Check Point Exposure Management-forskere har funnet svakheter i krypteringen til HYFLOCK-løsepengevirus som gjorde at de kunne gjenopprette krypterte data uten angripernes nøkkel. Funnet er en nyttig påminnelse om at løsepengevirus er programvare, og programvare kan ha feil. For alle som er bekymret for utpressing, er dekryptering av HYFLOCK-løsepengevirus uten nøkkel et bemerkelsesverdig resultat, selv om det kommer med viktige forbehold.
Kilderapporten er kort, så denne artikkelen holder seg til det som er bekreftet: forskere identifiserte kryptografiske svakheter i HYFLOCK, og disse svakhetene gjorde gjenoppretting mulig uten å betale eller være avhengig av kriminelle.
Hvordan forskerne brøt HYFLOCKs kryptering
Løsepengevirus fungerer vanligvis ved å kryptere offerets filer og deretter kreve betaling for nøkkelen som trengs for å låse dem opp. Styrken i denne ordningen avhenger helt av hvor godt krypteringen er implementert. Selv når en variant bruker velkjente algoritmer, kan feil i hvordan nøkler genereres, lagres eller brukes, etterlate en åpen dør.
Ifølge rapporten fant forskere ved Check Point Exposure Management svakheter av denne typen i HYFLOCK. Disse feilene lot dem gjenopprette data uten nøkkelen angriperne normalt ville hatt. Rapporten gir ikke ytterligere teknisk detalj i materialet som er tilgjengelig for oss, så vi vil ikke spekulere i den spesifikke mekanismen, hvilke versjoner som er berørt, eller hvorvidt et offentlig dekrypteringsverktøy eksisterer.
Hva dette betyr for ofre for løsepengevirus
Den grunnleggende lærdommen er enkel: å betale er ikke den eneste veien, og det bør sjelden være den første. Hvis en variant har en utnyttbar feil, kan ofre kanskje gjenopprette filer uten kostnad. Forskere og sikkerhetsselskaper publiserer noen ganger slike funn slik at andre kan dra nytte av dem.
Hvis du noen gang blir rammet av løsepengevirus, bør du vurdere disse trinnene før du kommuniserer med angriperne:
- Isoler den berørte enheten fra nettverket for å begrense ytterligere spredning.
- Ta vare på de krypterte filene og eventuell løsepengeerklæring. De hjelper eksperter med å identifisere varianten.
- Se etter legitime gjenopprettingsverktøy fra anerkjente sikkerhetsleverandører og forskere, og bekreft at kilden er pålitelig før du laster ned noe.
- Kontakt en kvalifisert hendelseshåndteringsprofesjonell hvis dataene er forretningskritiske.
Vær forsiktig med nedlastinger av «dekrypteringsverktøy» fra ubekreftede kilder. Falske gjenopprettingsverktøy er en velkjent måte å forårsake en ny infeksjon, så verifiser før du kjører noe.
Hvorfor en feil i én variant ikke er et sikkerhetsnett
Det ville være en feil å lese denne forskningen som bevis på at løsepengevirus er enkelt å beseire. En svakhet i HYFLOCK betyr ikke at andre varianter kan knekkes. De fleste løsepengevirusoperatører har sterke insentiver til å rette feil når de avsløres, og en publisert feil kan føre til en oppdatert versjon som ikke lenger har den samme svakheten.
Gjenoppretting avhenger også av timing og omstendigheter. Data som allerede er stjålet, kan ikke gjøres ustjålet, selv om de krypterte kopiene kan gjenopprettes. Mange løsepengevirushendelser involverer både kryptering og datatyveri, så en vellykket dekryptering visker ikke ut personvernkonsekvensene. HandyTrac-brudd ved en Greystar-administrert eiendom er et virkelig eksempel på hvordan en løsepengevirushendelse kan eksponere sensitiv informasjon langt utover den opprinnelige victimens filer.
Praktiske tiltak for å beskytte filene og enhetene dine
Ingen bør regne med at angripere gjør kryptografiske feil. Sterke vaner betyr langt mer:
- Hold sikkerhetskopier offline. Ha minst én sikkerhetskopi som er koblet fra datamaskinen og nettverket, slik at løsepengevirus ikke kan kryptere den. Test gjenoppretting fra den med jevne mellomrom.
- Følg 3-2-1-tilnærmingen. Ha tre kopier av viktige data, på to typer lagring, med én kopi utenfor stedet eller offline.
- Oppdater programvare raskt. Operativsystemer, nettlesere og applikasjoner bør motta sikkerhetsoppdateringer så snart de er tilgjengelige.
- Unngå mistenkelige nedlastinger og vedlegg. Piratkopiert programvare, uventede e-postvedlegg og ukjente lenker er vanlige leveringsveier.
- Bruk sterke, unike passord og multifaktorautentisering for å gjøre det vanskeligere for angripere å få fotfeste.
- Begrens kontoprivilegier. Bruk en standardkonto til daglig arbeid i stedet for en administratorkonto.
En VPN kan beskytte trafikken din på upålitelige nettverk, men den stopper ikke løsepengevirus alene. Sikkerhetskopier, oppdateringer og forsiktig atferd er forsvaret som teller her.
Hva dette betyr for deg
For de fleste lesere handler det viktigste om forberedelse og tålmodighet. Hvis løsepengevirus noen gang låser filene dine, ikke få panikk og ikke betal umiddelbart. Sjekk om det finnes et legitimt gjenopprettingsalternativ, siden forskning som Check Points viser at noen varianter kan beseires. Samtidig bør du behandle enhver løsepengevirushendelse som en mulig hendelse med datatyveri: bytt passord, se etter tegn på misbruk og følg veiledning fra organisasjonen som har dataene dine.
Viktige punkter
Funnet om at dekryptering av HYFLOCK-løsepengevirus uten nøkkel er mulig, er oppmuntrende, men det er unntaket snarere enn regelen. Hold sikkerhetskopier offline, unngå mistenkelige nedlastinger, og betal aldri løsepenger før du har sjekket for legitime gjenopprettingsverktøy. For å se hvordan løsepengevirus kan påvirke folk langt utover det opprinnelige offeret, les om HandyTrac-bruddet og tenk over hvordan dine egne sikkerhetskopi- og sikkerhetsrutiner ville sett ut i en lignende situasjon.
