Forskere som følger HYFLOCK har beskrevet en løsepengevirusoperasjon som stadig videreutvikles. Ifølge rapporteringen har operatørene bak bygget suksessive Windows-krypterere som låser filer, får tilgang til nettverksdelinger og forsøker å hindre gjenoppretting. Kildeartikkelen er kortfattet om tekniske detaljer, så dette innlegget holder seg til det som er rapportert og fokuserer på praktiske tiltak for HYFLOCK-løsepengevirusbeskyttelse for folk som bruker Windows-PCer hjemme eller på et lite kontor.

Hva HYFLOCKs nye krypterere gjør

Den rapporterte atferden faller i tre deler. For det første låser kryptererne filer på den infiserte Windows-maskinen, slik at dokumenter, bilder og andre data blir uleselige uten en nøkkel. For det andre rekker de utover den lokale disken til nettverksdelinger, noe som betyr at én kompromittert PC kan påvirke filer som er lagret på en NAS, en delt kontormappe eller en annen datamaskins delte stasjon. For det tredje forsøker de å hindre gjenoppretting ved å gå etter alternativene et offer normalt ville brukt for å få filene tilbake.

Ordet «suksessive» er viktig. Det indikerer at operatørene slipper forbedrede versjoner av verktøyene sine i stedet for å stole på én enkelt versjon. For forsvarere betyr det at signaturbaserte antakelser om én versjon kanskje ikke holder for den neste, og grunnleggende motstandsdyktighet er viktigere enn å jage en enkelt prøve.

Kildeartikkelen beskriver ikke hvordan ofre først blir kompromittert, hvor mye løsepenger som kreves, eller hvor mange organisasjoner som er rammet, så vi vil ikke spekulere i disse punktene.

Hvordan løsepengevirus når nettverksdelinger og blokkerer gjenoppretting

Det generelle mønsteret er verdt å forstå selv uten HYFLOCK-spesifikke detaljer. Løsepengevirus som kjører på en Windows-maskin, arver vanligvis tillatelsene til kontoen som startet det. Hvis den kontoen kan åpne en delt mappe, kan skadevaren ofte kryptere det som er inni den. En tilordnet stasjon som alltid er tilkoblet og skrivbar, er i praksis en forlengelse av den lokale disken.

Hindring av gjenoppretting er den andre halvdelen av problemet. Mange stoler på praktiske sikkerhetsnett: lokale sikkerhetskopidisker som står tilkoblet, skylagringsmapper eller innebygde gjenopprettingsfunksjoner. Løsepengevirus som prøver å forstyrre gjenoppretting, sikter nettopp mot disse. En synkroniseringsmappe vil trofast laste opp krypterte kopier, og en permanent tilkoblet sikkerhetskopidisk kan bli kryptert sammen med alt annet.

Dette er den viktigste lærdommen fra HYFLOCK-rapporteringen: en sikkerhetskopi som den infiserte datamaskinen kan nå og endre, er ikke fullt ut en sikkerhetskopi. Den samme logikken gjelder datatyveri, som kan skje separat fra kryptering. Vår dekning av Rhysida lekker 5,79 TB med Berlin-data etter at løsepenger ble nektet viser hva som kan følge når ofre nekter å betale.

Sikkerhetskopier og tilgangskontroller som demper angrepet

Disse tiltakene for HYFLOCK-løsepengevirusbeskyttelse er generelt god praksis, og de adresserer atferden som er beskrevet i rapporten.

