Badacze śledzący HYFLOCK opisali operację ransomware, która stale ewoluuje. Według doniesień jej operatorzy opracowali kolejne szyfratory dla systemu Windows, które blokują pliki, uzyskują dostęp do udziałów sieciowych i próbują utrudnić odzyskiwanie danych. Artykuł źródłowy jest zwięzły pod względem technicznym, dlatego ten wpis ogranicza się do tego, co zostało zgłoszone, i skupia się na praktycznych krokach ochrony przed ransomware HYFLOCK dla osób używających komputerów z Windows w domu lub w małym biurze.

Co robią nowe szyfratory HYFLOCK

Zgłoszone zachowanie dzieli się na trzy części. Po pierwsze, szyfratory blokują pliki na zainfekowanej maszynie z Windows, czyniąc dokumenty, zdjęcia i inne dane nieczytelnymi bez klucza. Po drugie, wychodzą poza dysk lokalny i sięgają do udziałów sieciowych, co oznacza, że jeden zainfekowany komputer może wpłynąć na pliki przechowywane na NAS, we współdzielonym folderze biurowym lub na dysku współdzielonym innego komputera. Po trzecie, próbują utrudnić odzyskiwanie danych, atakując opcje, których ofiara normalnie użyłaby do odzyskania plików.

Słowo „kolejne” ma znaczenie. Wskazuje, że operatorzy wydają ulepszone wersje swoich narzędzi, zamiast polegać na jednej kompilacji. Dla obrońców oznacza to, że założenia oparte na sygnaturach dotyczące jednej wersji mogą nie sprawdzić się w przypadku następnej, a podstawowa odporność ma większe znaczenie niż ściganie jednej konkretnej próbki.

Artykuł źródłowy nie opisuje, w jaki sposób ofiary są początkowo infekowane, jak wysoki okup jest żądany ani ile organizacji jest dotkniętych, dlatego nie będziemy spekulować na ten temat.

Jak ransomware dociera do udziałów sieciowych i blokuje odzyskiwanie danych

Warto zrozumieć ogólny schemat, nawet bez szczegółów dotyczących samego HYFLOCK. Ransomware działający na maszynie z Windows zazwyczaj dziedziczy uprawnienia konta, które go uruchomiło. Jeśli to konto może otworzyć współdzielony folder, złośliwe oprogramowanie często może zaszyfrować jego zawartość. Mapowany dysk, który jest stale podłączony i umożliwia zapis, jest w praktyce rozszerzeniem dysku lokalnego.

Utrudnianie odzyskiwania danych to druga połowa problemu. Wiele osób polega na wygodnych zabezpieczeniach: lokalnych dyskach zapasowych, które pozostają podłączone, folderach synchronizacji w chmurze lub wbudowanych funkcjach przywracania. Ransomware, który próbuje zakłócić odzyskiwanie, celuje dokładnie w te mechanizmy. Folder synchronizacji wiernie prześle zaszyfrowane kopie, a stale podłączony dysk zapasowy może zostać zaszyfrowany razem ze wszystkim innym.

To kluczowa lekcja z doniesień o HYFLOCK: kopia zapasowa, do której zainfekowany komputer ma dostęp i którą może modyfikować, nie jest w pełni kopią zapasową. Ta sama logika dotyczy kradzieży danych, która może nastąpić niezależnie od szyfrowania. Nasze omówienie wycieku 5,79 TB danych Berlina przez Rhysida po odmowie zapłaty okupu pokazuje, co może nastąpić, gdy ofiary odmawiają zapłaty.

Kopie zapasowe i kontrola dostępu, które łagodzą atak

Te kroki ochrony przed ransomware HYFLOCK to ogólna dobra praktyka, która odnosi się do zachowań opisanych w raporcie.

