Cercetătorii Check Point Exposure Management au descoperit slăbiciuni de criptare în ransomware-ul HYFLOCK care le-au permis să recupereze datele criptate fără cheia atacatorilor. Descoperirea este un memento util că ransomware-ul este software, iar software-ul poate avea defecte. Pentru oricine este îngrijorat de extorcare, decriptarea ransomware-ului HYFLOCK fără cheie este un rezultat notabil, deși vine cu avertismente importante.
Raportul sursă este scurt, așa că acest articol se limitează la ceea ce a fost confirmat: cercetătorii au identificat slăbiciuni criptografice în HYFLOCK, iar aceste slăbiciuni au făcut posibilă recuperarea fără a plăti sau a se baza pe infractori.
Cum au spart cercetătorii criptarea HYFLOCK
Ransomware-ul funcționează de obicei prin criptarea fișierelor unei victime și apoi prin cererea unei plăți pentru cheia necesară deblocării acestora. Puterea acestei scheme depinde în întregime de cât de bine este implementată criptarea. Chiar și atunci când o tulpină folosește algoritmi bine-cunoscuți, erorile în modul în care cheile sunt generate, stocate sau aplicate pot lăsa o ușă deschisă.
Conform raportului, cercetătorii Check Point Exposure Management au găsit slăbiciuni de acest tip în HYFLOCK. Aceste defecte le-au permis să recupereze datele fără cheia pe care atacatorii ar deține-o în mod normal. Raportul nu oferă detalii tehnice suplimentare în materialul disponibil pentru noi, așa că nu vom specula cu privire la mecanismul specific, la versiunile afectate sau dacă există un instrument public de decriptare.
Ce înseamnă acest lucru pentru victimele ransomware-ului
Lecția principală este simplă: plata nu este singura cale și ar trebui rareori să fie prima. Dacă o tulpină are un defect exploatabil, victimele pot fi capabile să restaureze fișierele fără costuri. Cercetătorii și companiile de securitate publică uneori astfel de descoperiri pentru ca alții să beneficieze.
Dacă sunteți vreodată afectat de ransomware, luați în considerare acești pași înainte de a interacționa cu atacatorii:
- Izolați dispozitivul afectat de rețea pentru a limita răspândirea ulterioară.
- Păstrați fișierele criptate și orice notă de răscumpărare. Acestea ajută experții să identifice tulpina.
- Căutați instrumente de recuperare legitime de la furnizori de securitate și cercetători de încredere și confirmați că sursa este de încredere înainte de a descărca ceva.
- Contactați un profesionist calificat în răspuns la incidente dacă datele sunt critice pentru afacere.
Fiți precauți cu descărcările de „decriptoare" din surse neverificate. Instrumentele false de recuperare sunt o modalitate bine-cunoscută de a provoca o a doua infecție, așa că verificați înainte de a rula ceva.
De ce un defect într-o tulpină nu este o plasă de siguranță
Ar fi o greșeală să citiți această cercetare ca dovadă că ransomware-ul este ușor de învins. O slăbiciune în HYFLOCK nu înseamnă că alte tulpini sunt spargibile. Majoritatea operatorilor de ransomware au stimulente puternice să remedieze greșelile odată ce acestea sunt expuse, iar un defect publicat poate duce la o versiune corectată care nu mai are aceeași slăbiciune.
Recuperarea depinde, de asemenea, de momentul și circumstanțele incidentului. Datele care au fost deja furate nu pot fi ne-furate, chiar dacă copiile criptate pot fi restaurate. Multe incidente de ransomware implică atât criptare, cât și furt de date, așa că o decriptare reușită nu șterge consecințele asupra confidențialității. Breșa HandyTrac la o proprietate administrată de Greystar este un exemplu real al modului în care un incident de ransomware poate expune informații sensibile mult dincolo de fișierele victimei originale.
Pași practici pentru a vă proteja fișierele și dispozitivele
Nimeni nu ar trebui să conteze pe faptul că atacatorii vor face erori criptografice. Obiceiurile solide contează mult mai mult:
- Păstrați copii de rezervă offline. Mențineți cel puțin o copie de rezervă deconectată de la computer și rețea, astfel încât ransomware-ul să nu o poată cripta. Testați periodic restaurarea din ea.
- Urmați abordarea 3-2-1. Păstrați trei copii ale datelor importante, pe două tipuri de stocare, cu o copie off-site sau offline.
- Actualizați software-ul prompt. Sistemele de operare, browserele și aplicațiile ar trebui să primească patch-uri de securitate de îndată ce sunt disponibile.
- Evitați descărcările și atașamentele suspecte. Software-ul piratat, atașamentele neașteptate din e-mail și linkurile necunoscute sunt căi comune de livrare.
- Folosiți parole puternice și unice și autentificare multifactor pentru a face mai dificil pentru atacatori să obțină un punct de sprijin.
- Limitați privilegiile contului. Folosiți un cont standard pentru munca zilnică în locul unui cont de administrator.
Un VPN poate proteja traficul pe rețele nesigure, dar nu oprește ransomware-ul de unul singur. Copiile de rezervă, actualizările și comportamentul precaut sunt apărările care contează aici.
Ce înseamnă acest lucru pentru dumneavoastră
Pentru majoritatea cititorilor, concluzia este despre pregătire și răbdare. Dacă ransomware-ul vă blochează vreodată fișierele, nu intrați în panică și nu plătiți imediat. Verificați dacă există o opțiune legitimă de recuperare, deoarece cercetări precum cele ale Check Point arată că unele tulpini pot fi învinse. În același timp, tratați orice incident de ransomware ca pe un posibil incident de furt de date: schimbați parolele, urmăriți semnele de utilizare abuzivă și urmați îndrumările organizației care deține datele dumneavoastră.
Concluzii cheie
Descoperirea că decriptarea ransomware-ului HYFLOCK fără cheie este posibilă este încurajatoare, dar este excepția, nu regula. Păstrați copii de rezervă offline, evitați descărcările suspecte și nu plătiți niciodată o răscumpărare înainte de a verifica existența unor instrumente legitime de recuperare. Pentru a vedea cum ransomware-ul poate afecta oamenii mult dincolo de victima inițială, citiți despre breșa HandyTrac și gândiți-vă cum ar arăta propriile rutine de backup și securitate într-o situație similară.
