HYFLOCKを追跡している研究者たちは、反復を続けるランサムウェア攻撃について説明しています。報道によると、その運営者たちはファイルをロックし、ネットワーク共有にアクセスし、リカバリを妨害しようとするWindows向け暗号化ツールを次々と作り上げてきました。元記事は技術的な詳細に乏しいため、本記事は報道された内容に限定し、自宅や小規模オフィスでWindows PCを使用する人々に向けた実践的なHYFLOCKランサムウェア対策に焦点を当てます。

HYFLOCKの新しい暗号化ツールが行うこと

報告されている挙動は3つの部分に分かれます。第一に、暗号化ツールは感染したWindowsマシン上のファイルをロックし、文書や写真などのデータを鍵なしでは読めなくします。第二に、ローカルディスクの範囲を超えてネットワーク共有にまで到達します。つまり、1台の侵害されたPCがNAS、共有オフィスフォルダ、あるいは別のコンピュータの共有ドライブに保存されたファイルに影響を与える可能性があります。第三に、リカバリを妨害しようとし、被害者が通常ファイルを取り戻すために使う選択肢を狙います。

「 successive（ successive：連続する）」という言葉は重要です。これは運営者たちが単一のビルドに依存するのではなく、改良版のツールをリリースし続けていることを示しています。防御側にとっては、あるバージョンに関するシグネチャベースの想定が次のバージョンには当てはまらない可能性があるため、特定のサンプルを追いかけるよりも基本的な回復力が重要になります。

元記事は、被害者が最初にどのように侵害されるのか、身代金がいくら要求されるのか、あるいは何組織が影響を受けるのかについて詳細を述べていないため、これらの点について推測はしません。

ランサムウェアがネットワーク共有に到達し、リカバリを妨害する方法

HYFLOCK固有の詳細がなくても、一般的なパターンを理解する価値はあります。Windowsマシン上で実行されているランサムウェアは、通常、それを起動したアカウントの権限を継承します。そのアカウントが共有フォルダを開ける場合、マルウェアはしばしばその中のものを暗号化できます。常時接続され書き込み可能なマップ済みドライブは、事実上ローカルディスクの延長です。

リカバリの妨害は問題のもう半分です。多くの人は便利な安全網に依存しています。常に接続されたままのローカルバックアップドライブ、クラウド同期フォルダ、あるいは内蔵の復元機能などです。リカバリに干渉しようとするランサムウェアは、まさにこれらを狙います。同期フォルダは暗号化されたコピーを忠実にアップロードし、常時接続されたバックアップディスクは他のすべてと一緒に暗号化される可能性があります。

これがHYFLOCKの報道からの重要な教訓です。感染したコンピュータがアクセスして変更できるバックアップは、完全なバックアップではありません。同じ論理はデータ窃取にも当てはまり、これは暗号化とは別に発生する可能性があります。身代金拒否後にベルリンのデータ5.79TBが漏洩したRhysidaの事例に関する我們的報道は、被害者が支払いを拒否した後に何が起こり得るかを示しています。

攻撃を鈍らせるバックアップとアクセス制御

これらのHYFLOCKランサムウェア対策手順は一般的なベストプラクティスであり、報告書で説明されている挙動に対処するものです。

  • 1つのバックアップを切断したままにする。 バックアップ実行中のみ接続する外付けドライブをローテーションし、その後抜きます。オフラインのコピーは感染したPCから暗号化できません。
  • バージョン管理された、または不変のクラウドバックアップを使用する。 以前のファイルバージョンを保持するサービスを選び、暗号化前の時点にロールバックできるようにし、そのアカウントを強力で固有のパスワードと多要素認証で保護します。
  • 3-2-1に従う。 重要なデータのコピーを3つ、2種類の媒体に保持し、1つをオフサイトまたはオフラインで保存します。
  • 共有権限を制限する。 各ユーザーとデバイスに必要なフォルダのみへのアクセスを与えます。読み取りアクセスで十分な場合に、ネットワークドライブを書き込みアクセス付きで常時マップしたままにしないようにします。
  • 管理者アカウントと日常用アカウントを分ける。 日常業務には標準アカウントを使用し、マルウェアが継承する権限を減らします。
  • パッチとアップデート。 Windows、ブラウザ、ルータのファームウェアを最新に保ち、セキュリティソフトを有効にしておきます。
  • リストアをテストする。 一度も復元したことのないバックアップは想定にすぎません。数か月ごとにいくつかのファイルの復元を試みてください。

攻撃者は自動化とAIをますます利用して侵入に必要なスキルを下げています。この傾向はAIを利用したハッカーが20以上の組織を攻撃したというAnthropicの調査結果で検討しました。これにより、信頼できる基本がより価値を持つのであり、決して価値が下がるわけではありません。

VPNがランサムウェアに対してできることとできないこと

VPNはデバイスとVPNサーバー間のトラフィックを暗号化し、訪問するサイトからIPアドレスを隠します。これは公共Wi-Fi上やプライバシー保護に役立ちます。しかしランサムウェア防御ではありません。VPNはファイルをスキャンせず、悪意のある添付ファイルの実行を阻止せず、すでに感染したPCがローカルファイルやネットワーク共有を暗号化するのを防ぎません。

狭い間接的な利点が1つあります。自宅やオフィスのリソースにリモートでアクセスするためにVPNを使用する場合、ファイル共有などのサービスをインターネットに直接公開することを避けられます。それでも、VPNアカウントには強力な認証が必要であり、接続されたデバイスはクリーンである必要があります。VPNはプライバシーと安全なリモートアクセスのための1つの層として扱い、バックアップと権限の代替とはしないでください。

これがあなたにとって意味すること

HYFLOCKの報道は、ランサムウェアがデスクトップ上のファイルだけの問題ではないことを思い出させます。共有ストレージに到達し、復元に使用するツールを改ざんする可能性があります。あなたの唯一のバックアップが常にPCに接続されているか、自動的に同期されている場合、それはあなたのファイルと同じ運命を共にするかもしれません。

小規模オフィスでは、共有フォルダが全員の仕事を保持しているため、露出はより大きくなります。広範なアクセス権を持つ1台の感染したラップトップが、不釣り合いな影響を与える可能性があります。データ窃取も別のリスクです。適切なバックアップがあっても、盗まれたファイルは漏洩する可能性があります。1億5300万件の運転免許証の侵害疑惑をめぐるIDScanの訴訟では、露出したデータの結果が法廷で明らかになりました。

実行可能なポイント

  1. 今日、バックアップがどこにあり、PCが常時書き込み可能かどうかを確認してください。
  2. 最も重要なファイルのオフラインバックアップを作成またはローテーションしてください。
  3. どのネットワーク共有がマップされ、誰が書き込みアクセスを持っているかを確認してください。
  4. 日常使用を非管理者アカウントに切り替え、クラウドおよびバックアップアカウントで多要素認証を有効にしてください。
  5. 各バックアップからファイルを復元するテストを行ってください。

堅実なHYFLOCKランサムウェア対策手順には高価なツールは必要ありません。攻撃者が安全網を狙っても機能し続けるバックアップとアクセスルールがあれば十分です。身代金要求が拒否されたときに何が起こるかについては、ベルリンデータのRhysida漏洩に関するレポートを読み、まだ日常的な作業であるうちに自身の設定を監査してください。