Các nhà nghiên cứu theo dõi HYFLOCK đã mô tả một chiến dịch ransomware liên tục lặp lại. Theo báo cáo, những kẻ vận hành đã xây dựng các bộ mã hóa Windows kế tiếp nhau để khóa tệp, truy cập các chia sẻ mạng và cố gắng cản trở việc phục hồi. Bài viết nguồn khá ngắn gọn về chi tiết kỹ thuật, vì vậy bài đăng này chỉ tập trung vào những gì đã được báo cáo và nhấn mạnh vào các bước bảo vệ thực tế chống lại ransomware HYFLOCK cho những người sử dụng PC Windows tại nhà hoặc trong văn phòng nhỏ.

Các bộ mã hóa mới của HYFLOCK làm gì

Hành vi được báo cáo chia thành ba phần. Thứ nhất, các bộ mã hóa khóa tệp trên máy Windows bị nhiễm, khiến tài liệu, ảnh và dữ liệu khác không thể đọc được nếu không có khóa. Thứ hai, chúng vượt ra ngoài ổ đĩa cục bộ để đến các chia sẻ mạng, nghĩa là một PC bị xâm phạm có thể ảnh hưởng đến các tệp được lưu trên NAS, thư mục văn phòng dùng chung hoặc ổ đĩa chia sẻ của máy tính khác. Thứ ba, chúng cố gắng cản trở việc phục hồi, nhắm vào các tùy chọn mà nạn nhân thường sử dụng để lấy lại tệp.

Từ "kế tiếp" rất quan trọng. Nó cho thấy những kẻ vận hành đang phát hành các phiên bản cải tiến của công cụ thay vì dựa vào một bản dựng duy nhất. Đối với những người phòng thủ, điều đó có nghĩa là các giả định dựa trên chữ ký về một phiên bản có thể không đúng với phiên bản tiếp theo, và khả năng phục hồi cơ bản quan trọng hơn việc theo đuổi bất kỳ mẫu cụ thể nào.

Bài viết nguồn không nêu chi tiết cách nạn nhân bị xâm phạm ban đầu, số tiền chuộc được yêu cầu là bao nhiêu, hoặc có bao nhiêu tổ chức bị ảnh hưởng, vì vậy chúng tôi sẽ không suy đoán về những điểm đó.

Cách ransomware tiếp cận các chia sẻ mạng và chặn phục hồi

Mô hình chung đáng để hiểu ngay cả khi không có chi tiết cụ thể về HYFLOCK. Ransomware chạy trên máy Windows thường kế thừa các quyền của tài khoản đã khởi chạy nó. Nếu tài khoản đó có thể mở một thư mục chia sẻ, phần mềm độc hại thường có thể mã hóa những gì bên trong. Một ổ đĩa được ánh xạ luôn được kết nối và có thể ghi thực chất là một phần mở rộng của ổ đĩa cục bộ.

Cản trở phục hồi là nửa còn lại của vấn đề. Nhiều người dựa vào các lưới an toàn tiện lợi: ổ đĩa sao lưu cục bộ luôn được cắm vào, thư mục đồng bộ đám mây hoặc các tính năng khôi phục tích hợp. Ransomware cố gắng can thiệp vào việc phục hồi nhắm chính xác vào những thứ này. Một thư mục đồng bộ sẽ trung thành tải lên các bản sao đã mã hóa, và một ổ đĩa sao lưu được gắn vĩnh viễn có thể bị mã hóa cùng với mọi thứ khác.

Đây là bài học chính từ báo cáo HYFLOCK: một bản sao lưu mà máy tính bị nhiễm có thể tiếp cận và sửa đổi không hoàn toàn là bản sao lưu. Logic tương tự áp dụng cho việc đánh cắp dữ liệu, có thể xảy ra riêng biệt với việc mã hóa. Phạm vi đưa tin của chúng tôi về Rhysida rò rỉ 5,79TB dữ liệu Berlin sau khi từ chối trả tiền chuộc cho thấy điều gì có thể xảy ra khi nạn nhân từ chối trả tiền.

Sao lưu và kiểm soát truy cập giúp giảm nhẹ cuộc tấn công

Các bước bảo vệ chống ransomware HYFLOCK này là thực hành tốt chung và chúng giải quyết các hành vi được mô tả trong báo cáo.

