Исследователи, отслеживающие HYFLOCK, описали операцию программы-вымогателя, которая постоянно развивается. Согласно сообщениям, её операторы создали череду шифровальщиков для Windows, которые блокируют файлы, получают доступ к сетевым ресурсам и пытаются воспрепятствовать восстановлению. Исходная статья содержит мало технических подробностей, поэтому в этом материале мы придерживаемся того, что было сообщено, и сосредотачиваемся на практических шагах защиты от программы-вымогателя HYFLOCK для тех, кто использует ПК с Windows дома или в небольшом офисе.

Что делают новые шифровальщики HYFLOCK

Сообщаемое поведение делится на три части. Во-первых, шифровальщики блокируют файлы на заражённой машине Windows, делая документы, фотографии и другие данные нечитаемыми без ключа. Во-вторых, они выходят за пределы локального диска к сетевым ресурсам, что означает, что один скомпрометированный ПК может повлиять на файлы, хранящиеся на NAS, в общей офисной папке или на общем диске другого компьютера. В-третьих, они пытаются воспрепятствовать восстановлению, атакуя те возможности, которые жертва обычно использует для возврата файлов.

Слово «последовательные» имеет значение. Оно указывает на то, что операторы выпускают улучшенные версии своих инструментов, а не полагаются на одну сборку. Для защитников это означает, что сигнатурные предположения об одной версии могут не сработать для следующей, и базовая устойчивость важнее, чем погоня за каким-либо одним образцом.

В исходной статье не уточняется, как жертвы подвергаются первоначальной компрометации, какой размер выкупа требуется или сколько организаций затронуто, поэтому мы не будем строить предположения по этим пунктам.

Как программа-вымогатель достигает сетевых ресурсов и блокирует восстановление

Общую схему стоит понять даже без специфики HYFLOCK. Программа-вымогатель, работающая на машине Windows, обычно наследует разрешения учётной записи, которая её запустила. Если эта учётная запись может открыть общую папку, вредоносное ПО часто может зашифровать то, что находится внутри неё. Подключённый сетевой диск, который всегда подключён и доступен для записи, фактически является продолжением локального диска.

Воспрепятствование восстановлению — вторая половина проблемы. Многие люди полагаются на удобные страховочные механизмы: локальные резервные диски, которые остаются подключёнными, папки облачной синхронизации или встроенные функции восстановления. Программа-вымогатель, которая пытается помешать восстановлению, нацелена именно на них. Папка синхронизации добросовестно загрузит зашифрованные копии, а постоянно подключённый резервный диск может быть зашифрован вместе со всем остальным.

Это ключевой урок из сообщений о HYFLOCK: резервная копия, к которой заражённый компьютер может получить доступ и которую может изменить, не является полноценной резервной копией. Та же логика применима к краже данных, которая может происходить отдельно от шифрования. Наш материал о Rhysida, слившей 5,79 ТБ берлинских данных после отказа от выкупа показывает, что может последовать, когда жертвы отказываются платить.

Резервные копии и контроль доступа, которые ослабляют атаку

Эти шаги защиты от программы-вымогателя HYFLOCK являются общепринятой хорошей практикой и адресуют поведение, описанное в отчёте.

  • Держите одну резервную копию отключённой. Ротируйте внешний диск, который подключается только во время резервного копирования, затем отключайте его. Офлайн-копия не может быть зашифрована с заражённого ПК.
  • Используйте версионные или неизменяемые облачные резервные копии. Выбирайте сервис, который сохраняет предыдущие версии файлов, чтобы вы могли откатиться к точке до шифрования, и защитите эту учётную запись надёжным уникальным паролем и многофакторной аутентификацией.
  • Следуйте правилу 3-2-1. Храните три копии важных данных на двух типах носителей, одна из которых хранится вне офиса или офлайн.
  • Ограничьте разрешения на общие ресурсы. Предоставляйте каждому пользователю и устройству доступ только к тем папкам, которые ему нужны. Избегайте постоянного подключения сетевых дисков с доступом на запись, когда достаточно доступа на чтение.
  • Разделяйте административную и повседневную учётные записи. Используйте стандартную учётную запись для повседневной работы, чтобы вредоносное ПО наследовало меньше прав.
  • Устанавливайте исправления и обновления. Поддерживайте Windows, браузеры и прошивку роутера в актуальном состоянии и держите защитное ПО включённым.
  • Проверяйте восстановление. Резервная копия, которую вы никогда не восстанавливали, — это предположение. Пытайтесь восстановить несколько файлов каждые несколько месяцев.

Злоумышленники всё чаще используют автоматизацию и ИИ, чтобы снизить необходимый уровень навыков для вторжений, — тенденцию, которую мы рассмотрели в выводах Anthropic о хакерах с поддержкой ИИ, атаковавших более 20 организаций. Это делает надёжные базовые меры более ценными, а не менее.

Что VPN делает и не делает против программ-вымогателей

VPN шифрует трафик между вашим устройством и VPN-сервером и скрывает ваш IP-адрес от сайтов, которые вы посещаете. Это полезно в публичных Wi-Fi сетях и для конфиденциальности. Это не защита от программ-вымогателей. VPN не сканирует файлы, не останавливает запуск вредоносного вложения и не предотвращает шифрование локальных файлов и сетевых ресурсов уже заражённым ПК.

Есть одна узкая косвенная выгода: если вы используете VPN для удалённого доступа к домашним или офисным ресурсам, это может избежать прямого раскрытия таких служб, как общие файловые ресурсы, в интернете. Даже в этом случае учётная запись VPN требует надёжной аутентификации, а подключённое устройство всё равно должно быть чистым. Рассматривайте VPN как один из уровней для конфиденциальности и безопасного удалённого доступа, а не как замену резервным копиям и разрешениям.

Что это значит для вас

Сообщения о HYFLOCK — напоминание о том, что программа-вымогатель касается не только файла на вашем рабочем столе. Она может достичь общего хранилища и повредить инструменты, которые вы могли бы использовать для восстановления. Если ваша единственная резервная копия всегда подключена к ПК или синхронизируется автоматически, она может разделить судьбу ваших файлов.

Для небольших офисов подверженность риску больше, потому что общие папки содержат работу всех. Один заражённый ноутбук с широким доступом может иметь непропорционально большой эффект. Кража данных — это тоже отдельный риск: даже при хороших резервных копиях украденные файлы всё равно могут быть слиты, как в случае исков IDScan по поводу предполагаемой утечки 153 млн водительских прав, где последствия раскрытия данных разбирались в суде.

Практические выводы

  1. Сегодня проверьте, где хранятся ваши резервные копии и может ли ваш ПК записывать в них в любое время.
  2. Создайте или обновите офлайн-резервную копию ваших самых важных файлов.
  3. Просмотрите, какие сетевые ресурсы подключены и у кого есть доступ на запись.
  4. Переключите повседневное использование на учётную запись без прав администратора и включите многофакторную аутентификацию для облачных и резервных учётных записей.
  5. Проверьте восстановление файла из каждой резервной копии.

Надёжные шаги защиты от программы-вымогателя HYFLOCK не требуют дорогих инструментов — только резервные копии и правила доступа, которые продолжают работать, когда злоумышленник атакует страховочную сеть. Чтобы узнать больше о том, что происходит при отказе от требований выкупа, прочитайте наш отчёт об утечке берлинских данных Rhysida, а затем проведите аудит собственной конфигурации, пока это ещё рутинная задача.