Cercetătorii care urmăresc HYFLOCK au descris o operațiune ransomware care se repetă în mod constant. Conform raportărilor, operatorii săi au construit criptoare Windows succesive care blochează fișiere, accesează partajările de rețea și încearcă să împiedice recuperarea. Articolul sursă este scurt în ceea ce privește detaliile tehnice, așa că această postare se limitează la ceea ce a fost raportat și se concentrează pe măsuri practice de protecție împotriva ransomware-ului HYFLOCK pentru persoanele care utilizează PC-uri Windows acasă sau într-un birou mic.

Ce fac noile criptoare HYFLOCK

Comportamentul raportat se împarte în trei părți. În primul rând, criptoarele blochează fișierele de pe mașina Windows infectată, făcând documentele, fotografiile și alte date ilizibile fără o cheie. În al doilea rând, acestea depășesc discul local și ajung la partajările de rețea, ceea ce înseamnă că un singur PC compromis poate afecta fișierele stocate pe un NAS, într-un folder partajat de birou sau pe discul partajat al altui computer. În al treilea rând, încearcă să împiedice recuperarea, vizând opțiunile pe care o victimă le-ar folosi în mod normal pentru a-și recupera fișierele.

Cuvântul „succesive" contează. Indică faptul că operatorii lansează versiuni îmbunătățite ale instrumentelor lor, în loc să se bazeze pe o singură versiune. Pentru apărători, asta înseamnă că presupunerile bazate pe semnături despre o versiune pot să nu fie valabile pentru următoarea, iar rezistența de bază contează mai mult decât urmărirea unui singur eșantion.

Articolul sursă nu detaliază modul în care victimele sunt compromise inițial, cât de multă răscumpărare se cere sau câte organizații sunt afectate, așa că nu vom specula pe aceste puncte.

Cum ajunge ransomware-ul la partajările de rețea și blochează recuperarea

Tiparul general merită înțeles chiar și fără detalii specifice HYFLOCK. Ransomware-ul care rulează pe o mașină Windows moștenește de obicei permisiunile contului care l-a lansat. Dacă acel cont poate deschide un folder partajat, malware-ul poate adesea cripta ceea ce se află în el. Un disc mapat care este întotdeauna conectat și cu drept de scriere este efectiv o extensie a discului local.

Împiedicarea recuperării este cealaltă jumătate a problemei. Mulți oameni se bazează pe plase de siguranță convenabile: discuri de backup locale care rămân conectate, foldere de sincronizare în cloud sau funcții de restaurare integrate. Ransomware-ul care încearcă să interfereze cu recuperarea vizează exact acestea. Un folder de sincronizare va încărca cu fidelitate copiile criptate, iar un disc de backup conectat permanent poate fi criptat împreună cu tot restul.

Aceasta este lecția cheie din raportarea HYFLOCK: un backup pe care computerul infectat îl poate accesa și modifica nu este pe deplin un backup. Aceeași logică se aplică furtului de date, care poate avea loc separat de criptare. Cobertura noastră despre Rhysida care a scurs 5,79TB de date din Berlin după refuzul plății răscumpărării arată ce poate urma atunci când victimele refuză să plătească.

Backup-uri și controale de acces care atenuează atacul

Aceste măsuri de protecție împotriva ransomware-ului HYFLOCK sunt practici generale bune și abordează comportamentele descrise în raport.