  • Giữ một bản sao lưu bị ngắt kết nối. Luân phiên một ổ đĩa ngoài chỉ được gắn trong khi sao lưu chạy, sau đó rút ra. Một bản sao ngoại tuyến không thể bị mã hóa từ PC bị nhiễm.
  • Sử dụng bản sao lưu đám mây có phiên bản hoặc bất biến. Chọn một dịch vụ giữ các phiên bản tệp trước đó để bạn có thể quay lại thời điểm trước khi mã hóa, và bảo vệ tài khoản đó bằng mật khẩu mạnh, duy nhất và xác thực đa yếu tố.
  • Tuân theo 3-2-1. Giữ ba bản sao dữ liệu quan trọng, trên hai loại phương tiện, với một bản được lưu trữ ngoài trang web hoặc ngoại tuyến.
  • Hạn chế quyền chia sẻ. Chỉ cấp cho mỗi người dùng và thiết bị quyền truy cập vào các thư mục cần thiết. Tránh để ổ đĩa mạng được ánh xạ vĩnh viễn với quyền ghi khi quyền đọc là đủ.
  • Tách tài khoản quản trị và tài khoản hàng ngày. Sử dụng tài khoản tiêu chuẩn cho công việc hàng ngày để phần mềm độc hại kế thừa ít quyền hơn.
  • Vá và cập nhật. Giữ Windows, trình duyệt và firmware router luôn cập nhật, và giữ phần mềm bảo mật được bật.
  • Kiểm tra khôi phục. Một bản sao lưu bạn chưa bao giờ khôi phục là một giả định. Hãy thử khôi phục một vài tệp vài tháng một lần.

Kẻ tấn công ngày càng sử dụng tự động hóa và AI để giảm kỹ năng cần thiết cho các vụ xâm nhập, một xu hướng chúng tôi đã xem xét trong Phát hiện của Anthropic về tin tặc sử dụng AI tấn công hơn 20 tổ chức. Điều đó làm cho các yếu tố cơ bản đáng tin cậy trở nên có giá trị hơn, không phải ít hơn.

VPN làm gì và không làm gì chống lại ransomware

VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN và ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và cho quyền riêng tư. Nó không phải là biện pháp phòng thủ chống ransomware. VPN không quét tệp, không ngăn tệp đính kèm độc hại chạy, hoặc không ngăn PC đã bị nhiễm mã hóa tệp cục bộ và chia sẻ mạng.

Có một lợi ích hẹp, gián tiếp: nếu bạn sử dụng VPN để truy cập tài nguyên tại nhà hoặc văn phòng từ xa, nó có thể tránh việc phơi bày các dịch vụ như chia sẻ tệp trực tiếp ra internet. Ngay cả khi đó, tài khoản VPN cần xác thực mạnh, và thiết bị được kết nối vẫn cần phải sạch. Hãy coi VPN là một lớp cho quyền riêng tư và truy cập từ xa an toàn, không phải là sự thay thế cho sao lưu và quyền.

Điều này có ý nghĩa gì với bạn

Báo cáo HYFLOCK là lời nhắc nhở rằng ransomware không chỉ là về tệp trên màn hình của bạn. Nó có thể tiếp cận bộ nhớ chia sẻ và can thiệp vào các công cụ bạn sẽ sử dụng để phục hồi. Nếu bản sao lưu duy nhất của bạn luôn được kết nối với PC của bạn, hoặc đồng bộ tự động, nó có thể chia sẻ số phận với các tệp của bạn.

Đối với các văn phòng nhỏ, mức độ phơi bày lớn hơn vì các thư mục chia sẻ chứa công việc của mọi người. Một máy tính xách tay bị nhiễm với quyền truy cập rộng có thể có tác động lớn hơn. Đánh cắp dữ liệu cũng là một rủi ro riêng biệt: ngay cả với bản sao lưu tốt, các tệp bị đánh cắp vẫn có thể bị rò rỉ, như trong vụ kiện IDScan về cáo buộc vi phạm 153 triệu giấy phép lái xe, nơi hậu quả của dữ liệu bị phơi bày diễn ra tại tòa án.

Các bài học hành động

  1. Hôm nay, hãy kiểm tra xem bản sao lưu của bạn ở đâu và liệu PC của bạn có thể ghi vào chúng mọi lúc không.
  2. Tạo hoặc luân phiên một bản sao lưu ngoại tuyến cho các tệp quan trọng nhất của bạn.
  3. Xem xét những chia sẻ mạng nào được ánh xạ và ai có quyền ghi.
  4. Chuyển sang sử dụng hàng ngày bằng tài khoản không phải quản trị viên và bật xác thực đa yếu tố trên tài khoản đám mây và sao lưu.
  5. Kiểm tra khôi phục một tệp từ mỗi bản sao lưu.

Các bước bảo vệ chống ransomware HYFLOCK vững chắc không đòi hỏi công cụ đắt tiền, chỉ cần sao lưu và quy tắc truy cập vẫn hoạt động khi kẻ tấn công nhắm vào lưới an toàn. Để biết thêm về những gì xảy ra khi yêu cầu tiền chuộc bị từ chối, hãy đọc báo cáo của chúng tôi về Rhysida rò rỉ dữ liệu Berlin, sau đó kiểm tra lại thiết lập của chính bạn khi đó vẫn còn là một nhiệm vụ thường ngày.