A Check Point Exposure Management kutatói titkosítási gyengeségeket találtak a HYFLOCK zsarolóvírusban, amelyek lehetővé tették számukra a titkosított adatok helyreállítását a támadók kulcsa nélkül. A felfedezés hasznos emlékeztető arra, hogy a zsarolóvírus szoftver, és a szoftver hibás lehet. Mindazok számára, akiket aggaszt a zsarolás, a HYFLOCK zsarolóvírus kulcs nélküli visszafejtése figyelemre méltó eredmény, bár fontos fenntartásokkal jár.

A forrásjelentés rövid, ezért ez a cikk ahhoz tartja magát, ami megerősítést nyert: a kutatók kriptográfiai gyengeségeket azonosítottak a HYFLOCK-ban, és ezek a gyengeségek lehetővé tették a helyreállítást anélkül, hogy fizettek volna, vagy a bűnözőkre támaszkodtak volna.

Hogyan törték fel a kutatók a HYFLOCK titkosítását

A zsarolóvírus jellemzően úgy működik, hogy titkosítja az áldozat fájljait, majd fizetést követel a feloldásukhoz szükséges kulcsért. E rendszer erőssége teljes mértékben attól függ, milyen jól valósították meg a titkosítást. Még ha egy törzs jól ismert algoritmusokat használ, a kulcsok generálásában, tárolásában vagy alkalmazásában elkövetett hibák nyitva hagyhatnak egy ajtót.

A jelentés szerint a Check Point Exposure Management kutatói ilyen jellegű gyengeségeket találtak a HYFLOCK-ban. Ezek a hibák lehetővé tették számukra az adatok helyreállítását a támadók által általában birtokolt kulcs nélkül. A jelentés a rendelkezésünkre álló anyagban nem nyújt további technikai részleteket, ezért nem találgatunk a konkrét mechanizmusról, arról, hogy mely verziók érintettek, vagy hogy létezik-e nyilvános visszafejtő eszköz.

Mit jelent ez a zsarolóvírus áldozatai számára

Az alapvető tanulság egyszerű: a fizetés nem az egyetlen út, és ritkán kellene az elsőnek lennie. Ha egy törzsben van kihasználható hiba, az áldozatok költségmentesen helyreállíthatják a fájlokat. A kutatók és biztonsági cégek néha közzéteszik az ilyen felfedezéseket, hogy mások is profitálhassanak belőlük.

Ha valaha zsarolóvírus támadja meg Önt, fontolja meg ezeket a lépéseket, mielőtt kapcsolatba lépne a támadókkal:

  • Izolálja az érintett eszközt a hálózattól, hogy korlátozza a további terjedést.
  • Őrizze meg a titkosított fájlokat és bármilyen váltságdíj-követelő üzenetet. Ezek segítenek a szakértőknek azonosítani a törzset.
  • Keressen legitim helyreállítási eszközöket jó hírű biztonsági szállítóktól és kutatóktól, és győződjön meg arról, hogy a forrás megbízható, mielőtt bármit letöltene.
  • Forduljon képzett incidenskezelési szakemberhez, ha az adatok üzletileg kritikusak.

Legyen óvatos az ellenőrizetlen forrásokból származó „visszafejtő” letöltésekkel. A hamis helyreállítási eszközök jól ismert módjai a második fertőzés okozásának, ezért ellenőrizze, mielőtt bármit futtatna.

Miért nem jelent biztonsági hálót egy törzs hibája

Hiba lenne ezt a kutatást annak bizonyítékaként értelmezni, hogy a zsarolóvírust könnyű legyőzni. A HYFLOCK gyengesége nem jelenti azt, hogy más törzsek feltörhetők. A legtöbb zsarolóvírus-üzemeltetőnek erős ösztönzője van arra, hogy kijavítsa a hibákat, miután azok kiderülnek, és egy közzétett hiba javított verzióhoz vezethet, amely már nem rendelkezik ugyanazzal a gyengeséggel.

A helyreállítás az időzítéstől és a körülményektől is függ. A már ellopott adatokat nem lehet vissza nem lopni, még akkor sem, ha a titkosított másolatok helyreállíthatók. Sok zsarolóvírus-incidens magában foglalja a titkosítást és az adatlopást is, így a sikeres visszafejtés nem törli a magánéletre gyakorolt következményeket. A HandyTrac adatvédelmi incidens egy Greystar által kezelt ingatlannál valós példa arra, hogyan tehet ki egy zsarolóvírus-incidens érzékeny információkat jóval az eredeti áldozat fájljain túl is.

Gyakorlati lépések fájljai és eszközei védelmére

Senkinek sem szabadna arra számítania, hogy a támadók kriptográfiai hibákat követnek el. A szilárd szokások sokkal fontosabbak:

  1. Tartson offline biztonsági mentéseket. Tartson legalább egy biztonsági mentést a számítógépétől és a hálózatától leválasztva, hogy a zsarolóvírus ne tudja titkosítani. Rendszeresen tesztelje a visszaállítást belőle.
  2. Kövesse a 3-2-1 megközelítést. Tartson három másolatot a fontos adatokról, kétféle tárolótípuson, egy másolattal távoli helyen vagy offline.
  3. Frissítse a szoftvereket haladéktalanul. Az operációs rendszerek, böngészők és alkalmazások kapják meg a biztonsági javításokat, amint elérhetők.
  4. Kerülje a gyanús letöltéseket és mellékleteket. A kalózszoftverek, a váratlan e-mail-mellékletek és az ismeretlen hivatkozások gyakori támadási útvonalak.
  5. Használjon erős, egyedi jelszavakat és többtényezős hitelesítést, hogy megnehezítse a támadók számára a lába megvetését.
  6. Korlátozza a fiókjogosultságokat. A napi munkához használjon normál fiókot adminisztrátori fiók helyett.

A VPN védheti a forgalmát nem megbízható hálózatokon, de önmagában nem állítja meg a zsarolóvírust. A biztonsági mentések, a frissítések és az óvatos viselkedés azok a védekezések, amelyek itt számítanak.

Mit jelent ez Önnek

A legtöbb olvasó számára a tanulság a felkészülésről és a türelemről szól. Ha valaha zsarolóvírus zárolja a fájljait, ne essen pánikba, és ne fizessen azonnal. Ellenőrizze, hogy létezik-e legitim helyreállítási lehetőség, mivel a Check Pointéhoz hasonló kutatások rámutatnak, hogy egyes törzsek legyőzhetők. Ugyanakkor kezeljen minden zsarolóvírus-eseményt lehetséges adatlopási incidensként: változtassa meg a jelszavait, figyelje a visszaélés jeleit, és kövesse az adatait tároló szervezet útmutatását.

Fő tanulságok

Az a felfedezés, hogy a HYFLOCK zsarolóvírus kulcs nélküli visszafejtése lehetséges, bíztató, de ez inkább kivétel, mint szabály. Tartson offline biztonsági mentéseket, kerülje a gyanús letöltéseket, és soha ne fizessen váltságdíjat, mielőtt ellenőrizné a legitim helyreállítási eszközöket. Hogy lássa, hogyan érintheti a zsarolóvírus az embereket jóval az eredeti áldozaton túl is, olvasson a HandyTrac adatvédelmi incidensről, és gondolja át, hogyan néznének ki a saját biztonsági mentési és biztonsági rutinjai egy hasonló helyzetben.