นักวิจัยที่ติดตาม HYFLOCK ได้อธิบายถึงปฏิบัติการransomwareที่พัฒนาเวอร์ชันซ้ำแล้วซ้ำเล่า ตามรายงาน ผู้ดำเนินการได้สร้างตัวเข้ารหัส Windows ต่อเนื่องกันซึ่งล็อกไฟล์ เข้าถึงแชร์เครือข่าย และพยายามขัดขวางการกู้คืน บทความต้นฉบับมีรายละเอียดทางเทคนิคน้อย ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ถูกรายงานและมุ่งเน้นไปที่ขั้นตอนการป้องกันransomware HYFLOCK ที่ใช้ได้จริงสำหรับผู้ที่ใช้พีซี Windows ที่บ้านหรือในสำนักงานขนาดเล็ก
สิ่งที่ตัวเข้ารหัสใหม่ของ HYFLOCK ทำ
พฤติกรรมที่ถูกรายงานแบ่งออกเป็นสามส่วน ส่วนแรก ตัวเข้ารหัสล็อกไฟล์บนเครื่อง Windows ที่ติดเชื้อ ทำให้เอกสาร รูปภาพ และข้อมูลอื่นไม่สามารถอ่านได้หากไม่มีคีย์ ส่วนที่สอง พวกมันเข้าถึงเกินกว่าดิสก์ภายในไปยังแชร์เครือข่าย ซึ่งหมายความว่าพีซีที่ถูกบุกรุกเพียงเครื่องเดียวสามารถส่งผลกระทบต่อไฟล์ที่เก็บไว้บน NAS โฟลเดอร์สำนักงานที่แชร์ หรือไดรฟ์ที่แชร์ของคอมพิวเตอร์เครื่องอื่น ส่วนที่สาม พวกมันพยายามขัดขวางการกู้คืน โดยมุ่งเป้าไปที่ตัวเลือกที่เหยื่อมักใช้เพื่อกู้ไฟล์คืน
คำว่า "ต่อเนื่อง" มีความสำคัญ มันบ่งชี้ว่าผู้ดำเนินการกำลังปล่อยเครื่องมือเวอร์ชันปรับปรุงแทนที่จะพึ่งพาการสร้างเพียงครั้งเดียว สำหรับผู้ป้องกัน นั่นหมายความว่าสมมติฐานตามลายเซ็นเกี่ยวกับเวอร์ชันหนึ่งอาจไม่ใช้ได้กับเวอร์ชันถัดไป และความยืดหยุ่นพื้นฐานสำคัญกว่าการไล่ล่าตัวอย่างใดตัวอย่างหนึ่ง
บทความต้นฉบับไม่ได้ให้รายละเอียดว่าเหยื่อถูกบุกรุกในเบื้องต้นอย่างไร เรียกค่าไถ่เท่าไร หรือมีองค์กรได้รับผลกระทบกี่แห่ง ดังนั้นเราจะไม่คาดเดาในประเด็นเหล่านั้น
ransomware เข้าถึงแชร์เครือข่ายและบล็อกการกู้คืนได้อย่างไร
รูปแบบทั่วไปนั้นควรค่าแก่การทำความเข้าใจแม้จะไม่มีรายละเอียดเฉพาะของ HYFLOCK ransomware ที่ทำงานบนเครื่อง Windows มักสืบทอดสิทธิ์ของบัญชีที่เปิดใช้งาน หากบัญชีนั้นสามารถเปิดโฟลเดอร์ที่แชร์ได้ มัลแวร์มักสามารถเข้ารหัสสิ่งที่อยู่ภายในได้ ไดรฟ์ที่แมปไว้ซึ่งเชื่อมต่อและเขียนได้ตลอดเวลาเป็นส่วนขยายของดิสก์ภายในอย่างแท้จริง
การขัดขวางการกู้คืนเป็นอีกครึ่งหนึ่งของปัญหา หลายคนพึ่งพาตาข่ายความปลอดภัยที่สะดวกสบาย เช่น ไดรฟ์สำรองข้อมูลภายในที่เสียบไว้ตลอดเวลา โฟลเดอร์ซิงค์คลาวด์ หรือฟีเจอร์การกู้คืนที่มีมาในระบบ ransomware ที่พยายามแทรกแซงการกู้คืนมุ่งเป้าไปที่สิ่งเหล่านี้อย่างแม่นยำ โฟลเดอร์ซิงค์จะอัปโหลดสำเนาที่เข้ารหัสอย่างซื่อสัตย์ และดิสก์สำรองที่เชื่อมต่อถาวรสามารถถูกเข้ารหัสไปพร้อมกับทุกสิ่งทุกอย่าง