  • Trzymaj jedną kopię zapasową odłączoną. ROTUJ dysk zewnętrzny, który jest podłączany tylko podczas wykonywania kopii zapasowej, a następnie go odłączaj. Kopia offline nie może zostać zaszyfrowana z zainfekowanego komputera.
  • Używaj wersjonowanych lub niezmiennych kopii zapasowych w chmurze. Wybierz usługę, która przechowuje poprzednie wersje plików, aby móc przywrócić stan sprzed szyfrowania, i zabezpiecz to konto silnym, unikalnym hasłem oraz uwierzytelnianiem wieloskładnikowym.
  • Stosuj zasadę 3-2-1. Przechowuj trzy kopie ważnych danych, na dwóch rodzajach nośników, z jedną przechowywaną poza siedzibą lub offline.
  • Ogranicz uprawnienia do udziałów. Przyznaj każdemu użytkownikowi i urządzeniu dostęp tylko do potrzebnych folderów. Unikaj pozostawiania dysków sieciowych stale mapowanych z prawem zapisu, gdy wystarczy prawo odczytu.
  • Oddziel konta administracyjne od codziennych. Używaj konta standardowego do codziennej pracy, aby złośliwe oprogramowanie dziedziczyło mniej uprawnień.
  • Instaluj poprawki i aktualizuj. Utrzymuj aktualne system Windows, przeglądarki i oprogramowanie routera oraz pozostawiaj włączone oprogramowanie zabezpieczające.
  • Przetestuj przywracanie. Kopia zapasowa, której nigdy nie przywracałeś, to tylko założenie. Co kilka miesięcy spróbuj odzyskać kilka plików.

Atakujący coraz częściej wykorzystują automatyzację i sztuczną inteligencję, aby obniżyć umiejętności potrzebne do przeprowadzenia włamań – trend, który zbadaliśmy w ustaleniach Anthropic dotyczących hakerów wspieranych przez AI atakujących ponad 20 organizacji. To sprawia, że niezawodne podstawy są cenniejsze, a nie mniej istotne.

Co VPN robi, a czego nie robi w walce z ransomware

VPN szyfruje ruch między twoim urządzeniem a serwerem VPN i ukrywa twój adres IP przed odwiedzanymi stronami. Jest to przydatne w publicznych sieciach Wi-Fi i dla prywatności. Nie jest to jednak ochrona przed ransomware. VPN nie skanuje plików, nie powstrzymuje uruchomienia złośliwego załącznika ani nie zapobiega szyfrowaniu plików lokalnych i udziałów sieciowych przez już zainfekowany komputer.

Istnieje jedna wąska, pośrednia korzyść: jeśli używasz VPN do zdalnego dostępu do zasobów domowych lub biurowych, może to zapobiec bezpośredniemu wystawieniu usług, takich jak udziały plików, do internetu. Nawet wtedy konto VPN wymaga silnego uwierzytelniania, a podłączone urządzenie nadal musi być czyste. Traktuj VPN jako jedną warstwę prywatności i bezpiecznego zdalnego dostępu, a nie jako zamiennik kopii zapasowych i uprawnień.

Co to oznacza dla Ciebie

Doniesienia o HYFLOCK przypominają, że ransomware nie dotyczy tylko pliku na twoim pulpicie. Może sięgnąć do współdzielonej pamięci masowej i manipulować narzędziami, których użyłbyś do odzyskania danych. Jeśli twoja jedyna kopia zapasowa jest zawsze podłączona do komputera lub synchronizuje się automatycznie, może podzielić los twoich plików.

W małych biurach ekspozycja jest większa, ponieważ foldery współdzielone zawierają pracę wszystkich. Jeden zainfekowany laptop z szerokim dostępem może mieć nieproporcjonalnie duży wpływ. Kradzież danych to również odrębne ryzyko: nawet przy dobrych kopiach zapasowych skradzione pliki mogą zostać ujawnione, jak w przypadku pozwów IDScan dotyczących rzekomego naruszenia danych 153 mln praw jazdy, gdzie konsekwencje ujawnienia danych rozegrały się w sądzie.

Praktyczne wnioski

  1. Dziś sprawdź, gdzie znajdują się twoje kopie zapasowe i czy twój komputer może do nich zapisywać przez cały czas.
  2. Utwórz lub odśwież kopię zapasową offline najważniejszych plików.
  3. Przejrzyj, które udziały sieciowe są mapowane i kto ma prawo zapisu.
  4. Przełącz codzienne użytkowanie na konto niebędące administratorem i włącz uwierzytelnianie wieloskładnikowe na kontach chmurowych i kontach kopii zapasowych.
  5. Przetestuj przywracanie pliku z każdej kopii zapasowej.

Solidne kroki ochrony przed ransomware HYFLOCK nie wymagają drogich narzędzi – wystarczą kopie zapasowe i reguły dostępu, które nadal działają, gdy atakujący uderza w siatkę bezpieczeństwa. Aby dowiedzieć się więcej o tym, co się dzieje, gdy żądania okupu są odrzucane, przeczytaj nasz raport o wycieku danych Berlina przez Rhysida, a następnie przeaudytuj własną konfigurację, dopóki jest to jeszcze rutynowe zadanie.