HYFLOCK'u takip eden araştırmacılar, sürekli yineleme yapan bir fidye yazılımı operasyonu tanımladı. Raporlamaya göre, operatörleri dosyaları kilitleyen, ağ paylaşımlarına erişen ve kurtarmayı engellemeye çalışan art arda Windows şifreleyicileri geliştirdi. Kaynak makale teknik ayrıntı konusunda kısa olduğundan, bu yazı raporlananlarla sınırlı kalıyor ve evde veya küçük bir ofiste Windows PC kullanan kişiler için pratik HYFLOCK fidye yazılımı koruma adımlarına odaklanıyor.
HYFLOCK'un yeni şifreleyicileri ne yapıyor
Raporlanan davranış üç bölüme ayrılıyor. Birincisi, şifreleyiciler enfekte Windows makinesindeki dosyaları kilitliyor ve belgeleri, fotoğrafları ve diğer verileri anahtar olmadan okunamaz hale getiriyor. İkincisi, yerel diskin ötesine ağ paylaşımlarına ulaşıyorlar; bu da tek bir ele geçirilmiş PC'nin bir NAS'ta, paylaşılan bir ofis klasöründe veya başka bir bilgisayarın paylaşılan sürücüsünde depolanan dosyaları etkileyebileceği anlamına geliyor. Üçüncüsü, kurtarmayı engellemeye çalışıyor ve bir kurbanın dosyalarını geri almak için normalde kullanacağı seçenekleri hedef alıyor.
"Art arda" kelimesi önemli. Bu, operatörlerin tek bir sürüme güvenmek yerine araçlarının geliştirilmiş sürümlerini yayımladığını gösteriyor. Savunucular için bu, bir sürüme ilişkin imza tabanlı varsayımların bir sonraki sürüm için geçerli olmayabileceği ve temel dayanıklılığın herhangi bir örneği kovalamaktan daha önemli olduğu anlamına geliyor.
Kaynak makale, kurbanların başlangıçta nasıl ele geçirildiğini, ne kadar fidye talep edildiğini veya kaç kuruluşun etkilendiğini ayrıntılandırmıyor, bu nedenle bu noktalarda spekülasyon yapmayacağız.
Fidye yazılımı ağ paylaşımlarına nasıl ulaşır ve kurtarmayı nasıl engeller
HYFLOCK'a özgü ayrıntılar olmadan bile genel modeli anlamak faydalıdır. Bir Windows makinesinde çalışan fidye yazılımı tipik olarak onu başlatan hesabın izinlerini devralır. Eğer o hesap paylaşılan bir klasörü açabiliyorsa, kötü amaçlı yazılım genellikle içindekileri şifreleyebilir. Her zaman bağlı ve yazılabilir olan eşlenmiş bir sürücü, fiilen yerel diskin bir uzantısıdır.
Kurtarmanın engellenmesi sorunun diğer yarısıdır. Birçok kişi kolay güvenlik ağlarına güvenir: takılı kalan yerel yedekleme sürücüleri, bulut senkronizasyon klasörleri veya yerleşik geri yükleme özellikleri. Kurtarmaya müdahale etmeye çalışan fidye yazılımı tam olarak bunları hedef alır. Bir senkronizasyon klasörü şifrelenmiş kopyaları sadakatle yükler ve kalıcı olarak bağlı bir yedekleme diski diğer her şeyle birlikte şifrelenebilir.
HYFLOCK raporlamasından çıkan kilit ders şudur: enfekte bilgisayarın erişebildiği ve değiştirebildiği bir yedek tam olarak yedek değildir. Aynı mantık, şifrelemeden ayrı olarak gerçekleşebilen veri hırsızlığı için de geçerlidir. Fidye ödemeyi reddettikten sonra Rhysida'nın 5,79TB Berlin verisini sızdırması haberimiz, kurbanlar ödemeyi reddettiğinde neler yaşanabileceğini gösteriyor.
Saldırıyı körelten yedeklemeler ve erişim kontrolleri
Bu HYFLOCK fidye yazılımı koruma adımları genel iyi uygulamalardır ve raporda tanımlanan davranışları ele alır.
- Bir yedeği bağlantısız tutun. Yalnızca yedekleme çalışırken takılan bir harici sürücüyü döndürün, sonra çıkarın. Çevrimdışı bir kopya enfekte PC'den şifrelenemez.
- Sürümlendirilmiş veya değiştirilemez bulut yedeklemeleri kullanın. Şifrelemeden önceki bir noktaya geri dönebilmeniz için önceki dosya sürümlerini saklayan bir hizmet seçin ve o hesabı güçlü, benzersiz bir parola ve çok faktörlü kimlik doğrulama ile koruyun.
