Дослідники, які відстежують HYFLOCK, описали операцію вимагачів, яка постійно вдосконалюється. Згідно з повідомленням, її оператори створили низку послідовних шифрувальників для Windows, які блокують файли, отримують доступ до мережевих ресурсів і намагаються перешкодити відновленню. У вихідній статті мало технічних деталей, тому цей пост обмежується тим, що було повідомлено, і зосереджується на практичних кроках захисту від вимагача HYFLOCK для тих, хто використовує ПК з Windows вдома або в невеликому офісі.

Що роблять нові шифрувальники HYFLOCK

Повідомлена поведінка поділяється на три частини. По-перше, шифрувальники блокують файли на зараженій машині Windows, роблячи документи, фотографії та інші дані нечитабельними без ключа. По-друге, вони виходять за межі локального диска до мережевих ресурсів, що означає, що один скомпрометований ПК може вплинути на файли, що зберігаються на NAS, у спільній офісній папці або на спільному диску іншого комп'ютера. По-третє, вони намагаються перешкодити відновленню, атакуючи саме ті опції, які жертва зазвичай використовувала б для повернення файлів.

Слово «послідовні» має значення. Воно вказує на те, що оператори випускають удосконалені версії своїх інструментів, а не покладаються на одну збірку. Для захисників це означає, що припущення на основі сигнатур щодо однієї версії можуть не спрацювати для наступної, і базова стійкість важливіша за гонитву за будь-яким окремим зразком.

У вихідній статті не деталізується, як жертви зазнають початкової компрометації, який розмір викупу вимагається або скільки організацій постраждало, тому ми не будемо робити припущень щодо цих моментів.

Як вимагачі досягають мережевих ресурсів і блокують відновлення

Загальну схему варто розуміти навіть без специфічних деталей HYFLOCK. Вимагач, що працює на машині Windows, зазвичай успадковує дозволи облікового запису, який його запустив. Якщо цей обліковий запис може відкрити спільну папку, зловмисне програмне забезпечення часто може зашифрувати те, що знаходиться всередині неї. Підключений мережевий диск, який постійно доступний і доступний для запису, фактично є продовженням локального диска.

Перешкоджання відновленню — це інша половина проблеми. Багато людей покладаються на зручні засоби безпеки: локальні диски резервних копій, які залишаються підключеними, папки синхронізації з хмарою або вбудовані функції відновлення. Вимагач, який намагається перешкодити відновленню, націлений саме на них. Папка синхронізації буде сумлінно завантажувати зашифровані копії, а постійно підключений диск резервних копій може бути зашифрований разом з усім іншим.

Це ключовий урок з повідомлення про HYFLOCK: резервна копія, до якої заражений комп'ютер може дістатися і яку може змінити, не є повноцінною резервною копією. Та сама логіка стосується крадіжки даних, яка може відбуватися окремо від шифрування. Наше висвітлення витоку Rhysida 5,79 ТБ берлінських даних після відмови від викупу показує, що може статися, коли жертви відмовляються платити.

Резервні копії та контроль доступу, які послаблюють атаку

Ці кроки захисту від вимагача HYFLOCK є загальною хорошою практикою, і вони враховують поведінку, описану в повідомленні.

  • Тримайте одну резервну копію від'єднаною. Ротуйте зовнішній диск, який підключається лише під час виконання резервного копіювання, а потім від'єднуйте його. Офлайн-копія не може бути зашифрована із зараженого ПК.
  • Використовуйте версійні або незмінні хмарні резервні копії. Виберіть сервіс, який зберігає попередні версії файлів, щоб ви могли відкотитися до точки перед шифруванням, і захистіть цей обліковий запис надійним унікальним паролем і багатофакторною автентифікацією.
  • Дотримуйтесь 3-2-1. Зберігайте три копії важливих даних на двох типах носіїв, одна з яких зберігається поза офісом або офлайн.
  • Обмежте дозволи на спільні ресурси. Надавайте кожному користувачу та пристрою доступ лише до потрібних йому папок. Уникайте постійно підключених мережевих дисків із правом запису, коли достатньо права читання.
  • Розділяйте адміністративний і повсякденний облікові записи. Використовуйте стандартний обліковий запис для повсякденної роботи, щоб зловмисне програмне забезпечення успадковувало менше прав.
  • Встановлюйте патчі та оновлення. Підтримуйте Windows, браузери та прошивку маршрутизатора в актуальному стані, а також тримайте захисне програмне забезпечення ввімкненим.
  • Перевіряйте відновлення. Резервна копія, яку ви ніколи не відновлювали, — це припущення. Намагайтеся відновлювати кілька файлів кожні кілька місяців.

Зловмисники дедалі частіше використовують автоматизацію та ШІ, щоб знизити кваліфікацію, необхідну для вторгнень, — тенденцію, яку ми розглядали в висновках Anthropic про хакерів з підтримкою ШІ, які атакували понад 20 організацій. Це робить надійні базові заходи ціннішими, а не менш важливими.

Що VPN робить і чого не робить проти вимагачів

VPN шифрує трафік між вашим пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Це корисно в публічних мережах Wi-Fi і для конфіденційності. Це не захист від вимагачів. VPN не сканує файли, не зупиняє виконання шкідливого вкладення і не перешкоджає вже зараженому ПК шифрувати локальні файли та мережеві ресурси.

Є одна вузька, непряма перевага: якщо ви використовуєте VPN для віддаленого доступу до домашніх або офісних ресурсів, це може допомогти уникнути прямого виставляння таких служб, як спільні файли, в інтернет. Навіть тоді обліковий запис VPN потребує надійної автентифікації, а підключений пристрій все одно має бути чистим. Розглядайте VPN як один рівень для конфіденційності та безпечного віддаленого доступу, а не як заміну резервним копіям і дозволам.

Що це означає для вас

Повідомлення про HYFLOCK — це нагадування, що вимагачі стосуються не лише файлу на вашому робочому столі. Вони можуть досягати спільного сховища та втручатися в інструменти, які ви використовували б для відновлення. Якщо ваша єдина резервна копія завжди підключена до ПК або синхронізується автоматично, вона може розділити долю ваших файлів.

Для невеликих офісів ризик більший, оскільки спільні папки містять роботу всіх. Один заражений ноутбук із широким доступом може мати непропорційно великий вплив. Крадіжка даних — це також окремий ризик: навіть із хорошими резервними копіями викрадені файли все ще можуть бути злиті, як у позовах IDScan щодо ймовірного витоку 153 млн водійських посвідчень, де наслідки розкриття даних розігрувалися в суді.

Практичні висновки

  1. Сьогодні перевірте, де зберігаються ваші резервні копії і чи ваш ПК може записувати до них увесь час.
  2. Створіть або ротуйте офлайн-резервну копію ваших найважливіших файлів.
  3. Перегляньте, які мережеві ресурси підключені і хто має право запису.
  4. Перейдіть у повсякденному використанні на обліковий запис без прав адміністратора та ввімкніть багатофакторну автентифікацію для хмарних облікових записів і облікових записів резервних копій.
  5. Перевірте відновлення файлу з кожної резервної копії.

Надійні кроки захисту від вимагача HYFLOCK не вимагають дорогих інструментів — лише резервних копій і правил доступу, які все ще працюють, коли зловмисник атакує засіб безпеки. Щоб дізнатися більше про те, що відбувається, коли вимоги викупу відхиляються, прочитайте наш звіт про витік берлінських даних Rhysida, а потім перевірте власну конфігурацію, поки це ще рутинне завдання.