Дослідники з Check Point Exposure Management виявили слабкі місця в шифруванні програм-вимагачів HYFLOCK, які дозволили їм відновити зашифровані дані без ключа зловмисників. Це відкриття є корисливим нагадуванням про те, що програми-вимагачі — це програмне забезпечення, а програмне забезпечення може мати вади. Для тих, хто стурбований вимаганням, розшифрування програм-вимагачів HYFLOCK без ключа є помітним результатом, хоча він супроводжується важливими застереженнями.
Джерело звіту є коротким, тому ця стаття обмежується тим, що було підтверджено: дослідники виявили криптографічні слабкості в HYFLOCK, і ці слабкості дозволили відновлення без сплати або покладання на злочинців.
Як дослідники зламали шифрування HYFLOCK
Програми-вимагачі зазвичай працюють шляхом шифрування файлів жертви, а потім вимагають оплату за ключ, необхідний для їх розблокування. Надійність цієї схеми повністю залежить від того, наскільки добре реалізовано шифрування. Навіть коли штам використовує добре відомі алгоритми, помилки в тому, як генеруються, зберігаються або застосовуються ключі, можуть залишити відчинені двері.
Згідно зі звітом, дослідники з Check Point Exposure Management виявили слабкості такого типу в HYFLOCK. Ці вади дозволили їм відновити дані без ключа, який зазвичай мали б зловмисники. У звіті не наведено подальших технічних деталей у доступних нам матеріалах, тому ми не будемо будувати припущень щодо конкретного механізму, які версії постраждали або чи існує публічний інструмент для розшифрування.
Що це означає для жертв програм-вимагачів
Основне урок простий: сплата — не єдиний шлях, і вона рідко повинна бути першим кроком. Якщо штам має експлуатовану ваду, жертви можуть відновити файли безкоштовно. Дослідники та компанії з безпеки іноді публікують такі висновки, щоб інші могли скористатися ними.
Якщо вас колись вразить програма-вимагач, розгляньте ці кроки перед тим, як взаємодіяти зі зловмисниками:
- Ізолюйте уражений пристрій від мережі, щоб обмежити подальше поширення.
- Збережіть зашифровані файли та будь-яку записку про викуп. Вони допоможуть експертам ідентифікувати штам.
- Шукайте легітимні інструменти відновлення від надійних постачальників безпеки та дослідників і переконайтеся, що джерело є trustworthy, перш ніж щось завантажувати.
- Зверніться до кваліфікованого фахівця з реагування на інциденти, якщо дані є критично важливими для бізнесу.
Будьте обережні з завантаженнями «дешифраторів» з неперевірених джерел. Фальшиві інструменти відновлення є добре відомим способом спричинити повторне зараження, тому перевіряйте, перш ніж щось запускати.
Чому вада в одному штамі не є страхувальною сіткою
Було б помилкою сприймати це дослідження як доказ того, що програми-вимагачі легко перемогти. Слабкість у HYFLOCK не означає, що інші штами можна зламати. Більшість операторів програм-вимагачів мають сильні стимули виправляти помилки, щойно вони викриті, і опублікована вада може призвести до випуску виправленої версії, яка вже не має тієї самої слабкості.
Відновлення також залежить від часу та обставин. Дані, які вже були викрадені, не можна «розвикрасти», навіть якщо зашифровані копії можна відновити. Багато інцидентів із програмами-вимагачами включають як шифрування, так і крадіжку даних, тому успішне розшифрування не усуває наслідків для конфіденційності. Порушення HandyTrac у власності, керованій Greystar є реальним прикладом того, як інцидент із програмою-вимагачем може розкрити конфіденційну інформацію далеко за межами файлів початкової жертви.
Практичні кроки для захисту файлів і пристроїв
Ніхто не повинен розраховувати на те, що зловмисники робитимуть криптографічні помилки. Сильні звички мають набагато більше значення:
- Зберігайте офлайн-резервні копії. Підтримуйте принаймні одну резервну копію, відключену від комп'ютера та мережі, щоб програма-вимагач не могла її зашифрувати. Періодично перевіряйте відновлення з неї.
- Дотримуйтеся підходу 3-2-1. Зберігайте три копії важливих даних на двох типах носіїв, одна копія — поза майданчиком або офлайн.
- Своєчасно оновлюйте програмне забезпечення. Операційні системи, браузери та програми повинні отримувати виправлення безпеки щойно вони стають доступними.
- Уникайте підозрілих завантажень і вкладень. Піратське програмне забезпечення, неочікувані вкладення електронної пошти та незнайомі посилання є поширеними шляхами доставки.
- Використовуйте надійні унікальні паролі та багатофакторну автентифікацію, щоб ускладнити зловмисникам закріплення.
- Обмежуйте привілеї облікових записів. Використовуйте стандартний обліковий запис для щоденної роботи, а не адміністративний.
VPN може захистити ваш трафік у ненадійних мережах, але сам по собі не зупиняє програми-вимагачі. Резервні копії, оновлення та обережна поведінка — це засоби захисту, які тут мають значення.
Що це означає для вас
Для більшості читачів висновок стосується підготовки та терпіння. Якщо програма-вимагач колись заблокує ваші файли, не панікуйте і не платіть одразу. Перевірте, чи існує легітимний варіант відновлення, оскільки дослідження, як-от Check Point, показують, що деякі штами можна перемогти. Водночас ставтеся до будь-якого інциденту з програмою-вимагачем як до можливої крадіжки даних: змінюйте паролі, стежте за ознаками зловживання та дотримуйтесь порад організації, яка зберігає ваші дані.
Ключові висновки
Висновок про те, що розшифрування програм-вимагачів HYFLOCK без ключа можливе, є обнадійливим, але це виняток, а не правило. Зберігайте офлайн-резервні копії, уникайте підозрілих завантажень і ніколи не платіть викуп, перш ніж перевірити наявність легітимних інструментів відновлення. Щоб побачити, як програми-вимагачі можуть впливати на людей далеко за межами початкової жертви, прочитайте про порушення HandyTrac і подумайте, як виглядали б ваші власні процедури резервного копіювання та безпеки в подібній ситуації.
