A HYFLOCK nyomkövetésével foglalkozó kutatók egy olyan zsarolóvírus-műveletet írtak le, amely folyamatosan fejlődik. A beszámoló szerint a működtetők egymást követő Windows-titkosítókat építettek, amelyek zárolják a fájlokat, hozzáférnek a hálózati megosztásokhoz, és megpróbálják akadályozni a helyreállítást. A forráscikk rövid a technikai részleteket illetően, ezért ez a bejegyzés ahhoz tartja magát, amit jelentettek, és a gyakorlati HYFLOCK zsarolóvírus-védelmi lépésekre összpontosít azok számára, akik otthon vagy kis irodában Windows-számítógépeket használnak.

Mit tesznek a HYFLOCK új titkosítói

A jelentett viselkedés három részre osztható. Először is, a titkosítók zárolják a fájlokat a fertőzött Windows-gépen, kulcs nélkül olvashatatlanná téve a dokumentumokat, fényképeket és egyéb adatokat. Másodszor, túlnyúlnak a helyi lemezen, és elérik a hálózati megosztásokat, ami azt jelenti, hogy egyetlen kompromittált PC érintheti a NAS-on, egy megosztott irodai mappában vagy egy másik számítógép megosztott meghajtóján tárolt fájlokat. Harmadszor, megpróbálják akadályozni a helyreállítást, és azokat a lehetőségeket veszik célba, amelyeket az áldozat általában a fájlok visszaszerzésére használna.

A „successive” (egymást követő) szó számít. Azt jelzi, hogy a működtetők eszközeik továbbfejlesztett változatait adják ki, nem pedig egyetlen buildre támaszkodnak. A védekezők számára ez azt jelenti, hogy az egyik verzióra vonatkozó szignatúraalapú feltételezések nem feltétlenül érvényesek a következőre, és az alapvető ellenállóképesség fontosabb, mint bármelyik minta üldözése.

A forráscikk nem részletezi, hogyan kompromittálják kezdetben az áldozatokat, mekkora váltságdíjat követelnek, vagy hány szervezetet érintenek, ezért ezekről a pontokról nem spekulálunk.

Hogyan ér el a zsarolóvírus a hálózati megosztásokhoz és hogyan blokkolja a helyreállítást

Az általános minta megértése akkor is érdemes, ha nincsenek HYFLOCK-specifikus részletek. A Windows-gépen futó zsarolóvírus általában annak a fióknak az engedélyeit örökli, amely elindította. Ha az a fiók meg tud nyitni egy megosztott mappát, a kártevő gyakran titkosítani tudja a benne lévő tartalmat. Egy mindig csatlakoztatott és írható meghajtóbetűjel gyakorlatilag a helyi lemez kiterjesztése.

A helyreállítás akadályozása a probléma másik fele. Sokan kényelmes biztonsági hálókra támaszkodnak: helyi biztonsági mentési meghajtókra, amelyek csatlakoztatva maradnak, felhőszinkronizálási mappákra vagy beépített visszaállítási funkciókra. A helyreállításba beavatkozni próbáló zsarolóvírus pontosan ezeket célozza. Egy szinkronizálási mappa hűségesen feltölti a titkosított másolatokat, és egy állandóan csatlakoztatott biztonsági mentési lemez minden más mellett titkosítható.

Ez a HYFLOCK-beszámoló kulcsfontosságú tanulsága: az a biztonsági mentés, amelyet a fertőzött számítógép el tud érni és módosítani tud, nem teljesen biztonsági mentés. Ugyanez a logika vonatkozik az adatlopásra is, amely a titkosítástól függetlenül is megtörténhet. A Rhysida 5,79TB berlini adat kiszivárogtatásáról szóló, váltságdíj-fizetés megtagadása utáni tudósításunk megmutatja, mi következhet, amikor az áldozatok nem fizetnek.

Biztonsági mentések és hozzáférés-vezérlések, amelyek tompítják a támadást

Ezek a HYFLOCK zsarolóvírus-védelmi lépések általános jó gyakorlatok, és a jelentésben leírt viselkedéseket kezelik.

