I ricercatori che seguono HYFLOCK hanno descritto un'operazione ransomware che continua a iterare. Secondo il resoconto, i suoi operatori hanno sviluppato successivi encryptor per Windows che bloccano i file, accedono alle condivisioni di rete e tentano di ostacolare il ripristino. L'articolo di origine è sintetico sui dettagli tecnici, quindi questo post si attiene a quanto riportato e si concentra su passi pratici per la protezione dal ransomware HYFLOCK per chi gestisce PC Windows a casa o in un piccolo ufficio.

Cosa fanno i nuovi encryptor di HYFLOCK

Il comportamento riportato si divide in tre parti. Primo, gli encryptor bloccano i file sulla macchina Windows infetta, rendendo documenti, foto e altri dati illeggibili senza una chiave. Secondo, si spingono oltre il disco locale fino alle condivisioni di rete, il che significa che un singolo PC compromesso può colpire file archiviati su un NAS, una cartella condivisa d'ufficio o l'unità condivisa di un altro computer. Terzo, tentano di ostacolare il ripristino, attaccando le opzioni che una vittima userebbe normalmente per recuperare i file.

La parola "successivi" è importante. Indica che gli operatori stanno rilasciando versioni migliorate dei loro strumenti anziché affidarsi a una singola build. Per i difensori, questo significa che le supposizioni basate sulle firme relative a una versione potrebbero non valere per la successiva, e la resilienza di base conta più dell'inseguimento di un singolo campione.

L'articolo di origine non dettaglia come le vittime vengano inizialmente compromesse, quanto riscatto venga richiesto o quante organizzazioni siano colpite, quindi non speculeremo su questi punti.

Come il ransomware raggiunge le condivisioni di rete e blocca il ripristino

Vale la pena comprendere il pattern generale anche senza dettagli specifici su HYFLOCK. Il ransomware in esecuzione su una macchina Windows eredita tipicamente i permessi dell'account che lo ha avviato. Se quell'account può aprire una cartella condivisa, il malware può spesso crittografare ciò che contiene. Un'unità mappata sempre connessa e scrivibile è di fatto un'estensione del disco locale.

L'ostruzione del ripristino è l'altra metà del problema. Molte persone si affidano a comode reti di sicurezza: dischi di backup locali che restano collegati, cartelle di sincronizzazione cloud o funzionalità di ripristino integrate. Il ransomware che cerca di interferire con il ripristino punta esattamente a queste. Una cartella di sincronizzazione caricherà fedelmente copie crittografate, e un disco di backup permanentemente collegato può essere crittografato insieme a tutto il resto.

Questa è la lezione chiave dal resoconto su HYFLOCK: un backup che il computer infetto può raggiungere e modificare non è del tutto un backup. La stessa logica vale per il furto di dati, che può avvenire separatamente dalla crittografia. La nostra copertura di Rhysida che divulga 5,79TB di dati di Berlino dopo un rifiuto del riscatto mostra cosa può succedere quando le vittime si rifiutano di pagare.

Backup e controlli degli accessi che attenuano l'attacco

Questi passi per la protezione dal ransomware HYFLOCK sono buone pratiche generali e affrontano i comportamenti descritti nel resoconto.

  • Mantieni un backup disconnesso. Ruota un disco esterno che viene collegato solo durante l'esecuzione di un backup, poi scollegalo. Una copia offline non può essere crittografata dal PC infetto.
  • Usa backup cloud versionati o immutabili. Scegli un servizio che conserva le versioni precedenti dei file così puoi tornare a un punto precedente alla crittografia, e proteggi quell'account con una password forte e unica e l'autenticazione a più fattori.
  • Segui la regola 3-2-1. Mantieni tre copie dei dati importanti, su due tipi di supporto, con una conservata fuori sede o offline.
  • Limita i permessi sulle condivisioni. Concedi a ogni utente e dispositivo l'accesso solo alle cartelle di cui ha bisogno. Evita di lasciare unità di rete permanentemente mappate con accesso in scrittura quando l'accesso in lettura è sufficiente.
  • Separa gli account amministratore e quelli quotidiani. Usa un account standard per il lavoro quotidiano così il malware eredita meno diritti.
  • Applica patch e aggiornamenti. Mantieni aggiornati Windows, i browser e il firmware del router, e tieni attivo il software di sicurezza.
  • Prova un ripristino. Un backup che non hai mai ripristinato è un'assunzione. Prova a recuperare alcuni file ogni pochi mesi.

Gli attaccanti usano sempre più automazione e AI per ridurre le competenze necessarie alle intrusioni, una tendenza che abbiamo esaminato in Le scoperte di Anthropic su hacker potenziati dall'AI che colpiscono oltre 20 organizzazioni. Questo rende le basi affidabili più preziose, non meno.

Cosa fa e cosa non fa una VPN contro il ransomware

Una VPN crittografa il traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. È utile su Wi-Fi pubblici e per la privacy. Non è una difesa contro il ransomware. Una VPN non scansiona i file, non impedisce l'esecuzione di un allegato malevolo né impedisce a un PC già infetto di crittografare file locali e condivisioni di rete.

C'è un vantaggio ristretto e indiretto: se usi una VPN per raggiungere risorse di casa o d'ufficio da remoto, può evitare di esporre direttamente a internet servizi come le condivisioni di file. Anche in questo caso, l'account VPN necessita di un'autenticazione forte, e il dispositivo connesso deve comunque essere pulito. Considera una VPN come uno strato per la privacy e l'accesso remoto sicuro, non come un sostituto di backup e permessi.

Cosa significa per te

Il resoconto su HYFLOCK è un promemoria che il ransomware non riguarda solo il file sulla tua scrivania. Può raggiungere l'archiviazione condivisa e manomettere gli strumenti che useresti per il ripristino. Se il tuo unico backup è sempre collegato al PC, o si sincronizza automaticamente, potrebbe condividere la sorte dei tuoi file.

Per i piccoli uffici, l'esposizione è maggiore perché le cartelle condivise contengono il lavoro di tutti. Un solo laptop infetto con accesso ampio può avere un impatto sproporzionato. Anche il furto di dati è un rischio separato: anche con buoni backup, i file rubati possono comunque essere divulgati, come nelle cause legali IDScan per un presunto breach di 153 milioni di patenti di guida, dove le conseguenze dei dati esposti si sono svolte in tribunale.

Punti di azione concreti

  1. Oggi, verifica dove risiedono i tuoi backup e se il tuo PC può scrivervi in qualsiasi momento.
  2. Crea o ruota un backup offline dei tuoi file più importanti.
  3. Rivedi quali condivisioni di rete sono mappate e chi ha accesso in scrittura.
  4. Passa all'uso quotidiano di un account non amministratore e abilita l'autenticazione a più fattori sugli account cloud e di backup.
  5. Prova a ripristinare un file da ciascun backup.

Solidi passi per la protezione dal ransomware HYFLOCK non richiedono strumenti costosi, solo backup e regole di accesso che funzionano ancora quando l'attaccante va a colpire la rete di sicurezza. Per saperne di più su cosa succede quando le richieste di riscatto vengono rifiutate, leggi il nostro resoconto sulla fuga di dati di Berlino da parte di Rhysida, poi controlla la tua configurazione mentre è ancora un compito di routine.