mreže. Održavajte barem jednu sigurnosnu kopiju odvojenu od računala i mreže kako je ransomware ne bi mogao šifrirati. Povremeno testirajte vraćanje iz nje.
- Slijedite pristup 3-2-1. Držite tri kopije važnih podataka, na dvije vrste medija, s jednom kopijom izvan lokacije ili izvan mreže.
- Redovito ažurirajte softver. Operativni sustavi, preglednici i aplikacije trebali bi dobiti sigurnosne zakrpe čim postanu dostupne.
- Izbjegavajte sumnjiva preuzimanja i privitke. Piratski softver, neočekivani privitci e-pošte i nepoznate poveznice uobičajeni su putevi dostave.
- Koristite jake, jedinstvene zaporke i višefaktorsku autentifikaciju kako biste napadačima otežali stjecanje uporišta.
- Ograničite privilegije računa. Za svakodnevni rad koristite standardni račun umjesto administratorskog.
VPN može zaštititi vaš promet na nepouzdanim mrežama, ali sam po sebi ne zaustavlja ransomware. Sigurnosne kopije, ažuriranja i oprezno ponašanje obrane su koje su ovdje važne.
Što to znači za vas
Za većinu čitatelja, poanta je u pripremi i strpljenju. Ako vam ransomware ikada zaključa datoteke, ne paničarite i ne plaćajte odmah. Provjerite postoji li legitimna opcija oporavka, jer istraživanja poput Check Pointovog pokazuju da se neki sojevi mogu pobijediti. Istodobno, svaki incident s ransomwareom tretirajte kao moguću krađu podataka: promijenite zaporke, pazite na znakove zloupotrebe i slijedite upute organizacije koja drži vaše podatke.
Ključni zaključci
Otkriće da je dešifriranje HYFLOCK ransomwarea bez ključa moguće ohrabruje, ali to je iznimka, a ne pravilo. Držite sigurnosne kopije izvan mreže, izbjegavajte sumnjiva preuzimanja i nikada ne plaćajte otkupninu prije nego što provjerite postoje li legitimni alati za oporavak. Da biste vidjeli kako ransomware može utjecati na ljude daleko izvan izvorne žrtve, pročitajte o provali u HandyTrac i razmislite kako bi izgledale vaše vlastite rutine sigurnosnih kopija i sigurnosti u sličnoj situaciji.