  • Păstrați un backup deconectat. Rotiți un disc extern care este conectat doar în timpul rulării unui backup, apoi deconectați-l. O copie offline nu poate fi criptată de pe PC-ul infectat.
  • Folosiți backup-uri în cloud cu versiuni sau imuabile. Alegeți un serviciu care păstrează versiunile anterioare ale fișierelor pentru a putea reveni la un punct dinaintea criptării și protejați acel cont cu o parolă puternică și unică și autentificare multi-factor.
  • Urmați regula 3-2-1. Păstrați trei copii ale datelor importante, pe două tipuri de medii, cu una stocată în afara locației sau offline.
  • Limitați permisiunile de partajare. Acordați fiecărui utilizator și dispozitiv acces doar la folderele de care are nevoie. Evitați să lăsați discuri de rețea mapate permanent cu drept de scriere atunci când accesul de citire este suficient.
  • Separați conturile de administrare de cele zilnice. Folosiți un cont standard pentru munca de zi cu zi, astfel încât malware-ul să moștenească mai puține drepturi.
  • Aplicați patch-uri și actualizări. Mențineți Windows, browserele și firmware-ul routerului actualizate și păstrați software-ul de securitate activat.
  • Testați o restaurare. Un backup pe care nu l-ați restaurat niciodată este o presupunere. Încercați să recuperați câteva fișiere la fiecare câteva luni.

Atacatorii folosesc din ce în ce mai mult automatizarea și AI-ul pentru a reduce competențele necesare pentru intruziuni, o tendință pe care am examinat-o în Constatările Anthropic despre hackerii susținuți de AI care au lovit peste 20 de organizații. Acest lucru face ca elementele de bază fiabile să fie mai valoroase, nu mai puțin.

Ce face și ce nu face un VPN împotriva ransomware-ului

Un VPN criptează traficul dintre dispozitivul dvs. și serverul VPN și vă ascunde adresa IP față de site-urile pe care le vizitați. Acest lucru este util pe Wi-Fi public și pentru confidențialitate. Nu este o apărare împotriva ransomware-ului. Un VPN nu scanează fișiere, nu împiedică rularea unui atașament malițios și nu împiedică un PC deja infectat să cripteze fișierele locale și partajările de rețea.

Există un beneficiu îngust și indirect: dacă utilizați un VPN pentru a accesa de la distanță resursele de acasă sau de la birou, acesta poate evita expunerea directă la internet a serviciilor precum partajările de fișiere. Chiar și atunci, contul VPN necesită autentificare puternică, iar dispozitivul conectat trebuie să fie curat. Tratați un VPN ca pe un strat pentru confidențialitate și acces de la distanță securizat, nu ca pe un înlocuitor pentru backup-uri și permisiuni.

Ce înseamnă acest lucru pentru dvs.

Raportarea HYFLOCK este un memento că ransomware-ul nu se referă doar la fișierul de pe desktop. Poate ajunge la stocarea partajată și poate modifica instrumentele pe care le-ați folosi pentru recuperare. Dacă singurul dvs. backup este întotdeauna conectat la PC sau se sincronizează automat, acesta poate împărtăși soarta fișierelor dvs.

Pentru birourile mici, expunerea este mai mare, deoarece folderele partajate conțin munca tuturor. Un singur laptop infectat cu acces larg poate avea un impact disproporționat. Furtul de date este, de asemenea, un risc separat: chiar și cu backup-uri bune, fișierele furate pot fi totuși scurse, ca în cazul proceselor IDScan privind o presupusă breșă a 153M de permise de conducere, unde consecințele datelor expuse s-au desfășurat în instanță.

Concluzii acționabile

  1. Astăzi, verificați unde se află backup-urile dvs. și dacă PC-ul dvs. poate scrie pe ele în orice moment.
  2. Creați sau rotiți un backup offline al celor mai importante fișiere ale dvs.
  3. Revedeți ce partajări de rețea sunt mapate și cine are drept de scriere.
  4. Treceți utilizarea zilnică pe un cont non-administrator și activați autentificarea multi-factor pe conturile de cloud și de backup.
  5. Testați restaurarea unui fișier din fiecare backup.

Măsuri solide de protecție împotriva ransomware-ului HYFLOCK nu necesită instrumente scumpe, ci doar backup-uri și reguli de acces care funcționează în continuare atunci când atacatorul vizează plasa de siguranță. Pentru mai multe despre ce se întâmplă atunci când cererile de răscumpărare sunt refuzate, citiți raportul nostru despre scurgerea de date din Berlin de către Rhysida, apoi auditați-vă propria configurație în timp ce este încă o sarcină de rutină.