Os investigadores que acompanham o HYFLOCK descreveram uma operação de ransomware que continua a iterar. De acordo com o relatório, os seus operadores criaram sucessivos encriptadores Windows que bloqueiam ficheiros, acedem a partilhas de rede e tentam obstruir a recuperação. O artigo de origem é breve em detalhe técnico, pelo que este artigo cinge-se ao que foi reportado e centra-se em passos práticos de proteção contra o ransomware HYFLOCK para quem utiliza PCs Windows em casa ou num pequeno escritório.
O que fazem os novos encriptadores do HYFLOCK
O comportamento reportado divide-se em três partes. Primeiro, os encriptadores bloqueiam ficheiros na máquina Windows infetada, tornando documentos, fotografias e outros dados ilegíveis sem uma chave. Segundo, vão além do disco local até às partilhas de rede, o que significa que um único PC comprometido pode afetar ficheiros armazenados num NAS, numa pasta de escritório partilhada ou na unidade partilhada de outro computador. Terceiro, tentam obstruir a recuperação, atacando as opções que uma vítima normalmente usaria para recuperar ficheiros.
A palavra "sucessivos" importa. Indica que os operadores estão a lançar versões melhoradas das suas ferramentas em vez de dependerem de uma única compilação. Para os defensores, isso significa que pressupostos baseados em assinaturas sobre uma versão podem não se aplicar à seguinte, e a resiliência básica importa mais do que perseguir qualquer amostra em particular.
O artigo de origem não detalha como as vítimas são inicialmente comprometidas, quanto resgate é exigido, ou quantas organizações são afetadas, pelo que não iremos especular sobre esses pontos.
Como o ransomware chega às partilhas de rede e bloqueia a recuperação
O padrão geral merece ser compreendido mesmo sem especificidades do HYFLOCK. O ransomware a correr numa máquina Windows herda tipicamente as permissões da conta que o lançou. Se essa conta consegue abrir uma pasta partilhada, o malware consegue frequentemente encriptar o que está dentro dela. Uma unidade mapeada que está sempre conectada e com permissão de escrita é efetivamente uma extensão do disco local.
A obstrução da recuperação é a outra metade do problema. Muitas pessoas dependem de redes de segurança convenientes: unidades de backup locais que ficam ligadas, pastas de sincronização na nuvem, ou funcionalidades de restauro incorporadas. O ransomware que tenta interferir com a recuperação visa exatamente estas. Uma pasta de sincronização irá fielmente carregar cópias encriptadas, e um disco de backup permanentemente ligado pode ser encriptado juntamente com tudo o resto.
Esta é a lição chave do relatório do HYFLOCK: um backup a que o computador infetado consegue aceder e modificar não é totalmente um backup. A mesma lógica aplica-se ao roubo de dados, que pode ocorrer separadamente da encriptação. A nossa cobertura sobre Rhysida a divulgar 5,79TB de dados de Berlim após recusa de resgate mostra o que pode seguir-se quando as vítimas se recusam a pagar.
Backups e controlos de acesso que atenuam o ataque
Estes passos de proteção contra o ransomware HYFLOCK são boas práticas gerais, e abordam os comportamentos descritos no relatório.
- Mantenha um backup desligado. Rotacione um disco externo que só está ligado enquanto um backup corre, e depois desligue-o. Uma cópia offline não pode ser encriptada a partir do PC infetado.
- Use backups na nuvem com versionamento ou imutáveis. Escolha um serviço que mantém versões anteriores dos ficheiros para poder recuar a um ponto anterior à encriptação, e proteja essa conta com uma palavra-passe forte e única e autenticação multifator.
- Siga a regra 3-2-1. Mantenha três cópias dos dados importantes, em dois tipos de suporte, com uma armazenada fora do local ou offline.
- Limite as permissões das partilhas. Dê a cada utilizador e dispositivo acesso apenas às pastas de que necessita. Evite deixar unidades de rede permanentemente mapeadas com permissão de escrita quando o acesso de leitura é suficiente.
- Separe contas de administrador e do dia-a-dia. Use uma conta padrão para o trabalho quotidiano para que o malware herde menos direitos.
- Aplique patches e atualizações. Mantenha o Windows, os navegadores e o firmware do router atualizados, e mantenha o software de segurança ativo.
- Teste um restauro. Um backup que nunca restaurou é um pressuposto. Tente recuperar alguns ficheiros a cada poucos meses.
Os atacantes usam cada vez mais automação e IA para reduzir a competência necessária para intrusões, uma tendência que examinámos em As descobertas da Anthropic sobre hackers com IA a atacar mais de 20 organizações. Isso torna os fundamentos fiáveis mais valiosos, não menos.
O que uma VPN faz e não faz contra o ransomware
Uma VPN encripta o tráfego entre o seu dispositivo e o servidor VPN e oculta o seu endereço IP dos sites que visita. Isso é útil em Wi-Fi público e para privacidade. Não é uma defesa contra ransomware. Uma VPN não analisa ficheiros, não impede um anexo malicioso de ser executado, nem impede um PC já infetado de encriptar ficheiros locais e partilhas de rede.
Há um benefício estreito e indireto: se usar uma VPN para aceder remotamente a recursos de casa ou do escritório, pode evitar expor serviços como partilhas de ficheiros diretamente à internet. Mesmo assim, a conta VPN precisa de autenticação forte, e o dispositivo conectado continua a precisar de estar limpo. Trate uma VPN como uma camada para privacidade e acesso remoto seguro, não como um substituto para backups e permissões.
O que isto significa para si
O relatório do HYFLOCK é um lembrete de que o ransomware não se resume ao ficheiro no seu ambiente de trabalho. Pode chegar ao armazenamento partilhado e manipular as ferramentas que usaria para recuperar. Se o seu único backup está sempre ligado ao seu PC, ou sincroniza automaticamente, pode partilhar o destino dos seus ficheiros.
Para pequenos escritórios, a exposição é maior porque as pastas partilhadas contêm o trabalho de todos. Um único portátil infetado com acesso amplo pode ter um impacto desproporcionado. O roubo de dados é também um risco separado: mesmo com bons backups, ficheiros roubados podem ainda ser divulgados, como nos processos da IDScan sobre uma alegada violação de 153M de cartas de condução, onde as consequências de dados expostos se desenrolaram em tribunal.
Conclusões acionáveis
- Hoje, verifique onde vivem os seus backups e se o seu PC consegue escrever para eles em todos os momentos.
- Crie ou rotacione um backup offline dos seus ficheiros mais importantes.
- Reveja que partilhas de rede estão mapeadas e quem tem permissão de escrita.
- Mude o uso diário para uma conta não-administrador e ative a autenticação multifator nas contas de nuvem e de backup.
- Teste restaurar um ficheiro de cada backup.
Passos sólidos de proteção contra o ransomware HYFLOCK não requerem ferramentas caras, apenas backups e regras de acesso que continuam a funcionar quando o atacante vai atrás da rede de segurança. Para mais sobre o que acontece quando as exigências de resgate são recusadas, leia o nosso relatório sobre a divulgação de dados de Berlim pelo Rhysida, e depois audite a sua própria configuração enquanto ainda é uma tarefa de rotina.
