عملات باج‌افزار HYFLOCK نسخه‌های متعددی از رمزنگارهای ویندوزی را توسعه داده‌اند که هدف آن‌ها قفل کردن فایل‌ها، دسترسی به اشتراک‌های شبکه (Network Shares) و مختل کردن فرآیندهای بازیابی است. با این حال، وجود نقص‌های پیاده‌سازی در این بدافزار، نتایج بسیار متفاوتی را برای قربانیان رقم می‌زند.
تحول از فعالیت‌های زیرزمینی به مدل RaaS
باج‌افزار HYFLOCK اولین بار در مارس ۲۰۲۶ در انجمن‌های زیرزمینی ظاهر شد و خود را به عنوان یک پلتفرم باج‌افزار به عنوان سرویس (Ransomware-as-a-Service یا RaaS) معرفی کرد. این گروه با ارائه خدماتی نظیر عملکرد سریع رمزنگاری، تأمین دسترسی اولیه (Access Procurement) و ابزارهای مذاکره، به دنبال جذب همکار (Affiliate) بود. تا اکتبر، این گروه با معرفی نسخه ۲.۰، ساختار سازمان‌یافته‌تری را به نمایش گذاشت و مدعی شد که صنایع مختلفی از جمله تولید، خدمات تجاری، دولتی و مخابرات را هدف قرار داده است.
تحلیل فنی و ساختار بدافزار
بررسی نمونه‌های اولیه نشان می‌دهد که هسته اصلی این باج‌افزار با زبان Rust نوشته شده است. تحلیل‌های فنی ویژگی‌های زیر را تایید کرده‌اند:
- رمزنگاری فایل‌ها: قابلیت رمزنگاری فایل‌ها و هدف قرار دادن اشتراک‌های شبکه.
- تثبیت در سیستم: استفاده از وظایف زمان‌بندی شده (Scheduled Tasks) برای اجرای خودکار.
- تکنیک‌های حمله: استفاده از حامل‌های مبتنی بر زبان Go برای استخراج و اجرای Payloadهای بازنگری شده.
نقص‌های بحرانی در فرآیند رمزنگاری
یکی از نکات بسیار مهم برای تیم‌های پاسخ به حوادث (Incident Response)، وجود نقص‌های فنی در نسخه‌های مختلف HYFLOCK است که می‌تواند مدیریت بحران را پیچیده کند:
برخی از نسخه‌های شناسایی شده دارای نقص پردازشی هستند که باعث حذف دائمی محتوای فایل‌ها می‌شود؛ در این حالت، حتی با داشتن کلید رمزگشایی (Decryption Key) نیز بازیابی کامل داده‌ها غیرممکن خواهد بود. از سوی دیگر، در نسخه ۱۷ اکتبر، مشاهده شد که در فایل‌های حجیم، تنها ۴۰۹۶ بایت اول رمزنگاری می‌شود و باقی محتوا به صورت متن ساده (Plaintext) باقی می‌ماند. اگرچه این نقص امکان بازیابی بخشی از داده‌ها (مانند اجزای داخلی اسناد Office) را فراهم می‌کند، اما به معنای بازیابی کامل یا وجود یک رمزگشای عمومی نیست.
توصیه‌های دفاعی برای مدیران امنیت
برای مقابله با تهدیدات ناشی از HYFLOCK، اولویت‌های عملیاتی زیر توصیه می‌شود:
- مانیتورینگ دقیق: نظارت مستمر بر ایجاد Scheduled Taskهای مشکوک.
- کنترل دسترسی شبکه: بررسی دقیق دسترسی‌ها به Network Shares و اعمال محدودیت‌های لازم.
- بخش‌بندی شبکه (Segmentation): جلوگیری از انتشار گسترده در دامنه (Domain-wide propagation).
- حفاظت از بازیابی: تقویت مکانیزم‌های محافظت از نسخه‌های پشتیبان و فرآیندهای بازیابی سیستم.