- 3-2-1 kuralını izleyin. Önemli verilerin üç kopyasını, iki tür ortamda, biri saha dışında veya çevrimdışı olacak şekilde tutun.
- Paylaşım izinlerini sınırlayın. Her kullanıcıya ve cihaza yalnızca ihtiyaç duyduğu klasörlere erişim verin. Okuma erişimi yeterliyken ağ sürücülerini kalıcı olarak yazma erişimiyle eşlenmiş bırakmaktan kaçının.
- Yönetici ve günlük hesapları ayırın. Günlük işler için standart bir hesap kullanın, böylece kötü amaçlı yazılım daha az hak devralır.
- Yamalayın ve güncelleyin. Windows, tarayıcılar ve yönlendirici bellenimini güncel tutun ve güvenlik yazılımını etkin tutun.
- Geri yüklemeyi test edin. Hiç geri yüklemediğiniz bir yedek bir varsayımdır. Birkaç ayda bir birkaç dosyayı kurtarmayı deneyin.
Saldırganlar, ihlaller için gereken beceriyi düşürmek amacıyla otomasyon ve yapay zekâyı giderek daha fazla kullanıyor; bu eğilimi Anthropic'in yapay zekâ destekli hackerların 20+ kuruluşa saldırdığına dair bulguları yazımızda inceledik. Bu, güvenilir temelleri daha az değil, daha değerli kılıyor.
VPN fidye yazılımına karşı ne yapar ve ne yapmaz
Bir VPN, cihazınız ile VPN sunucusu arasındaki trafiği şifreler ve IP adresinizi ziyaret ettiğiniz sitelerden gizler. Bu, genel Wi-Fi'de ve gizlilik için faydalıdır. Ancak bu bir fidye yazılımı savunması değildir. VPN dosyaları taramaz, kötü amaçlı bir ekin çalışmasını durdurmaz veya zaten enfekte olmuş bir PC'nin yerel dosyaları ve ağ paylaşımlarını şifrelemesini engellemez.
Dar ve dolaylı bir fayda vardır: ev veya ofis kaynaklarına uzaktan erişmek için VPN kullanıyorsanız, dosya paylaşımları gibi hizmetleri doğrudan internete maruz bırakmaktan kaçınabilir. O zaman bile VPN hesabının güçlü kimlik doğrulamaya ihtiyacı vardır ve bağlanan cihazın yine de temiz olması gerekir. VPN'i gizlilik ve güvenli uzaktan erişim için bir katman olarak görün, yedeklemelerin ve izinlerin yerine geçen bir şey olarak değil.
Bu Sizin İçin Ne Anlama Geliyor
HYFLOCK raporlaması, fidye yazılımının yalnızca masaüstünüzdeki dosyayla ilgili olmadığını hatırlatıyor. Paylaşılan depolamaya ulaşabilir ve kurtarmak için kullanacağınız araçlara müdahale edebilir. Tek yedeğiniz her zaman PC'nize bağlıysa veya otomatik olarak senkronize oluyorsa, dosyalarınızın kaderini paylaşabilir.
Küçük ofisler için risk daha büyüktür çünkü paylaşılan klasörler herkesin işini barındırır. Geniş erişime sahip tek bir enfekte dizüstü bilgisayar, orantısız etki yaratabilir. Veri hırsızlığı da ayrı bir risktir: iyi yedeklemelerle bile çalınan dosyalar hâlâ sızdırılabilir; 153M sürücü belgesinin ihlal edildiği iddiası üzerine IDScan davaları haberimizde, açığa çıkan verilerin sonuçları mahkemede ortaya çıktı.
Uygulanabilir çıkarımlar
- Bugün, yedeklerinizin nerede bulunduğunu ve PC'nizin bunlara her zaman yazıp yazamadığını kontrol edin.
- En önemli dosyalarınızın çevrimdışı bir yedeğini oluşturun veya döndürün.
- Hangi ağ paylaşımlarının eşlendiğini ve kimin yazma erişimi olduğunu gözden geçirin.
- Günlük kullanımı yönetici olmayan bir hesaba geçirin ve bulut ile yedekleme hesaplarında çok faktörlü kimlik doğrulamayı etkinleştirin.
- Her yedekten bir dosyayı geri yüklemeyi test edin.
Sağlam HYFLOCK fidye yazılımı koruma adımları pahalı araçlar gerektirmez; yalnızca saldırgan güvenlik ağını hedef aldığında hâlâ çalışan yedeklemeler ve erişim kuralları gerektirir. Fidye talepleri reddedildiğinde neler olduğuna dair daha fazlası için Rhysida'nın Berlin verisi sızıntısı raporumuzu okuyun, ardından kendi kurulumunuzu hâlâ rutin bir görevken denetleyin.
