Các nhà nghiên cứu của Check Point Exposure Management đã phát hiện ra những điểm yếu trong mã hóa của ransomware HYFLOCK, cho phép họ khôi phục dữ liệu đã mã hóa mà không cần khóa của kẻ tấn công. Phát hiện này là một lời nhắc nhở hữu ích rằng ransomware là phần mềm, và phần mềm có thể có lỗi. Đối với bất kỳ ai lo lắng về tống tiền, việc giải mã ransomware HYFLOCK mà không cần khóa là một kết quả đáng chú ý, mặc dù đi kèm với những lưu ý quan trọng.
Báo cáo nguồn khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì đã được xác nhận: các nhà nghiên cứu đã xác định được những điểm yếu mật mã trong HYFLOCK, và những điểm yếu đó đã giúp việc khôi phục trở nên khả thi mà không cần trả tiền hoặc phụ thuộc vào bọn tội phạm.
Cách Các Nhà Nghiên Cứu Phá Vỡ Mã Hóa Của HYFLOCK
Ransomware thường hoạt động bằng cách mã hóa các tệp của nạn nhân và sau đó yêu cầu thanh toán để lấy khóa cần thiết nhằm mở khóa chúng. Độ mạnh của kế hoạch đó phụ thuộc hoàn toàn vào việc mã hóa được triển khai tốt đến mức nào. Ngay cả khi một chủng sử dụng các thuật toán nổi tiếng, những sai sót trong cách tạo, lưu trữ hoặc áp dụng khóa có thể để lại một cánh cửa mở.
Theo báo cáo, các nhà nghiên cứu của Check Point Exposure Management đã tìm thấy những điểm yếu loại này trong HYFLOCK. Những lỗ hổng đó cho phép họ khôi phục dữ liệu mà không cần khóa mà kẻ tấn công thường nắm giữ. Báo cáo không cung cấp thêm chi tiết kỹ thuật trong tài liệu mà chúng tôi có, vì vậy chúng tôi sẽ không suy đoán về cơ chế cụ thể, những phiên bản nào bị ảnh hưởng, hoặc liệu có công cụ giải mã công khai hay không.
Điều Này Có Ý Nghĩa Gì Đối Với Nạn Nhân Ransomware
Bài học cốt lõi rất đơn giản: trả tiền không phải là con đường duy nhất, và hiếm khi nên là con đường đầu tiên. Nếu một chủng có lỗ hổng có thể khai thác, nạn nhân có thể khôi phục tệp mà không tốn chi phí. Các nhà nghiên cứu và công ty bảo mật đôi khi công bố những phát hiện như vậy để người khác có thể hưởng lợi.
Nếu bạn từng bị tấn công bởi ransomware, hãy cân nhắc các bước sau trước khi tương tác với kẻ tấn công:
- Cô lập thiết bị bị ảnh hưởng khỏi mạng để hạn chế lây lan thêm.
- Bảo toàn các tệp đã mã hóa và bất kỳ ghi chú đòi tiền chuộc nào. Chúng giúp các chuyên gia xác định chủng ransomware.
- Tìm kiếm các công cụ khôi phục hợp pháp từ các nhà cung cấp bảo mật và nhà nghiên cứu có uy tín, và xác nhận rằng nguồn đáng tin cậy trước khi tải xuống bất cứ thứ gì.
- Liên hệ với chuyên gia ứng phó sự cố có trình độ nếu dữ liệu là quan trọng đối với doanh nghiệp.
Hãy thận trọng với các bản tải xuống "công cụ giải mã" từ các nguồn chưa được xác minh. Các công cụ khôi phục giả mạo là một cách nổi tiếng để gây ra lây nhiễm thứ hai, vì vậy hãy xác minh trước khi chạy bất cứ thứ gì.
Tại Sao Một Lỗ Hổng Trong Một Chủng Không Phải Là Lưới An Toàn
Sẽ là một sai lầm nếu đọc nghiên cứu này như bằng chứng rằng ransomware dễ bị đánh bại. Một điểm yếu trong HYFLOCK không có nghĩa là các chủng khác có thể bị phá vỡ. Hầu hết các nhà điều hành ransomware có động lực mạnh mẽ để sửa chữa sai sót khi chúng bị phơi bày, và một lỗ hổng được công bố có thể dẫn đến một phiên bản đã vá không còn điểm yếu đó nữa.
