Come rimuovere il ransomware HYFLOCK

Che tipo di malware è HYFLOCK?

HYFLOCK è un ransomware che abbiamo scoperto durante l'esame di campioni di malware inviati alla piattaforma VirusTotal. Come altri ransomware, crittografa i file sul computer della vittima, rendendoli inaccessibili, e richiede un pagamento in cambio della decrittazione.

Sulla nostra macchina di prova, HYFLOCK ha aggiunto l'estensione «.locked» a ogni file crittografato. Un file originariamente denominato «1.jpg» è diventato «1.jpg.locked», «2.png» è diventato «2.png.locked» e così via. Dopo aver completato la crittografia, ha rilasciato una richiesta di riscatto in un file HTML denominato «How to Restore My Files.html».

Screenshot dei file crittografati dal ransomware HYFLOCK:

Panoramica della richiesta di riscatto di HYFLOCK

La richiesta di riscatto è un file HTML denominato «How to Restore My Files.html». Informa le vittime che i loro file sono stati bloccati utilizzando la crittografia HC-128 e che solo gli aggressori possiedono la chiave di decrittazione necessaria per ripristinare l'accesso.

Per contattare gli aggressori, alle vittime viene detto di installare il client di messaggistica qTox insieme a Tor Browser, aggiungere l'ID di contatto Tox degli aggressori e inviare un messaggio contenente il proprio ID vittima univoco. La nota fornisce istruzioni di installazione dettagliate per Windows, Linux e macOS.

La nota avverte inoltre le vittime di non tentare la decrittazione autonoma, di non modificare o eliminare i file crittografati, di non utilizzare strumenti di recupero di terze parti e di non riavviare il sistema. Si sollecita fortemente il contatto entro 48 ore, con l'implicazione che eventuali ritardi comportino il rischio di perdita permanente dei dati.

Panoramica del ransomware HYFLOCK

Nella maggior parte degli attacchi ransomware, il ripristino dei file crittografati senza la collaborazione dell'aggressore non è possibile. Le eccezioni esistono solo nei casi in cui il ransomware sia stato programmato con gravi difetti che rendono violabile la crittografia.

Anche se le vittime pagano il riscatto, non vi è alcuna garanzia di ricevere un software di decrittazione funzionante. I criminali informatici incassano regolarmente il pagamento e spariscono senza fornire nulla. Per questo motivo, sconsigliamo vivamente di pagare.

Rimuovere HYFLOCK da un sistema infetto è importante per fermare ulteriori danni, ma la sola rimozione non può ripristinare i file già crittografati. L'opzione di recupero più affidabile è ripristinare i file da un backup creato prima che l'infezione colpisse.

I backup dovrebbero essere conservati in almeno due posizioni separate - come un dispositivo di archiviazione offline e un server remoto - in modo che un singolo attacco non possa distruggere tutte le copie contemporaneamente.

Il ransomware in generale

Nel corso degli anni abbiamo analizzato migliaia di programmi ransomware. L'obiettivo principale non cambia mai: bloccare i file e chiedere un pagamento per la loro restituzione. Le principali differenze tra le varianti sono gli algoritmi di crittografia simmetrica o asimmetrica che utilizzano e l'entità del riscatto richiesto.

Ulteriori esempi di ransomware sono SUCKS 2 SUCK, TuakTOX e BL4CK SP1D3R.

Come ha fatto il ransomware a infettare il mio computer?

Il ransomware arriva più comunemente tramite email di phishing. Questi messaggi contengono allegati dannosi - come documenti Microsoft Office, archivi o file eseguibili - oppure link che conducono a siti che scaricano silenziosamente malware sul dispositivo del visitatore.

I trojan sono un altro metodo di distribuzione comune. Possono installare il ransomware in modo silenzioso dopo aver stabilito l'accesso a un sistema. Anche i falsi aggiornamenti software, le pubblicità dannose e il software piratato fungono regolarmente da canali di distribuzione.

Scaricare software da fonti non ufficiali - reti peer-to-peer, piattaforme di hosting gratuite o siti di condivisione file di terze parti - aumenta significativamente il rischio di infezione. Utilizzi solo siti web ufficiali degli sviluppatori e app store affidabili per ottenere software ed eviti del tutto i crack e gli strumenti di attivazione non ufficiali.

Come proteggersi dalle infezioni ransomware?

Presti attenzione quando naviga sul web e gestisce le email. Apra allegati o segua link solo se è certo che il mittente sia legittimo. Scarichi software esclusivamente da siti web ufficiali o app store affidabili, mai da fonti di terze parti.

Mantenga aggiornati software e sistemi operativi utilizzando gli strumenti ufficiali integrati ed eviti patch di attivazione o generatori di chiavi da siti non ufficiali. Se il suo computer è già infetto da HYFLOCK, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows per eliminare automaticamente questo ransomware.

Aspetto della richiesta di riscatto HTML di HYFLOCK («How to Restore My Files.html»):

Testo presentato in questa richiesta di riscatto:

HYFLOCK
Security Division :: Enterprise Encryption System
► SYSTEM ENCRYPTION PROTOCOL :: v2.7.1
► STATUS :: ALL FILES SECURED
► NODE ::

⚠ CRITICAL SECURITY NOTICE
IMMEDIATE ACTION REQUIRED
DO NOT attempt to decrypt files yourself
DO NOT modify or delete encrypted files
DO NOT use third-party decryption tools
DO NOT reboot or shut down your system
Contact us within 48 hours to avoid data loss

Your files have been secured with military-grade HC-128 encryption. They are NOT deleted, only inaccessible without the unique decryption key.

◈ DECRYPTION CREDENTIALS
TOX CONTACT (PRIMARY)
[-]
⏱ Response time: 2-24 hours. Save your Victim ID - it is required for decryption.