Peneliti yang melacak HYFLOCK mendeskripsikan operasi ransomware yang terus berulang. Menurut laporan tersebut, operatornya telah membangun enkriptor Windows berturut-turut yang mengunci file, mengakses share jaringan, dan mencoba menghalangi pemulihan. Artikel sumbernya singkat mengenai detail teknis, jadi postingan ini berpegang pada apa yang telah dilaporkan dan berfokus pada langkah-langkah praktis perlindungan ransomware HYFLOCK bagi orang-orang yang menjalankan PC Windows di rumah atau di kantor kecil.
Apa yang dilakukan enkriptor baru HYFLOCK
Perilaku yang dilaporkan terbagi menjadi tiga bagian. Pertama, enkriptor mengunci file pada mesin Windows yang terinfeksi, membuat dokumen, foto, dan data lain tidak dapat dibaca tanpa kunci. Kedua, mereka menjangkau melampaui disk lokal ke share jaringan, yang berarti satu PC yang terkompromi dapat memengaruhi file yang disimpan di NAS, folder kantor bersama, atau drive bersama komputer lain. Ketiga, mereka mencoba menghalangi pemulihan, menyerang opsi yang biasanya digunakan korban untuk mendapatkan kembali file.
Kata "berturut-turut" itu penting. Ini menunjukkan bahwa operator merilis versi perangkat yang lebih baik daripada mengandalkan satu build. Bagi defender, itu berarti asumsi berbasis signature tentang satu versi mungkin tidak berlaku untuk versi berikutnya, dan ketahanan dasar lebih penting daripada mengejar sampel mana pun.
Artikel sumber tidak merinci bagaimana korban awalnya terkompromi, berapa besar tebusan yang diminta, atau berapa banyak organisasi yang terdampak, jadi kami tidak akan berspekulasi pada poin-poin tersebut.
Bagaimana ransomware menjangkau share jaringan dan memblokir pemulihan
Pola umumnya layak dipahami bahkan tanpa spesifik HYFLOCK. Ransomware yang berjalan pada mesin Windows biasanya mewarisi izin dari akun yang menjalankannya. Jika akun itu dapat membuka folder bersama, malware sering kali dapat mengenkripsi apa yang ada di dalamnya. Drive yang dipetakan yang selalu terhubung dan dapat ditulis secara efektif merupakan perpanjangan dari disk lokal.
Penghalangan pemulihan adalah separuh masalah lainnya. Banyak orang mengandalkan jaring pengaman yang nyaman: drive cadangan lokal yang tetap terpasang, folder sinkronisasi cloud, atau fitur pemulihan bawaan. Ransomware yang mencoba mengganggu pemulihan menargetkan tepat hal-hal ini. Folder sinkronisasi akan dengan setia mengunggah salinan terenkripsi, dan disk cadangan yang terpasang permanen dapat dienkripsi bersama semua yang lain.
Ini adalah pelajaran kunci dari laporan HYFLOCK: cadangan yang dapat dijangkau dan dimodifikasi oleh komputer yang terinfeksi bukanlah cadangan sepenuhnya. Logika yang sama berlaku untuk pencurian data, yang dapat terjadi secara terpisah dari enkripsi. Liputan kami tentang Rhysida membocorkan 5,79TB data Berlin setelah penolakan tebusan menunjukkan apa yang dapat terjadi setelah korban menolak membayar.
Cadangan dan kontrol akses yang memperlambat serangan
Langkah-langkah perlindungan ransomware HYFLOCK ini adalah praktik baik umum, dan mereka mengatasi perilaku yang dijelaskan dalam laporan.
- Pertahankan satu cadangan terputus. Putar drive eksternal yang hanya terpasang saat cadangan berjalan, lalu cabut. Salinan offline tidak dapat dienkripsi dari PC yang terinfeksi.
- Gunakan cadangan cloud berversi atau immutable. Pilih layanan yang menyimpan versi file sebelumnya sehingga Anda dapat memutar kembali ke titik sebelum enkripsi, dan lindungi akun itu dengan kata sandi yang kuat dan unik serta autentikasi multifaktor.