Việc khôi phục cũng phụ thuộc vào thời điểm và hoàn cảnh. Dữ liệu đã bị đánh cắp không thể được hoàn tác, ngay cả khi các bản sao đã mã hóa có thể được khôi phục. Nhiều sự cố ransomware liên quan đến cả mã hóa và đánh cắp dữ liệu, vì vậy việc giải mã thành công không xóa bỏ hậu quả về quyền riêng tư. Vụ vi phạm HandyTrac tại một bất động sản do Greystar quản lý là một ví dụ thực tế về cách một sự cố ransomware có thể làm lộ thông tin nhạy cảm vượt xa các tệp của nạn nhân ban đầu.
Các Bước Thực Tế Để Bảo Vệ Tệp Và Thiết Bị Của Bạn
Không ai nên trông chờ vào việc kẻ tấn công mắc lỗi mật mã. Những thói quen tốt quan trọng hơn nhiều:
- Duy trì sao lưu ngoại tuyến. Giữ ít nhất một bản sao lưu được ngắt kết nối khỏi máy tính và mạng của bạn, để ransomware không thể mã hóa nó. Kiểm tra khôi phục từ đó định kỳ.
- Tuân theo phương pháp 3-2-1. Giữ ba bản sao dữ liệu quan trọng, trên hai loại lưu trữ, với một bản sao ở ngoài trang hoặc ngoại tuyến.
- Cập nhật phần mềm kịp thời. Hệ điều hành, trình duyệt và ứng dụng nên nhận các bản vá bảo mật ngay khi có sẵn.
- Tránh tải xuống và tệp đính kèm đáng ngờ. Phần mềm vi phạm bản quyền, tệp đính kèm email bất ngờ và liên kết lạ là những con đường phân phối phổ biến.
- Sử dụng mật khẩu mạnh, duy nhất và xác thực đa yếu tố để khiến kẻ tấn công khó có được chỗ đứng hơn.
- Hạn chế quyền hạn tài khoản. Sử dụng tài khoản tiêu chuẩn cho công việc hàng ngày thay vì tài khoản quản trị viên.
VPN có thể bảo vệ lưu lượng truy cập của bạn trên các mạng không tin cậy, nhưng nó không tự nó ngăn chặn ransomware. Sao lưu, cập nhật và hành vi thận trọng là những biện pháp phòng thủ quan trọng ở đây.
Điều Này Có Ý Nghĩa Gì Đối Với Bạn
Đối với hầu hết độc giả, bài học là về sự chuẩn bị và kiên nhẫn. Nếu ransomware từng khóa tệp của bạn, đừng hoảng sợ và đừng trả tiền ngay lập tức. Kiểm tra xem có tùy chọn khôi phục hợp pháp nào tồn tại, vì nghiên cứu như của Check Point cho thấy một số chủng có thể bị đánh bại. Đồng thời, hãy coi bất kỳ sự cố ransomware nào như một sự cố đánh cắp dữ liệu tiềm ẩn: thay đổi mật khẩu, chú ý các dấu hiệu lạm dụng và làm theo hướng dẫn từ tổ chức nắm giữ dữ liệu của bạn.
Những Điểm Chính
Phát hiện rằng việc giải mã ransomware HYFLOCK mà không cần khóa là có thể là điều đáng khích lệ, nhưng đó là ngoại lệ chứ không phải quy tắc. Hãy duy trì sao lưu ngoại tuyến, tránh tải xuống đáng ngờ và không bao giờ trả tiền chuộc trước khi kiểm tra các công cụ khôi phục hợp pháp. Để thấy cách ransomware có thể ảnh hưởng đến mọi người vượt xa nạn nhân ban đầu, hãy đọc về vụ vi phạm HandyTrac và xem xét quy trình sao lưu và bảo mật của chính bạn sẽ như thế nào trong một tình huống tương tự.