  • Tartson egy biztonsági mentést leválasztva. Forgasson egy külső meghajtót, amelyet csak a biztonsági mentés futása közben csatlakoztat, majd húzza ki. Egy offline másolatot nem lehet titkosítani a fertőzött PC-ről.
  • Használjon verziózott vagy megváltoztathatatlan felhőalapú biztonsági mentéseket. Válasszon olyan szolgáltatást, amely megőrzi a korábbi fájlverziókat, hogy vissza tudjon állni a titkosítás előtti pontra, és védje meg azt a fiókot erős, egyedi jelszóval és többtényezős hitelesítéssel.
  • Kövesse a 3-2-1 szabályt. Tartson három másolatot a fontos adatokról, kétféle adathordozón, egyet pedig tároljon távoli helyen vagy offline.
  • Korlátozza a megosztási engedélyeket. Minden felhasználónak és eszköznek csak azokhoz a mappákhoz adjon hozzáférést, amelyekre szüksége van. Kerülje a hálózati meghajtók állandó írási hozzáféréssel való csatlakoztatását, ha az olvasási hozzáférés elegendő.
  • Válassza külön az adminisztrátori és a napi fiókokat. A mindennapi munkához használjon normál fiókot, hogy a kártevő kevesebb jogot örököljön.
  • Javítson és frissítsen. Tartsa naprakészen a Windows-t, a böngészőket és az útválasztó firmware-jét, és tartsa engedélyezve a biztonsági szoftvert.
  • Tesztelje a visszaállítást. Az a biztonsági mentés, amelyet soha nem állított vissza, csak feltételezés. Néhány havonta próbáljon meg visszaállítani néhány fájlt.

A támadók egyre inkább automatizálást és AI-t használnak, hogy csökkentsék a behatolásokhoz szükséges szakértelmet – ezt a tendenciát vizsgáltuk az Anthropic azon megállapításaiban, amelyek szerint AI-t használó hackerek 20+ szervezetet értek el című cikkünkben. Ez értékesebbé, nem pedig kevésbé értékessé teszi a megbízható alapokat.

Mit tesz és mit nem tesz egy VPN a zsarolóvírus ellen

A VPN titkosítja az eszköze és a VPN-kiszolgáló közötti forgalmat, és elrejti az IP-címét az Ön által meglátogatott webhelyek elől. Ez hasznos nyilvános Wi-Fi-n és az adatvédelem szempontjából. Ez nem zsarolóvírus-védelem. A VPN nem vizsgálja a fájlokat, nem akadályozza meg egy rosszindulatú melléklet futását, és nem akadályozza meg egy már fertőzött PC-t abban, hogy titkosítsa a helyi fájlokat és a hálózati megosztásokat.

Van egy szűk, közvetett előny: ha VPN-t használ az otthoni vagy irodai erőforrások távoli eléréséhez, elkerülheti az olyan szolgáltatások, mint a fájlmegosztások közvetlen internetre való kitételét. Még ekkor is a VPN-fióknak erős hitelesítésre van szüksége, és a csatlakoztatott eszköznek is tisztának kell lennie. Tekintse a VPN-t az adatvédelem és a biztonságos távoli hozzáférés egyik rétegének, nem pedig a biztonsági mentések és engedélyek helyettesítőjének.

Mit jelent ez Önnek

A HYFLOCK-beszámoló emlékeztető arra, hogy a zsarolóvírus nem csak az asztalon lévő fájlról szól. Elérheti a megosztott tárhelyet, és manipulálhatja azokat az eszközöket, amelyeket a helyreállításhoz használna. Ha az egyetlen biztonsági mentése mindig csatlakoztatva van a PC-hez, vagy automatikusan szinkronizál, akkor osztozhat a fájljai sorsában.

Kis irodák esetében nagyobb a kitettség, mert a megosztott mappák mindenki munkáját tartalmazzák. Egy széles hozzáféréssel rendelkező fertőzött laptop aránytalanul nagy hatással lehet. Az adatlopás szintén külön kockázat: még jó biztonsági mentések mellett is a ellopott fájlok kiszivároghatnak, mint az IDScan-perekben 153 millió jogosítvány állítólagos adatszivárgása miatt, ahol a kiszivárgott adatok következményei bíróságon bontakoztak ki.

Cselekvésre ösztönző tanulságok

  1. Ma ellenőrizze, hol vannak a biztonsági mentései, és hogy a PC-je mindenkor tud-e írni rájuk.
  2. Hozzon létre vagy forgasson egy offline biztonsági mentést a legfontosabb fájljairól.
  3. Tekintse át, mely hálózati megosztások vannak csatlakoztatva, és kinek van írási hozzáférése.
  4. Váltson a napi használatban nem adminisztrátori fiókra, és engedélyezze a többtényezős hitelesítést a felhő- és biztonságimentés-fiókokon.
  5. Tesztelje egy fájl visszaállítását minden egyes biztonsági mentésből.

A szilárd HYFLOCK zsarolóvírus-védelmi lépésekhez nem kellenek drága eszközök, csak olyan biztonsági mentések és hozzáférési szabályok, amelyek akkor is működnek, amikor a támadó a biztonsági hálót veszi célba. Ha többet szeretne megtudni arról, mi történik a váltságdíj-követelések megtagadásakor, olvassa el a Rhysida berlini adatszivárgásáról szóló jelentésünket, majd vizsgálja felül a saját beállításait, amíg az még rutinfeladat.