นี่คือบทเรียนสำคัญจากรายงาน HYFLOCK: การสำรองข้อมูลที่คอมพิวเตอร์ที่ติดเชื้อสามารถเข้าถึงและแก้ไขได้ไม่ใช่การสำรองข้อมูลอย่างสมบูรณ์ ตรรกะเดียวกันนี้ใช้กับการขโมยข้อมูล ซึ่งสามารถเกิดขึ้นแยกจากการเข้ารหัสได้ การรายงานของเราเกี่ยวกับ Rhysida รั่วไหลข้อมูลเบอร์ลิน 5.79TB หลังการปฏิเสธค่าไถ่ แสดงให้เห็นว่าอะไรสามารถเกิดขึ้นได้เมื่อเหยื่อปฏิเสธที่จะจ่าย
การสำรองข้อมูลและการควบคุมการเข้าถึงที่ลดทอนการโจมตี
ขั้นตอนการป้องกันransomware HYFLOCK เหล่านี้เป็นแนวปฏิบัติที่ดีทั่วไป และจัดการกับพฤติกรรมที่อธิบายไว้ในรายงาน
- เก็บสำรองข้อมูลหนึ่งชุดไว้แบบตัดการเชื่อมต่อ หมุนเวียนไดรฟ์ภายนอกที่เชื่อมต่อเฉพาะขณะสำรองข้อมูล แล้วถอดออก สำเนาออฟไลน์ไม่สามารถถูกเข้ารหัสจากพีซีที่ติดเชื้อได้
- ใช้การสำรองข้อมูลบนคลาวด์แบบมีเวอร์ชันหรือไม่เปลี่ยนแปลงได้ เลือกบริการที่เก็บเวอร์ชันไฟล์ก่อนหน้าเพื่อให้คุณย้อนกลับไปยังจุดก่อนการเข้ารหัสได้ และปกป้องบัญชีนั้นด้วยรหัสผ่านที่แข็งแกร่งและไม่ซ้ำใครพร้อมการรับรองความถูกต้องหลายปัจจัย
- ปฏิบัติตาม 3-2-1 เก็บสำเนาข้อมูลสำคัญสามชุด บนสื่อสองประเภท โดยหนึ่งชุดเก็บไว้นอกสถานที่หรือออฟไลน์
- จำกัดสิทธิ์การแชร์ ให้ผู้ใช้และอุปกรณ์แต่ละรายเข้าถึงเฉพาะโฟลเดอร์ที่ต้องการ หลีกเลี่ยงการแมปไดรฟ์เครือข่ายแบบถาวรด้วยสิทธิ์เขียนเมื่อสิทธิ์อ่านเพียงพอ
- แยกบัญชีผู้ดูแลระบบและบัญชีใช้งานประจำวัน ใช้บัญชีมาตรฐานสำหรับงานประจำวันเพื่อให้มัลแวร์สืบทอดสิทธิ์น้อยลง
- แพตช์และอัปเดต อัปเดต Windows เบราว์เซอร์ และเฟิร์มแวร์เราเตอร์ให้เป็นปัจจุบัน และเปิดใช้ซอฟต์แวร์ความปลอดภัยไว้
- ทดสอบการกู้คืน การสำรองข้อมูลที่คุณไม่เคยกู้คืนคือสมมติฐาน ลองกู้ไฟล์สองสามไฟล์ทุกๆ สองสามเดือน
ผู้โจมตีใช้ระบบอัตโนมัติและ AI มากขึ้นเพื่อลดทักษะที่จำเป็นสำหรับการบุกรุก ซึ่งเป็นแนวโน้มที่เราได้ตรวจสอบใน การค้นพบของ Anthropic เกี่ยวกับแฮกเกอร์ที่ใช้ AI โจมตีองค์กรกว่า 20 แห่ง สิ่งนี้ทำให้พื้นฐานที่เชื่อถือได้มีคุณค่ามากขึ้น ไม่ใช่น้อยลง
VPN ทำอะไรได้และทำอะไรไม่ได้ต่อต้าน ransomware
VPN เข้ารหัสการรับส่งข้อมูลระหว่างอุปกรณ์ของคุณและเซิร์ฟเวอร์ VPN และซ่อนที่อยู่ IP ของคุณจากเว็บไซต์ที่คุณเยี่ยมชม สิ่งนี้มีประโยชน์บน Wi-Fi สาธารณะและเพื่อความเป็นส่วนตัว มันไม่ใช่การป้องกัน ransomware VPN ไม่สแกนไฟล์ ไม่หยุดไฟล์แนบที่เป็นอันตรายไม่ให้ทำงาน หรือไม่ป้องกันพีซีที่ติดเชื้อแล้วจากการเข้ารหัสไฟล์ภายในและแชร์เครือข่าย
