Check Point Exposure Managementの研究者らは、HYFLOCKランサムウェアの暗号化に弱点を発見しました。この弱点を突くことで、復号鍵を入手しなくてもデータを復元できたといいます。
研究チームは、暗号化された7つのOfficeファイルから73個の内部コンポーネントを抽出しました。あるビルドが大きなファイルを処理する際の欠陥が明らかになりました。
今回の成果は部分的な復元にとどまり、完全な復号ではありません。文書全体を復元したわけではなく、HYFLOCK向けの汎用復号ツールを開発したわけでもありません。
それでも、復元したコンポーネントにはワークシートや共有文字列のデータが含まれていました。攻撃を受けても、有用な情報が残る可能性があることを示しています。
調査では、2026年4月から10月にかけて開発された4世代のランサムウェアを追跡しました。この間にHYFLOCKは、配布方法やバックグラウンドでの実行手法、ネットワーク活動を変化させ、公開型の恐喝活動も拡大しています。
HYFLOCKは2026年3月にアンダーグラウンドフォーラムに登場し、Ransomware-as-a-Service（RaaS）プラットフォームを宣伝しました。募集投稿では、暗号化性能、アクセス調達、技術サポート、アフィリエイト向けの共有交渉ツールを売り込んでいました。
10月までに運営者はバージョン2.0を発表しました。10月13日には、リークサイトで製造業、ビジネスサービス、政府、小売、通信の各業種にまたがる8件の被害者を公表しています。
ただし、これらは攻撃者側の主張で、裏付けは取れていません。研究者らも、最初の侵入手法は特定できていません。
4月のサンプルには、Rustで書かれたWindows向けランサムウェアの中核部分が含まれていました。暗号化やネットワーク経由の攻撃対象選定に対応し、セキュリティ製品や復旧ツールを妨害する機能も備えていました。ただし、実行時のテストは限定的でした。
7月版では、ランサムウェア本体、設定、暗号鍵素材を配布する独立したローダーが導入されました。基盤のRust/Nishiは引き続き採用しています。
10月前半のビルドでは、Go言語製のキャリアが改良版ペイロードを展開して起動し、スケジュールタスクによるバックグラウンド実行を試みていました。
一方、10月17日のビルドは、単独で動作するRust製の暗号化ツールでした。正規のソフトウェア更新コンポーネントに似たディレクトリに自身をコピーし、スケジュールタスクの登録にも成功しています。
制御環境でのテストでは、ランサムウェアの拡張子への名前変更が500件成功し、暗号化されたファイル17件が検証されました。研究者らは、ネットワーク共有での活動や、システム復旧を妨害する試みも確認しています。
ドメイン全体への感染拡大は確認されていません。復元した設定ではグループポリシーによる拡散が無効化されていました。また、リモートデスクトップのセッション終了後も確実に実行されるかどうかや、脆弱なドライバーを悪用する攻撃については、未検証のままです。
10月のビルドでは、被害ファイルに影響する2つの異なる問題が見つかりました。
以前のバージョンには、ファイルデータの一部を恒久的に破棄しかねない処理上の欠陥がありました。そのため、被害者が正しい復号鍵を持っていても、完全な復元はできない可能性があると、Check Pointは述べています。
10月17日版の挙動は異なっていました。研究者らは、大きなファイルでは先頭の4,096バイトしか暗号化されず、後続の内容は読み取れる状態で残ることを突き止めました。
残りのバイトを調べた結果、研究チームは鍵なしで、7つのOfficeファイルからCRCが有効な73個のコンポーネントを復元できました。
脅威調査の効率化と手作業の削減のため、1万6,000以上のSOCチームがANY.RUNを利用しています。チーム向けに詳細を見る
翻訳元: https://cyberpress.org/hyflock-flaw-enables-recovery/
