Onderzoekers van Check Point Exposure Management hebben zwakheden in de versleuteling van HYFLOCK-ransomware gevonden waardoor zij versleutelde gegevens konden herstellen zonder de sleutel van de aanvallers. De vondst is een nuttige herinnering dat ransomware software is, en software kan gebreken hebben. Voor iedereen die zich zorgen maakt over afpersing is HYFLOCK-ransomwareontsleuteling zonder sleutel een opmerkelijk resultaat, al kleven er belangrijke kanttekeningen aan.
Het bronrapport is kort, dus dit artikel blijft bij wat bevestigd is: onderzoekers identificeerden cryptografische zwakheden in HYFLOCK, en die zwakheden maakten herstel mogelijk zonder te betalen of afhankelijk te zijn van de criminelen.
Hoe onderzoekers de versleuteling van HYFLOCK kraakten
Ransomware werkt doorgaans door de bestanden van een slachtoffer te versleutelen en vervolgens betaling te eisen voor de sleutel die nodig is om ze te ontgrendelen. De sterkte van dat schema hangt volledig af van hoe goed de versleuteling is geïmplementeerd. Zelfs wanneer een variant bekende algoritmen gebruikt, kunnen fouten in hoe sleutels worden gegenereerd, opgeslagen of toegepast een deur openlaten.
Volgens het rapport vonden onderzoekers van Check Point Exposure Management zwakheden van dit soort in HYFLOCK. Die gebreken stelden hen in staat gegevens te herstellen zonder de sleutel die de aanvallers normaal gesproken in bezit zouden hebben. Het rapport geeft in het ons beschikbare materiaal geen verdere technische details, dus we zullen niet speculeren over het specifieke mechanisme, welke versies getroffen zijn, of er een openbaar ontsleutelingshulpmiddel bestaat.
Wat dit betekent voor slachtoffers van ransomware
De kernles is eenvoudig: betalen is niet de enige weg, en het zou zelden de eerste moeten zijn. Als een variant een misbruikbare fout heeft, kunnen slachtoffers mogelijk bestanden herstellen zonder kosten. Onderzoekers en beveiligingsbedrijven publiceren zulke bevindingen soms zodat anderen ervan kunnen profiteren.
Als je ooit door ransomware wordt getroffen, overweeg dan deze stappen voordat je met de aanvallers in gesprek gaat:
- Isoleer het getroffen apparaat van het netwerk om verdere verspreiding te beperken.
- Bewaar de versleutelde bestanden en eventuele losgeldbrief. Ze helpen experts de variant te identificeren.
- Zoek naar legitieme herstelhulpmiddelen van betrouwbare beveiligingsleveranciers en onderzoekers, en bevestig dat de bron betrouwbaar is voordat je iets downloadt.
- Neem contact op met een gekwalificeerde incidentresponsprofessional als de gegevens bedrijfskritisch zijn.
Wees voorzichtig met "ontsleutelaar"-downloads van ongeverifieerde bronnen. Nep-herstelhulpmiddelen zijn een bekende manier om een tweede infectie te veroorzaken, dus verifieer voordat je iets uitvoert.
Waarom een fout in één variant geen vangnet is
Het zou een vergissing zijn om dit onderzoek te lezen als bewijs dat ransomware gemakkelijk te verslaan is. Een zwakheid in HYFLOCK betekent niet dat andere varianten kraakbaar zijn. De meeste ransomware-operators hebben sterke prikkels om fouten te herstellen zodra ze aan het licht komen, en een gepubliceerde fout kan leiden tot een gepatchte versie die dezelfde zwakheid niet meer heeft.
Herstel hangt ook af van timing en omstandigheden. Gegevens die al gestolen zijn, kunnen niet worden teruggedraaid, zelfs als de versleutelde kopieën kunnen worden hersteld. Bij veel ransomware-incidenten is zowel sprake van versleuteling als van gegevensdiefstal, dus een succesvolle ontsleuteling wist de privac gevolgen niet uit. De HandyTrac-datalek bij een door Greystar beheerd pand is een praktijkvoorbeeld van hoe een ransomware-incident gevoelige informatie kan blootleggen die veel verder reikt dan de bestanden van het oorspronkelijke slachtoffer.
Praktische stappen om je bestanden en apparaten te beschermen
Niemand zou erop moeten rekenen dat aanvallers cryptografische fouten maken. Sterke gewoonten zijn veel belangrijker:
- Houd offline back-ups bij. Zorg voor ten minste één back-up die losgekoppeld is van je computer en netwerk, zodat ransomware die niet kan versleutelen. Test periodiek het herstellen ervan.
- Volg de 3-2-1-aanpak. Houd drie kopieën van belangrijke gegevens, op twee soorten opslag, met één kopie op een externe locatie of offline.
- Werk software snel bij. Besturingssystemen, browsers en applicaties moeten beveiligingspatches ontvangen zodra ze beschikbaar zijn.
- Vermijd verdachte downloads en bijlagen. Gepirateerde software, onverwachte e-mailbijlagen en onbekende links zijn veelvoorkomende leveringsroutes.
- Gebruik sterke, unieke wachtwoorden en multifactorauthenticatie om het aanvallers moeilijker te maken voet aan de grond te krijgen.
- Beperk accountprivileges. Gebruik een standaardaccount voor dagelijks werk in plaats van een administratoraccount.
Een VPN kan je verkeer op onbetrouwbare netwerken beschermen, maar stopt ransomware niet op zichzelf. Back-ups, updates en voorzichtig gedrag zijn hier de verdedigingen die tellen.
Wat dit voor jou betekent
Voor de meeste lezers gaat de boodschap over voorbereiding en geduld. Als ransomware ooit je bestanden vergrendelt, raak dan niet in paniek en betaal niet meteen. Controleer of er een legitieme hersteloptie bestaat, want onderzoek zoals dat van Check Point laat zien dat sommige varianten verslagen kunnen worden. Behandel een ransomware-incident tegelijkertijd als een mogelijk geval van gegevensdiefstal: wijzig wachtwoorden, let op tekenen van misbruik en volg de richtlijnen van de organisatie die je gegevens beheert.
Belangrijkste punten
De bevinding dat HYFLOCK-ransomwareontsleuteling zonder sleutel mogelijk is, is bemoedigend, maar het is de uitzondering rather dan de regel. Houd offline back-ups bij, vermijd verdachte downloads en betaal nooit losgeld voordat je hebt gecontroleerd op legitieme herstelhulpmiddelen. Om te zien hoe ransomware mensen ver buiten het oorspronkelijke slachtoffer kan treffen, lees over het HandyTrac-datalek en bedenk hoe je eigen back-up- en beveiligingsroutines er in een vergelijkbare situatie uit zouden zien.