มีประโยชน์ทางอ้อมที่แคบเพียงหนึ่งเดียว: หากคุณใช้ VPN เพื่อเข้าถึงทรัพยากรที่บ้านหรือที่ทำงานจากระยะไกล มันสามารถหลีกเลี่ยงการเปิดเผยบริการเช่นแชร์ไฟล์โดยตรงสู่อินเทอร์เน็ตได้ แม้ในกรณีนั้น บัญชี VPN ต้องการการรับรองความถูกต้องที่แข็งแกร่ง และอุปกรณ์ที่เชื่อมต่อยังคงต้องสะอาด มอง VPN เป็นชั้นหนึ่งสำหรับความเป็นส่วนตัวและการเข้าถึงระยะไกลที่ปลอดภัย ไม่ใช่สิ่งทดแทนการสำรองข้อมูลและสิทธิ์
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
รายงาน HYFLOCK เป็นเครื่องเตือนใจว่า ransomware ไม่ได้เกี่ยวกับไฟล์บนเดสก์ท็อปของคุณเท่านั้น มันสามารถเข้าถึงที่จัดเก็บที่แชร์และแก้ไขเครื่องมือที่คุณจะใช้กู้คืนได้ หากการสำรองข้อมูลเดียวของคุณเชื่อมต่อกับพีซีตลอดเวลาหรือซิงค์อัตโนมัติ มันอาจแบ่งชะตากรรมเดียวกับไฟล์ของคุณ
สำหรับสำนักงานขนาดเล็ก การเปิดรับมีความใหญ่กว่าเพราะโฟลเดอร์ที่แชร์เก็บงานของทุกคน แล็ปท็อปที่ติดเชื้อหนึ่งเครื่องที่มีการเข้าถึงกว้างขวางสามารถส่งผลกระทบมากเกินขนาดได้ การขโมยข้อมูลก็เป็นความเสี่ยงแยกต่างหากเช่นกัน แม้จะมีการสำรองข้อมูลที่ดี ไฟล์ที่ถูกขโมยก็ยังสามารถรั่วไหลได้ เช่นใน คดีฟ้องร้อง IDScan เกี่ยวกับการละเมิดใบขับขี่ 153 ล้านใบที่ถูกกล่าวหา ซึ่งผลที่ตามมาของข้อมูลที่ถูกเปิดเผยเกิดขึ้นในศาล
ประเด็นสำคัญที่นำไปปฏิบัติได้
- วันนี้ ตรวจสอบว่าการสำรองข้อมูลของคุณอยู่ที่ไหนและพีซีของคุณสามารถเขียนถึงมันได้ตลอดเวลาหรือไม่
- สร้างหรือหมุนเวียนการสำรองข้อมูลออฟไลน์ของไฟล์ที่สำคัญที่สุดของคุณ
- ตรวจสอบว่าแชร์เครือข่ายใดถูกแมปไว้และใครมีสิทธิ์เขียน
- เปลี่ยนการใช้งานประจำวันไปยังบัญชีที่ไม่ใช่ผู้ดูแลระบบและเปิดใช้การรับรองความถูกต้องหลายปัจจัยบนบัญชีคลาวด์และบัญชีสำรองข้อมูล
- ทดสอบการกู้คืนไฟล์จากแต่ละการสำรองข้อมูล
ขั้นตอนการป้องกันransomware HYFLOCK ที่มั่นคงไม่จำเป็นต้องใช้เครื่องมือราคาแพง เพียงแค่การสำรองข้อมูลและกฎการเข้าถึงที่ยังคงทำงานได้เมื่อผู้โจมตีมุ่งเป้าไปที่ตาข่ายความปลอดภัย สำหรับข้อมูลเพิ่มเติมเกี่ยวกับสิ่งที่เกิดขึ้นเมื่อการเรียกร้องค่าไถ่ถูกปฏิเสธ อ่านรายงานของเราเกี่ยวกับ การรั่วไหลข้อมูลเบอร์ลินของ Rhysida จากนั้นตรวจสอบการตั้งค่าของคุณเองในขณะที่มันยังเป็นงานroutine