- Ikuti 3-2-1. Simpan tiga salinan data penting, pada dua jenis media, dengan satu disimpan di luar lokasi atau offline.
- Batasi izin share. Beri setiap pengguna dan perangkat akses hanya ke folder yang dibutuhkannya. Hindari membiarkan drive jaringan dipetakan secara permanen dengan akses tulis ketika akses baca sudah cukup.
- Pisahkan akun admin dan akun harian. Gunakan akun standar untuk pekerjaan sehari-hari agar malware mewarisi lebih sedikit hak.
- Tambal dan perbarui. Jaga Windows, browser, dan firmware router tetap mutakhir, dan biarkan perangkat lunak keamanan tetap aktif.
- Uji pemulihan. Cadangan yang belum pernah Anda pulihkan hanyalah asumsi. Coba pulihkan beberapa file setiap beberapa bulan.
Penyerang semakin banyak menggunakan otomasi dan AI untuk menurunkan keterampilan yang dibutuhkan untuk intrusi, sebuah tren yang kami teliti dalam Temuan Anthropic tentang peretas berbantuan AI yang menyerang 20+ organisasi. Itu membuat dasar-dasar yang dapat diandalkan lebih berharga, bukan sebaliknya.
Apa yang dilakukan dan tidak dilakukan VPN terhadap ransomware
VPN mengenkripsi lalu lintas antara perangkat Anda dan server VPN serta menyembunyikan alamat IP Anda dari situs yang Anda kunjungi. Itu berguna di Wi-Fi publik dan untuk privasi. Itu bukan pertahanan ransomware. VPN tidak memindai file, menghentikan lampiran berbahaya agar tidak berjalan, atau mencegah PC yang sudah terinfeksi mengenkripsi file lokal dan share jaringan.
Ada satu manfaat sempit dan tidak langsung: jika Anda menggunakan VPN untuk menjangkau sumber daya rumah atau kantor dari jarak jauh, itu dapat menghindari mengekspos layanan seperti share file secara langsung ke internet. Meskipun demikian, akun VPN memerlukan autentikasi yang kuat, dan perangkat yang terhubung tetap harus bersih. Perlakukan VPN sebagai salah satu lapisan untuk privasi dan akses jarak jauh yang aman, bukan sebagai pengganti cadangan dan izin.
Apa Artinya Bagi Anda
Laporan HYFLOCK adalah pengingat bahwa ransomware bukan hanya tentang file di desktop Anda. Itu dapat menjangkau penyimpanan bersama dan merusak alat yang akan Anda gunakan untuk memulihkan. Jika satu-satunya cadangan Anda selalu terhubung ke PC, atau tersinkronisasi secara otomatis, itu mungkin bernasib sama dengan file Anda.
Untuk kantor kecil, eksposurnya lebih besar karena folder bersama menyimpan pekerjaan semua orang. Satu laptop yang terinfeksi dengan akses luas dapat berdampak besar. Pencurian data juga merupakan risiko terpisah: bahkan dengan cadangan yang baik, file yang dicuri tetap dapat dibocorkan, seperti dalam gugatan IDScan atas dugaan pelanggaran 153 juta SIM pengemudi, di mana konsekuensi data yang terekspos berlangsung di pengadilan.
Poin tindakan yang dapat dilakukan
- Hari ini, periksa di mana cadangan Anda berada dan apakah PC Anda dapat menulis ke sana setiap saat.
- Buat atau putar cadangan offline dari file terpenting Anda.
- Tinjau share jaringan mana yang dipetakan dan siapa yang memiliki akses tulis.
- Alihkan penggunaan harian ke akun non-administrator dan aktifkan autentikasi multifaktor pada akun cloud dan cadangan.
- Uji pemulihan file dari setiap cadangan.
Langkah-langkah perlindungan ransomware HYFLOCK yang solid tidak memerlukan alat mahal, hanya cadangan dan aturan akses yang tetap berfungsi ketika penyerang menyerang jaring pengaman. Untuk lebih lanjut tentang apa yang terjadi ketika permintaan tebusan ditolak, baca laporan kami tentang kebocoran data Berlin oleh Rhysida, lalu audit pengaturan Anda sendiri selagi itu masih menjadi tugas rutin.
