Forskare som följer HYFLOCK har beskrivit en ransomware-operation som ständigt utvecklas. Enligt rapporteringen har dess operatörer byggt successiva Windows-krypterare som låser filer, kommer åt nätverksdelningar och försöker förhindra återställning. Källartikeln är kortfattad när det gäller teknisk detalj, så det här inlägget håller sig till det som har rapporterats och fokuserar på praktiska steg för HYFLOCK-ransomwareskydd för personer som använder Windows-datorer hemma eller på ett litet kontor.

Vad HYFLOCK:s nya krypterare gör

Det rapporterade beteendet kan delas in i tre delar. För det första låser krypterarna filer på den infekterade Windows-datorn, vilket gör dokument, foton och annan data oläsbara utan en nyckel. För det andra når de bortom den lokala disken till nätverksdelningar, vilket innebär att en enda komprometterad dator kan påverka filer som lagras på en NAS, en delad kontorsmapp eller en annan dators delade enhet. För det tredje försöker de förhindra återställning genom att angripa de alternativ som ett offer normalt skulle använda för att få tillbaka filer.

Ordet "successiva" spelar roll. Det indikerar att operatörerna släpper förbättrade versioner av sina verktyg snarare än att förlita sig på en enda version. För försvarare innebär det att signaturbaserade antaganden om en version inte nödvändigtvis gäller för nästa, och grundläggande motståndskraft är viktigare än att jaga en enskild sampel.

Källartikeln beskriver inte hur offer initialt komprometteras, hur mycket lösen som krävs eller hur många organisationer som påverkas, så vi kommer inte att spekulera i dessa punkter.

Hur ransomware når nätverksdelningar och blockerar återställning

Det allmänna mönstret är värt att förstå även utan HYFLOCK-specifika detaljer. Ransomware som körs på en Windows-dator ärver vanligtvis behörigheterna för det konto som startade det. Om det kontot kan öppna en delad mapp kan skadlig programvara ofta kryptera det som finns i den. En mappad enhet som alltid är ansluten och skrivbar är i praktiken en förlängning av den lokala disken.

Blockering av återställning är den andra halvan av problemet. Många människor förlitar sig på bekväma skyddsnät: lokala säkerhetskopieringsenheter som alltid är inkopplade, molnsynkroniseringsmappar eller inbyggda återställningsfunktioner. Ransomware som försöker störa återställningen riktar sig mot exakt dessa. En synkroniseringsmapp kommer troget att ladda upp krypterade kopior, och en ständigt ansluten säkerhetskopieringsdisk kan krypteras tillsammans med allt annat.

Detta är den viktigaste lärdomen från HYFLOCK-rapporteringen: en säkerhetskopia som den infekterade datorn kan nå och ändra är inte helt och hållet en säkerhetskopia. Samma logik gäller för datastöld, som kan ske separat från kryptering. Vår bevakning av Rhysida läcker 5,79 TB Berlin-data efter att lösen nekats visar vad som kan följa när offer vägrar betala.

Säkerhetskopior och åtkomstkontroller som dämpar attacken

Dessa steg för HYFLOCK-ransomwareskydd är allmän god praxis och de hanterar de beteenden som beskrivs i rapporten.

  • Håll en säkerhetskopia frånkopplad. Rotera en extern enhet som bara är ansluten medan en säkerhetskopiering körs och koppla sedan ur den. En offline-kopia kan inte krypteras från den infekterade datorn.
  • Använd versionshanterade eller oföränderliga molnsäkerhetskopior. Välj en tjänst som behåller tidigare filversioner så att du kan rulla tillbaka till en tidpunkt före krypteringen, och skydda det kontot med ett starkt, unikt lösenord och multifaktorautentisering.
  • Följ 3-2-1. Håll tre kopior av viktig data, på två typer av media, med en lagrad på annan plats eller offline.
  • Begränsa delningsbehörigheter. Ge varje användare och enhet åtkomst endast till de mappar den behöver. Undvik att lämna nätverksenheter permanent mappade med skrivåtkomst när läsåtkomst räcker.
  • Separera admin- och vardagskonton. Använd ett standardkonto för dagligt arbete så att skadlig programvara ärver färre rättigheter.
  • Lappa och uppdatera. Håll Windows, webbläsare och routerns firmware uppdaterade och håll säkerhetsprogramvaran aktiverad.
  • Testa en återställning. En säkerhetskopia som du aldrig har återställt är ett antagande. Försök återställa några filer varje par månader.

Angripare använder i allt högre grad automatisering och AI för att sänka den kompetens som krävs för intrång, en trend vi undersökte i Anthropics rön om AI-stödda hackare som drabbat 20+ organisationer. Det gör pålitliga grunderna mer värdefulla, inte mindre.

Vad en VPN gör och inte gör mot ransomware

En VPN krypterar trafiken mellan din enhet och VPN-servern och döljer din IP-adress för de webbplatser du besöker. Det är användbart på offentliga Wi-Fi-nät och för integritet. Det är inte ett ransomware-försvar. En VPN skannar inte filer, stoppar inte en skadlig bilaga från att köras och förhindrar inte en redan infekterad dator från att kryptera lokala filer och nätverksdelningar.

Det finns en snäv, indirekt fördel: om du använder en VPN för att nå hem- eller kontorsresurser på distans kan det undvika att exponera tjänster som fildelningar direkt mot internet. Även då behöver VPN-kontot stark autentisering, och den anslutna enheten måste fortfarande vara ren. Betrakta en VPN som ett lager för integritet och säker fjärråtkomst, inte som en ersättning för säkerhetskopior och behörigheter.

Vad detta innebär för dig

HYFLOCK-rapporteringen är en påminnelse om att ransomware inte bara handlar om filen på skrivbordet. Det kan nå delad lagring och manipulera de verktyg du skulle använda för att återställa. Om din enda säkerhetskopia alltid är ansluten till din dator, eller synkroniseras automatiskt, kan den dela dina filers öde.

För små kontor är exponeringen större eftersom delade mappar innehåller allas arbete. En infekterad laptop med bred åtkomst kan få oproportionerligt stor inverkan. Datastöld är också en separat risk: även med bra säkerhetskopior kan stulna filer fortfarande läcka ut, som i IDScan-stämningarna om en påstådd läcka av 153 miljoner körkort, där konsekvenserna av exponerad data utspelade sig i domstol.

Åtgärder att vidta

  1. Kontrollera idag var dina säkerhetskopior finns och om din dator kan skriva till dem hela tiden.
  2. Skapa eller rotera en offline-säkerhetskopia av dina viktigaste filer.
  3. Granska vilka nätverksdelningar som är mappade och vem som har skrivåtkomst.
  4. Byt vardagsanvändning till ett icke-administratörskonto och aktivera multifaktorautentisering på moln- och säkerhetskopieringskonton.
  5. Testa att återställa en fil från varje säkerhetskopia.

Solida steg för HYFLOCK-ransomwareskydd kräver inga dyra verktyg, bara säkerhetskopior och åtkomstregler som fortfarande fungerar när angriparen går efter skyddsnätet. För mer om vad som händer när lösenkrav nekas, läs vår rapport om Rhysidas läcka av Berlin-data och granska sedan din egen uppsättning medan det fortfarande är en rutinuppgift.