追踪HYFLOCK的研究人员描述了一个不断迭代的勒索软件行动。据报道，其运营者构建了 successive 的Windows加密器，能够锁定文件、访问网络共享并试图阻碍恢复。源文章对技术细节着墨不多，因此本文坚持已报道的内容，并聚焦于针对家庭或小型办公室Windows PC用户的实用HYFLOCK勒索软件防护措施。

HYFLOCK的新加密器做了什么

据报道的行为分为三部分。首先，加密器锁定受感染Windows机器上的文件，使文档、照片和其他数据在没有密钥的情况下无法读取。其次，它们超越本地磁盘触及网络共享，这意味着单台受感染的PC就能影响存储在NAS、共享办公文件夹或另一台计算机共享驱动器上的文件。第三，它们试图阻碍恢复，攻击受害者通常用来恢复文件的选项。

“连续”（successive）一词很重要。它表明运营者正在发布其工具的改进版本，而非依赖单一构建。对于防御者而言，这意味着针对某一版本的基于签名的假设可能不适用于下一个版本，基本韧性比追逐任何单一样本更为重要。

源文章未详细说明受害者最初如何被入侵、勒索金额是多少或有多少组织受到影响，因此我们不会对这些点进行推测。

勒索软件如何触及网络共享并阻止恢复

即使没有HYFLOCK的具体细节，一般模式也值得了解。在Windows机器上运行的勒索软件通常会继承启动它的账户的权限。如果该账户能打开共享文件夹，恶意软件通常就能加密其中的内容。一个始终连接且可写的映射驱动器实际上是本地磁盘的延伸。

恢复阻碍是问题的另一半。许多人依赖便利的安全网：始终插着的本地备份驱动器、云同步文件夹或内置还原功能。试图干扰恢复的勒索软件正是针对这些。同步文件夹会忠实地上传加密副本，而永久连接的备份磁盘可能与其他所有内容一起被加密。

这是HYFLOCK报道中的关键教训：受感染计算机能够访问和修改的备份并不完全算备份。同样的逻辑适用于数据窃取，数据窃取可以与加密分开发生。我们对Rhysida在勒索被拒后泄露5.79TB柏林数据的报道展示了当受害者拒绝支付时可能发生的情况。

削弱攻击的备份与访问控制

这些HYFLOCK勒索软件防护步骤是通用的良好实践，它们针对的是报告中描述的行为。

  • 保持一份备份断开连接。 轮换一个仅在备份运行时连接的外部驱动器，然后拔掉它。离线副本无法从受感染的PC被加密。
  • 使用带版本控制或不可变的云备份。 选择保留先前文件版本的服务，以便你可以回滚到加密之前的某个时间点，并用强唯一密码和多因素认证保护该账户。
  • 遵循3-2-1原则。 保留重要数据的三份副本，存储在两种介质上，其中一份存放在异地或离线。
  • 限制共享权限。 只给每个用户和设备访问其所需的文件夹。当只读访问足够时，避免让网络驱动器永久映射为可写访问。
  • 分离管理员账户和日常账户。 日常使用标准账户，以便恶意软件继承更少的权限。
  • 打补丁和更新。 保持Windows、浏览器和路由器固件为最新版本，并保持安全软件启用。
  • 测试恢复。 从未恢复过的备份只是一种假设。每隔几个月尝试恢复几个文件。

攻击者越来越多地使用自动化和AI来降低入侵所需的技能门槛，我们在Anthropic关于AI赋能黑客攻击20多个组织的发现中审视了这一趋势。这使得可靠的基本措施更有价值，而非更少。

VPN对勒索软件能做什么和不能做什么

VPN加密你的设备与VPN服务器之间的流量，并对你访问的网站隐藏你的IP地址。这在公共Wi-Fi和隐私保护方面很有用。它不是勒索软件防御措施。VPN不会扫描文件、阻止恶意附件运行，也无法阻止已感染的PC加密本地文件和网络共享。

有一个狭窄的间接好处：如果你使用VPN远程访问家庭或办公资源，它可以避免将文件共享等服务直接暴露在互联网上。即便如此，VPN账户需要强认证，连接的设备仍然需要是干净的。将VPN视为隐私和安全远程访问的一层，而非备份和权限的替代品。

这对你意味着什么

HYFLOCK的报道提醒我们，勒索软件不仅仅关乎桌面上的文件。它可以触及共享存储并篡改你用来恢复的工具。如果你唯一的备份始终连接到PC或自动同步，它可能与你的文件遭受同样的命运。

对于小型办公室，暴露面更大，因为共享文件夹承载着所有人的工作。一台拥有广泛访问权限的受感染笔记本电脑可能产生超乎比例的影响。数据窃取也是一个独立的风险：即使有良好的备份，被盗文件仍可能被泄露，正如IDScan因涉嫌泄露1.53亿驾照数据而被起诉中，数据暴露的后果在法庭上上演。

可操作要点

  1. 今天，检查你的备份存放在哪里，以及你的PC是否始终能写入它们。
  2. 为你最重要的文件创建或轮换一份离线备份。
  3. 审查哪些网络共享被映射以及谁拥有写访问权限。
  4. 将日常使用切换为非管理员账户，并在云和备份账户上启用多因素认证。
  5. 测试从每个备份恢复一个文件。

可靠的HYFLOCK勒索软件防护步骤不需要昂贵的工具，只需要在攻击者瞄准安全网时仍然有效的备份和访问规则。关于勒索要求被拒绝后会发生什么，请阅读我们关于Rhysida泄露柏林数据的报告，然后趁审计自己的设置还是一项常规任务时进行审计。