Peneliti Check Point Exposure Management telah menemukan kelemahan enkripsi pada ransomware HYFLOCK yang memungkinkan mereka memulihkan data terenkripsi tanpa kunci milik penyerang. Temuan ini menjadi pengingat berguna bahwa ransomware adalah perangkat lunak, dan perangkat lunak bisa memiliki cacat. Bagi siapa pun yang khawatir tentang pemerasan, dekripsi ransomware HYFLOCK tanpa kunci adalah hasil yang patut dicatat, meskipun disertai catatan penting.
Laporan sumbernya singkat, sehingga artikel ini berpegang pada apa yang telah dikonfirmasi: para peneliti mengidentifikasi kelemahan kriptografis pada HYFLOCK, dan kelemahan tersebut memungkinkan pemulihan tanpa membayar atau bergantung pada para pelaku kejahatan.
Bagaimana Peneliti Menembus Enkripsi HYFLOCK
Ransomware biasanya bekerja dengan mengenkripsi file korban dan kemudian menuntut pembayaran untuk kunci yang diperlukan guna membukanya. Kekuatan skema tersebut sepenuhnya bergantung pada seberapa baik enkripsi diimplementasikan. Bahkan ketika suatu varian menggunakan algoritma yang sudah dikenal, kesalahan dalam cara kunci dihasilkan, disimpan, atau diterapkan dapat meninggalkan celah.
Menurut laporan tersebut, peneliti Check Point Exposure Management menemukan kelemahan semacam ini pada HYFLOCK. Cacat tersebut memungkinkan mereka memulihkan data tanpa kunci yang biasanya dipegang penyerang. Laporan itu tidak memberikan detail teknis lebih lanjut dalam materi yang tersedia bagi kami, jadi kami tidak akan berspekulasi tentang mekanisme spesifiknya, versi mana yang terdampak, atau apakah ada alat dekripsi publik.
Apa Artinya bagi Korban Ransomware
Pelajaran intinya sederhana: membayar bukan satu-satunya jalan, dan seharusnya jarang menjadi jalan pertama. Jika suatu varian memiliki cacat yang dapat dieksploitasi, korban mungkin dapat memulihkan file tanpa biaya. Peneliti dan perusahaan keamanan terkadang menerbitkan temuan semacam itu agar orang lain dapat memanfaatkannya.
Jika Anda pernah terkena ransomware, pertimbangkan langkah-langkah berikut sebelum berinteraksi dengan penyerang:
- Isolasi perangkat yang terdampak dari jaringan untuk membatasi penyebaran lebih lanjut.
- Simpan file terenkripsi dan catatan tebusan apa pun. Keduanya membantu pakar mengidentifikasi varian tersebut.
- Cari alat pemulihan yang sah dari vendor keamanan dan peneliti terpercaya, dan pastikan sumbernya dapat dipercaya sebelum mengunduh apa pun.
- Hubungi profesional respons insiden yang berkualifikasi jika data tersebut kritis bagi bisnis.
Berhati-hatilah terhadap unduhan "dekriptor" dari sumber yang tidak terverifikasi. Alat pemulihan palsu adalah cara yang sudah dikenal untuk menyebabkan infeksi kedua, jadi verifikasi sebelum Anda menjalankan apa pun.
Mengapa Cacat pada Satu Varian Bukan Jaring Pengaman
Adalah kesalahan untuk membaca penelitian ini sebagai bukti bahwa ransomware mudah dikalahkan. Kelemahan pada HYFLOCK tidak berarti varian lain dapat ditembus. Sebagian besar operator ransomware memiliki insentif kuat untuk memperbaiki kesalahan setelah terekspos, dan cacat yang dipublikasikan dapat menghasilkan versi yang ditambal dan tidak lagi memiliki kelemahan yang sama.
Pemulihan juga bergantung pada waktu dan keadaan. Data yang sudah dicuri tidak dapat "tidak-dicuri", bahkan jika salinan terenkripsinya dapat dipulihkan. Banyak insiden ransomware melibatkan enkripsi sekaligus pencurian data, sehingga dekripsi yang berhasil tidak menghapus konsekuensi privasi. Pelanggaran HandyTrac di properti yang dikelola Greystar adalah contoh nyata bagaimana insiden ransomware dapat mengekspos informasi sensitif jauh melampaui file korban awal.
Langkah Praktis untuk Melindungi File dan Perangkat Anda
Tidak seorang pun boleh mengandalkan penyerang melakukan kesalahan kriptografis. Kebiasaan yang kuat jauh lebih penting:
- Jaga cadangan offline. Pertahankan setidaknya satu cadangan yang terputus dari komputer dan jaringan Anda, agar ransomware tidak dapat mengenkripsinya. Uji pemulihan darinya secara berkala.
- Ikuti pendekatan 3-2-1. Simpan tiga salinan data penting, pada dua jenis penyimpanan, dengan satu salinan di lokasi lain atau offline.
- Perbarui perangkat lunak dengan segera. Sistem operasi, peramban, dan aplikasi harus menerima tambalan keamanan segera setelah tersedia.
- Hindari unduhan dan lampiran yang mencurigakan. Perangkat lunak bajakan, lampiran email tak terduga, dan tautan asing adalah jalur penyebaran yang umum.
- Gunakan kata sandi yang kuat dan unik serta autentikasi multifaktor untuk mempersulit penyerang mendapatkan pijakan.
- Batasi hak istimewa akun. Gunakan akun standar untuk pekerjaan sehari-hari daripada akun administrator.
VPN dapat melindungi lalu lintas Anda di jaringan yang tidak tepercaya, tetapi tidak menghentikan ransomware dengan sendirinya. Cadangan, pembaruan, dan perilaku berhati-hati adalah pertahanan yang penting di sini.
Apa Artinya bagi Anda
Bagi sebagian besar pembaca, intinya adalah tentang persiapan dan kesabaran. Jika ransomware pernah mengunci file Anda, jangan panik dan jangan langsung membayar. Periksa apakah ada opsi pemulihan yang sah, karena penelitian seperti milik Check Point menunjukkan bahwa beberapa varian dapat dikalahkan. Pada saat yang sama, perlakukan setiap peristiwa ransomware sebagai kemungkinan insiden pencurian data: ubah kata sandi, awasi tanda-tanda penyalahgunaan, dan ikuti panduan dari organisasi yang menyimpan data Anda.
Poin Penting
Temuan bahwa dekripsi ransomware HYFLOCK tanpa kunci dapat dilakukan memang menggembirakan, tetapi itu adalah pengecualian, bukan aturan. Jaga cadangan offline, hindari unduhan mencurigakan, dan jangan pernah membayar tebusan sebelum memeriksa alat pemulihan yang sah. Untuk melihat bagaimana ransomware dapat memengaruhi orang jauh melampaui korban awal, baca tentang pelanggaran HandyTrac dan pertimbangkan seperti apa rutinitas pencadangan dan keamanan Anda sendiri dalam situasi serupa.
