Onderzoekers die HYFLOCK volgen, beschrijven een ransomware-operatie die blijft dooritereren. Volgens de berichtgeving hebben de operators opeenvolgende Windows-encryptors gebouwd die bestanden vergrendelen, netwerkshares benaderen en herstel proberen te belemmeren. Het bronartikel is beknopt over technische details, dus dit bericht houdt zich aan wat er is gerapporteerd en richt zich op praktische stappen voor HYFLOCK-ransomwarebescherming voor mensen die Windows-pc's thuis of in een klein kantoor gebruiken.

Wat de nieuwe encryptors van HYFLOCK doen

Het gerapporteerde gedrag valt uiteen in drie delen. Ten eerste vergrendelen de encryptors bestanden op de geïnfecteerde Windows-machine, waardoor documenten, foto's en andere gegevens zonder sleutel onleesbaar worden. Ten tweede reiken ze verder dan de lokale schijf naar netwerkshares, wat betekent dat één gecompromitteerde pc bestanden kan aantasten die op een NAS, een gedeelde kantoorfolder of de gedeelde schijf van een andere computer staan. Ten derde proberen ze herstel te belemmeren door de opties aan te vallen die een slachtoffer normaal zou gebruiken om bestanden terug te krijgen.

Het woord "opeenvolgende" is belangrijk. Het geeft aan dat de operators verbeterde versies van hun tooling uitbrengen in plaats van op één build te vertrouwen. Voor verdedigers betekent dat dat op signaturen gebaseerde aannames over de ene versie mogelijk niet gelden voor de volgende, en dat basale veerkracht belangrijker is dan het najagen van één specifiek sample.

Het bronartikel detailleert niet hoe slachtoffers aanvankelijk worden gecompromitteerd, hoeveel losgeld wordt geëist of hoeveel organisaties zijn getroffen, dus we zullen daarover niet speculeren.

Hoe ransomware netwerkshares bereikt en herstel blokkeert

Het algemene patroon is de moeite waard om te begrijpen, zelfs zonder HYFLOCK-specifieke bijzonderheden. Ransomware die op een Windows-machine draait, erft doorgaans de machtigingen van het account dat deze heeft gestart. Als dat account een gedeelde folder kan openen, kan de malware vaak versleutelen wat erin staat. Een toegewezen schijf die altijd verbonden en beschrijfbaar is, is in feite een uitbreiding van de lokale schijf.

Belemmering van herstel is de andere helft van het probleem. Veel mensen vertrouwen op handige vangnetten: lokale back-upschijven die aangesloten blijven, cloud-syncfolders of ingebouwde herstelfuncties. Ransomware die herstel probeert te verstoren, richt zich precies op deze zaken. Een syncfolder zal versleutelde kopieën trouw uploaden, en een permanent aangesloten back-upschijf kan samen met al het andere worden versleuteld.

Dit is de belangrijkste les uit de HYFLOCK-berichtgeving: een back-up die de geïnfecteerde computer kan bereiken en wijzigen, is niet volledig een back-up. Dezelfde logica geldt voor gegevensdiefstal, die los van versleuteling kan plaatsvinden. Onze berichtgeving over Rhysida die 5,79 TB aan Berlijnse data lekt na een weigering om losgeld te betalen laat zien wat er kan volgen wanneer slachtoffers weigeren te betalen.

Back-ups en toegangscontroles die de aanval afzwakken

Deze stappen voor HYFLOCK-ransomwarebescherming zijn algemene goede praktijken en pakken de gedragingen aan die in het rapport worden beschreven.