  • Hold én sikkerhetskopi frakoblet. Roter en ekstern disk som bare er tilkoblet mens en sikkerhetskopiering kjører, og koble den deretter fra. En offline kopi kan ikke krypteres fra den infiserte PCen.
  • Bruk versjonerte eller uforanderlige skysikkerhetskopier. Velg en tjeneste som beholder tidligere filversjoner slik at du kan rulle tilbake til et punkt før krypteringen, og beskytt den kontoen med et sterkt, unikt passord og flerfaktorautentisering.
  • Følg 3-2-1. Hold tre kopier av viktige data, på to typer medier, med én lagret eksternt eller offline.
  • Begrens delingstillatelser. Gi hver bruker og enhet tilgang bare til mappene den trenger. Unngå å la nettverksstasjoner være permanent tilordnet med skrivetilgang når lesetilgang er nok.
  • Skill administratorkontoer og dagligkonti. Bruk en standardkonto til daglig arbeid slik at skadevaren arver færre rettigheter.
  • Oppdater og lapp. Hold Windows, nettlesere og ruterfastvare oppdatert, og hold sikkerhetsprogramvare aktivert.
  • Test en gjenoppretting. En sikkerhetskopi du aldri har gjenopprettet, er en antakelse. Prøv å gjenopprette noen filer hver par måneder.

Angripere bruker i økende grad automatisering og AI for å senke kompetansen som trengs for inntrenging, en trend vi undersøkte i Anthropics funn om AI-aktiverte hackere som rammer over 20 organisasjoner. Det gjør pålitelige grunnleggende tiltak mer verdifulle, ikke mindre.

Hva en VPN gjør og ikke gjør mot løsepengevirus

En VPN krypterer trafikken mellom enheten din og VPN-serveren og skjuler IP-adressen din for nettstedene du besøker. Det er nyttig på offentlig Wi-Fi og for personvern. Det er ikke et løsepengevirusforsvar. En VPN skanner ikke filer, stopper ikke et ondsinnet vedlegg fra å kjøre, eller hindrer en allerede infisert PC fra å kryptere lokale filer og nettverksdelinger.

Det finnes én smal, indirekte fordel: hvis du bruker en VPN for å nå hjemme- eller kontorressurser eksternt, kan det unngå å eksponere tjenester som fildelinger direkte mot internett. Selv da trenger VPN-kontoen sterk autentisering, og den tilkoblede enheten må fortsatt være ren. Behandle en VPN som ett lag for personvern og sikker ekstern tilgang, ikke som en erstatning for sikkerhetskopier og tillatelser.

Hva dette betyr for deg

HYFLOCK-rapporteringen er en påminnelse om at løsepengevirus ikke bare handler om filen på skrivebordet ditt. Det kan nå delt lagring og tukle med verktøyene du ville brukt til å gjenopprette. Hvis din eneste sikkerhetskopi alltid er tilkoblet PCen din, eller synkroniseres automatisk, kan den dele skjebne med filene dine.

For små kontorer er eksponeringen større fordi delte mapper inneholder alles arbeid. Én infisert bærbar PC med bred tilgang kan ha uforholdsmessig stor innvirkning. Datatyveri er også en separat risiko: selv med gode sikkerhetskopier kan stjålne filer fortsatt lekkes, som i IDScan-søksmålene etter en påstått datainnbrudd som rammet 153 millioner førerkort, der konsekvensene av eksponerte data utspilte seg i retten.

Handlingsrettede punkter

  1. I dag: sjekk hvor sikkerhetskopiene dine ligger og om PCen din kan skrive til dem hele tiden.
  2. Lag eller roter en offline sikkerhetskopi av de viktigste filene dine.
  3. Gå gjennom hvilke nettverksdelinger som er tilordnet og hvem som har skrivetilgang.
  4. Bytt daglig bruk til en konto som ikke er administrator, og aktiver flerfaktorautentisering på sky- og sikkerhetskopikontoer.
  5. Test å gjenopprette en fil fra hver sikkerhetskopi.

Solide tiltak for HYFLOCK-løsepengevirusbeskyttelse krever ikke dyre verktøy, bare sikkerhetskopier og tilgangsregler som fortsatt fungerer når angriperen går etter sikkerhetsnettet. For mer om hva som skjer når løsepengkrav avvises, les vår rapport om Rhysidas lekkasje av Berlin-data, og revider deretter ditt eget oppsett mens det fortsatt er en rutineoppgave.