Check Point Exposure Management的研究人员在HYFLOCK勒索软件中发现了加密弱点，使他们能够在没有攻击者密钥的情况下恢复加密数据。这一发现有力地提醒人们：勒索软件也是软件，而软件可能存在缺陷。对于任何担心勒索的人来说，无需密钥即可解密HYFLOCK勒索软件是一个值得注意的成果，但它也伴随着重要的注意事项。
源报告较为简短，因此本文仅局限于已确认的内容：研究人员发现了HYFLOCK中的加密弱点，这些弱点使得无需支付赎金或依赖犯罪分子即可恢复数据成为可能。
研究人员如何破解HYFLOCK的加密
勒索软件通常的工作方式是加密受害者的文件，然后要求支付赎金以获取解锁所需的密钥。该方案的安全性完全取决于加密的实现质量。即使某个变种使用了众所周知的算法，在密钥的生成、存储或应用方式上出现错误，也可能留下一扇敞开的门。
根据报告，Check Point Exposure Management的研究人员在HYFLOCK中发现了此类弱点。这些缺陷使他们能够在没有攻击者通常持有的密钥的情况下恢复数据。报告在我们可获取的材料中没有提供进一步的技术细节，因此我们不会推测具体机制、受影响的是哪些版本，或者是否存在公开的解密工具。
这对勒索软件受害者意味着什么
核心教训很简单：支付赎金不是唯一的出路，而且它很少应该成为第一选择。如果某个变种存在可利用的缺陷，受害者可能能够免费恢复文件。研究人员和安全公司有时会发布此类发现，以便他人受益。
如果你遭遇了勒索软件攻击，在与攻击者接触之前，请考虑以下步骤：
- 将受影响的设备与网络隔离，以限制进一步扩散。
- 保留加密文件和任何勒索信。 它们有助于专家识别勒索软件变种。
- 寻找来自信誉良好的安全厂商和研究人员的合法恢复工具，并在下载任何内容之前确认来源可信。
- 如果数据对业务至关重要，请联系合格的应急响应专业人员。
对来自未经验证来源的“解密工具”下载要保持警惕。虚假恢复工具是导致二次感染的众所周知的手段，因此在运行任何东西之前请先验证。
为什么一个变种的缺陷不是安全网
将这项研究解读为勒索软件容易被击败的证据将是一个错误。HYFLOCK的弱点并不意味着其他变种也可以被破解。大多数勒索软件运营者有强烈的动机在被曝光后修复错误，而公开的缺陷可能导致出现不再具有相同弱点的修补版本。
恢复还取决于时机和具体情况。已经被窃取的数据无法被“取消窃取”，即使加密副本可以被恢复。许多勒索软件事件同时涉及加密和数据窃取，因此成功解密并不能消除隐私后果。Greystar管理物业的HandyTrac泄露事件就是一个现实世界的例子，说明勒索软件事件如何暴露远超原始受害者文件的敏感信息。
保护文件和设备的实用步骤
没有人应该指望攻击者犯加密错误。良好的习惯远比这重要：
- 保持离线备份。 至少维护一份与计算机和网络断开的备份，使勒索软件无法加密它。定期测试从中恢复。
- 遵循3-2-1方法。 保留重要数据的三份副本，存储在两种类型的存储介质上，其中一份存放在异地或离线。
- 及时更新软件。 操作系统、浏览器和应用程序应在安全补丁发布后尽快安装。
- 避免可疑的下载和附件。 盗版软件、意外的电子邮件附件和不熟悉的链接是常见的传播途径。
- 使用强密码、唯一密码和多因素认证，使攻击者更难获得立足点。
- 限制账户权限。 日常工作中使用标准账户而非管理员账户。
VPN可以在不可信网络上保护你的流量，但它本身不能阻止勒索软件。备份、更新和谨慎的行为才是这里真正重要的防御措施。
这对你意味着什么
对大多数读者来说，要点在于做好准备和保持耐心。如果勒索软件锁定了你的文件，不要惊慌，也不要立即支付。检查是否存在合法的恢复选项，因为像Check Point这样的研究表明某些变种可以被击败。同时，将任何勒索软件事件视为可能的数据窃取事件：更改密码，留意滥用的迹象，并遵循持有你数据的组织提供的指导。
关键要点
HYFLOCK勒索软件无需密钥即可解密这一发现令人鼓舞，但它是例外而非常规。保持离线备份，避免可疑下载，在检查合法恢复工具之前绝不支付赎金。要了解勒索软件如何影响远超初始受害者的人群，请阅读HandyTrac泄露事件，并思考在类似情况下你自己的备份和安全流程会是怎样的。
