I ricercatori di Check Point Exposure Management hanno trovato debolezze di crittografia nel ransomware HYFLOCK che hanno permesso loro di recuperare i dati cifrati senza la chiave degli attaccanti. La scoperta è un utile promemoria del fatto che il ransomware è software, e il software può avere difetti. Per chiunque sia preoccupato per l'estorsione, la decifratura del ransomware HYFLOCK senza chiave è un risultato notevole, sebbene comporti importanti avvertenze.
Il report originale è breve, quindi questo articolo si attiene a ciò che è stato confermato: i ricercatori hanno identificato debolezze crittografiche in HYFLOCK, e tali debolezze hanno reso possibile il recupero senza pagare o fare affidamento sui criminali.
Come i ricercatori hanno violato la crittografia di HYFLOCK
Il ransomware in genere funziona cifrando i file di una vittima e poi chiedendo un pagamento per la chiave necessaria a sbloccarli. La solidità di questo schema dipende interamente da quanto bene è implementata la crittografia. Anche quando un ceppo utilizza algoritmi ben noti, errori nel modo in cui le chiavi vengono generate, archiviate o applicate possono lasciare una porta aperta.
Secondo il report, i ricercatori di Check Point Exposure Management hanno trovato debolezze di questo tipo in HYFLOCK. Tali difetti hanno permesso loro di recuperare i dati senza la chiave che gli attaccanti normalmente detengono. Il report non fornisce ulteriori dettagli tecnici nel materiale a nostra disposizione, quindi non speculeremo sul meccanismo specifico, su quali versioni siano interessate o sull'esistenza di uno strumento di decifratura pubblico.
Cosa significa per le vittime di ransomware
La lezione fondamentale è semplice: pagare non è l'unica strada, e raramente dovrebbe essere la prima. Se un ceppo presenta una falla sfruttabile, le vittime potrebbero essere in grado di ripristinare i file senza alcun costo. Ricercatori e aziende di sicurezza a volte pubblicano tali scoperte affinché altri possano trarne beneficio.
Se dovessi essere colpito da ransomware, considera questi passaggi prima di interagire con gli attaccanti:
- Isola il dispositivo interessato dalla rete per limitare un'ulteriore diffusione.
- Conserva i file cifrati e qualsiasi nota di riscatto. Aiutano gli esperti a identificare il ceppo.
- Cerca strumenti di recupero legittimi presso fornitori di sicurezza e ricercatori affidabili, e conferma che la fonte sia attendibile prima di scaricare qualsiasi cosa.
- Contatta un professionista qualificato di risposta agli incidenti se i dati sono critici per l'azienda.
Sii cauto con i download di "decifratori" da fonti non verificate. Gli strumenti di recupero falsi sono un modo ben noto per causare una seconda infezione, quindi verifica prima di eseguire qualsiasi cosa.
Perché una falla in un ceppo non è una rete di sicurezza
Sarebbe un errore leggere questa ricerca come prova che il ransomware sia facile da sconfiggere. Una debolezza in HYFLOCK non significa che altri ceppi siano violabili. La maggior parte degli operatori di ransomware ha forti incentivi a correggere gli errori una volta che vengono esposti, e una falla pubblicata può portare a una versione corretta che non presenta più la stessa debolezza.
Il recupero dipende anche dai tempi e dalle circostanze. I dati già rubati non possono essere "non rubati", anche se le copie cifrate possono essere ripristinate. Molti incidenti ransomware comportano sia la cifratura che il furto di dati, quindi una decifratura riuscita non cancella le conseguenze sulla privacy. La violazione HandyTrac presso una proprietà gestita da Greystar è un esempio reale di come un incidente ransomware possa esporre informazioni sensibili ben oltre i file della vittima originale.
Passaggi pratici per proteggere i tuoi file e dispositivi
Nessuno dovrebbe contare sul fatto che gli attaccanti commettano errori crittografici. Le buone abitudini contano molto di più:
- Mantieni backup offline. Conserva almeno un backup disconnesso dal tuo computer e dalla rete, così che il ransomware non possa cifrarlo. Verifica periodicamente il ripristino da esso.
- Segui l'approccio 3-2-1. Mantieni tre copie dei dati importanti, su due tipi di supporto, con una copia fuori sede o offline.
- Aggiorna il software tempestivamente. Sistemi operativi, browser e applicazioni dovrebbero ricevere le patch di sicurezza non appena disponibili.
- Evita download e allegati sospetti. Software pirata, allegati email inaspettati e link sconosciuti sono comuni vie di diffusione.
- Usa password forti e uniche e l'autenticazione a più fattori per rendere più difficile agli attaccanti ottenere un punto d'appoggio.
- Limita i privilegi degli account. Usa un account standard per il lavoro quotidiano anziché un account amministratore.
Una VPN può proteggere il tuo traffico su reti non attendibili, ma non ferma da sola il ransomware. Backup, aggiornamenti e comportamenti prudenti sono le difese che contano in questo caso.
Cosa significa per te
Per la maggior parte dei lettori, il messaggio riguarda la preparazione e la pazienza. Se il ransomware dovesse bloccare i tuoi file, non farti prendere dal panico e non pagare immediatamente. Verifica se esiste un'opzione di recupero legittima, poiché ricerche come quella di Check Point dimostrano che alcuni ceppi possono essere sconfitti. Allo stesso tempo, tratta qualsiasi evento ransomware come un possibile incidente di furto di dati: cambia le password, osserva i segnali di uso improprio e segui le indicazioni dell'organizzazione che detiene i tuoi dati.
Punti chiave
La scoperta che la decifratura del ransomware HYFLOCK senza chiave sia possibile è incoraggiante, ma è l'eccezione piuttosto che la regola. Mantieni backup offline, evita download sospetti e non pagare mai un riscatto prima di verificare l'esistenza di strumenti di recupero legittimi. Per vedere come il ransomware possa colpire persone ben oltre la vittima iniziale, leggi della violazione HandyTrac e considera come sarebbero le tue routine di backup e sicurezza in una situazione simile.
