Como remover o ransomware HYFLOCK

Que tipo de malware é o HYFLOCK?

O HYFLOCK é um ransomware que descobrimos ao examinar amostras de malware submetidas à plataforma VirusTotal. Tal como outros ransomware, encripta ficheiros no computador da vítima, tornando-os inacessíveis, e exige pagamento em troca da desencriptação.

Na nossa máquina de teste, o HYFLOCK acrescentou a extensão ".locked" a cada ficheiro encriptado. Um ficheiro originalmente denominado "1.jpg" passou a "1.jpg.locked", "2.png" passou a "2.png.locked", e assim por diante. Após concluir a encriptação, deixou uma nota de resgate num ficheiro HTML denominado "How to Restore My Files.html".

Captura de ecrã de ficheiros encriptados pelo ransomware HYFLOCK:

Visão geral da nota de resgate do HYFLOCK

A nota de resgate é um ficheiro HTML denominado "How to Restore My Files.html". Informa as vítimas de que os seus ficheiros foram bloqueados através da encriptação HC-128 e que apenas os atacantes possuem a chave de desencriptação necessária para restaurar o acesso.

Para contactar os atacantes, as vítimas são instruídas a instalar o cliente de mensagens qTox juntamente com o Tor Browser, adicionar o ID de contacto Tox dos atacantes e enviar uma mensagem contendo o seu ID de vítima exclusivo. A nota fornece instruções de instalação passo a passo para Windows, Linux e macOS.

A nota também alerta as vítimas para não tentarem a autodesencriptação, não modificarem nem eliminarem ficheiros encriptados, não utilizarem ferramentas de recuperação de terceiros e não reiniciarem o sistema. É fortemente recomendado o contacto no prazo de 48 horas, com a implicação de que atrasos correm o risco de perda permanente de dados.

Visão geral do ransomware HYFLOCK

Na maioria dos ataques de ransomware, restaurar ficheiros encriptados sem a cooperação do atacante não é possível. Existem exceções apenas nos casos em que o ransomware foi programado com falhas graves que tornam a encriptação quebrável.

Mesmo que as vítimas paguem o resgate, não há garantia de receberem um software de desencriptação funcional. Os cibercriminosos recolhem rotineiramente o pagamento e desaparecem sem entregar nada. Por esta razão, desaconselhamos vivamente o pagamento.

Remover o HYFLOCK de um sistema infetado é importante para impedir mais danos, mas a remoção por si só não consegue restaurar ficheiros já encriptados. A opção de recuperação mais fiável é restaurar ficheiros a partir de uma cópia de segurança criada antes de a infeção ocorrer.

As cópias de segurança devem ser armazenadas em pelo menos dois locais separados - como um dispositivo de armazenamento offline e um servidor remoto - para que um único ataque não possa destruir todas as cópias de uma vez.

Ransomware em geral

Analisámos milhares de programas de ransomware ao longo dos anos. O objetivo central nunca muda: bloquear ficheiros e cobrar pela sua devolução. As principais diferenças entre as variantes são os algoritmos de encriptação simétrica ou assimétrica que utilizam e o valor do resgate exigido.

Exemplos adicionais de ransomware são SUCKS 2 SUCK, TuakTOX e BL4CK SP1D3R.

Como é que o ransomware infetou o meu computador?

O ransomware chega mais comummente através de e-mails de phishing. Estas mensagens transportam anexos maliciosos - como documentos do Microsoft Office, arquivos ou executáveis - ou ligações que conduzem a sites que descarregam silenciosamente malware para a máquina do visitante.

Os Trojans são outro método de entrega comum. Podem instalar ransomware discretamente após estabelecerem acesso a um sistema. Atualizações de software falsas, anúncios maliciosos e software pirata também servem regularmente como canais de distribuição.

Descarregar software a partir de fontes não oficiais - redes peer-to-peer, plataformas de alojamento gratuito ou sites de partilha de ficheiros de terceiros - aumenta significativamente o risco de infeção. Utilize apenas sites oficiais de programadores e lojas de aplicações fidedignas para obter software, e evite completamente cracks e ferramentas de ativação não oficiais.

Como se proteger de infeções de ransomware?

Tenha cuidado ao navegar na web e ao lidar com e-mails. Abra apenas anexos ou siga ligações se tiver a certeza de que o remetente é legítimo. Descarregue software exclusivamente a partir de sites oficiais ou lojas de aplicações fidedignas, nunca de fontes de terceiros.

Mantenha o software e os sistemas operativos atualizados utilizando ferramentas oficiais integradas, e evite patches de ativação ou geradores de chaves de sites não oficiais. Se o seu computador já estiver infetado com o HYFLOCK, recomendamos que execute uma análise com o Combo Cleaner Antivirus para Windows para eliminar automaticamente este ransomware.

Aparência da nota de resgate HTML do HYFLOCK ("How to Restore My Files.html"):

Texto apresentado nesta nota de resgate:

HYFLOCK
Security Division :: Enterprise Encryption System
► SYSTEM ENCRYPTION PROTOCOL :: v2.7.1
► STATUS :: ALL FILES SECURED
► NODE ::

⚠ CRITICAL SECURITY NOTICE
IMMEDIATE ACTION REQUIRED
DO NOT attempt to decrypt files yourself
DO NOT modify or delete encrypted files
DO NOT use third-party decryption tools
DO NOT reboot or shut down your system
Contact us within 48 hours to avoid data loss

Your files have been secured with military-grade HC-128 encryption. They are NOT deleted, only inaccessible without the unique decryption key.

◈ DECRYPTION CREDENTIALS
TOX CONTACT (PRIMARY)
[-]
⏱ Response time: 2-24 hours. Save your Victim ID - it is required for decryption.