  • Houd één back-up losgekoppeld. Roteer een externe schijf die alleen is aangesloten terwijl een back-up loopt en koppel deze daarna los. Een offline kopie kan niet vanaf de geïnfecteerde pc worden versleuteld.
  • Gebruik geversioneerde of onveranderlijke cloudback-ups. Kies een dienst die eerdere bestandsversies bewaart, zodat je kunt terugrollen naar een punt vóór de versleuteling, en bescherm dat account met een sterk, uniek wachtwoord en multifactorauthenticatie.
  • Volg 3-2-1. Houd drie kopieën van belangrijke gegevens, op twee soorten media, met één op een externe locatie of offline.
  • Beperk share-machtigingen. Geef elke gebruiker en elk apparaat alleen toegang tot de folders die nodig zijn. Vermijd het permanent toewijzen van netwerkschijven met schrijftoegang wanneer leestoegang voldoende is.
  • Scheid admin- en dagelijkse accounts. Gebruik een standaardaccount voor dagelijks werk, zodat malware minder rechten erft.
  • Patch en update. Houd Windows, browsers en routerfirmware up-to-date en houd beveiligingssoftware ingeschakeld.
  • Test een herstel. Een back-up die je nooit hebt hersteld, is een aanname. Probeer elke paar maanden een paar bestanden te herstellen.

Aanvallers gebruiken steeds vaker automatisering en AI om de benodigde vaardigheid voor intrusies te verlagen, een trend die we onderzochten in de bevindingen van Anthropic over AI-ondersteunde hackers die 20+ organisaties troffen. Dat maakt betrouwbare basisprincipes waardevoller, niet minder.

Wat een VPN wel en niet doet tegen ransomware

Een VPN versleutelt verkeer tussen je apparaat en de VPN-server en verbergt je IP-adres voor de sites die je bezoekt. Dat is nuttig op openbare wifi en voor privacy. Het is geen ransomwareverdediging. Een VPN scant geen bestanden, stopt niet dat een kwaadaardige bijlage wordt uitgevoerd en voorkomt niet dat een al geïnfecteerde pc lokale bestanden en netwerkshares versleutelt.

Er is één beperkt, indirect voordeel: als je een VPN gebruikt om op afstand toegang te krijgen tot thuis- of kantoorresources, kan dit voorkomen dat diensten zoals fileshares rechtstreeks aan het internet worden blootgesteld. Zelfs dan heeft het VPN-account sterke authenticatie nodig, en het verbonden apparaat moet nog steeds schoon zijn. Behandel een VPN als één laag voor privacy en veilige toegang op afstand, niet als vervanging voor back-ups en machtigingen.

Wat dit voor jou betekent

De HYFLOCK-berichtgeving is een herinnering dat ransomware niet alleen gaat over het bestand op je bureaublad. Het kan gedeelde opslag bereiken en de tools waarmee je zou herstellen, manipuleren. Als je enige back-up altijd met je pc is verbonden of automatisch synchroniseert, kan deze hetzelfde lot als je bestanden ondergaan.

Voor kleine kantoren is de blootstelling groter, omdat gedeelde folders het werk van iedereen bevatten. Eén geïnfecteerde laptop met brede toegang kan een buitenproportionele impact hebben. Gegevensdiefstal is ook een apart risico: zelfs met goede back-ups kunnen gestolen bestanden nog steeds worden gelekt, zoals in de IDScan-rechtszaken over een vermeende inbreuk op 153 miljoen rijbewijzen, waar de gevolgen van blootgestelde gegevens zich in de rechtszaal afspeelden.

Concrete actiepunten

  1. Controleer vandaag waar je back-ups staan en of je pc er op elk moment naar kan schrijven.
  2. Maak of roteer een offline back-up van je belangrijkste bestanden.
  3. Controleer welke netwerkshares zijn toegewezen en wie schrijftoegang heeft.
  4. Stap voor dagelijks gebruik over op een niet-administratoraccount en schakel multifactorauthenticatie in op cloud- en back-upaccounts.
  5. Test het herstellen van een bestand uit elke back-up.

Degelijke stappen voor HYFLOCK-ransomwarebescherming vereisen geen dure tools, alleen back-ups en toegangsregels die nog steeds werken wanneer de aanvaller op het vangnet jaagt. Lees voor meer over wat er gebeurt wanneer losgeldeisen worden geweigerd ons rapport over het Rhysida-lek van Berlijnse data en controleer daarna je eigen opzet terwijl het nog een routinetaak is.