HYFLOCK: от вербовки партнёров до восьми публичных жертв за полгода

Продвижение началось 29 марта. Платформу рекламировали как сервис программ-вымогателей по модели RaaS, то есть с автоматическим разделением выручки между участниками. В мае и июне появились объявления о наборе партнёров и описание внутренней панели управления. Одиннадцатого октября группа объявила версию 2.0 и заявила, что HYFLOCK - «не традиционная RaaS». По данным Check Point Exposure Management, смена риторики не доказывает, что прежняя партнёрская модель прекратилась. Восемь заявок появились почти одновременно: это указывает на согласованный запуск публичного этапа, хотя сами списки остаются утверждениями операторов.

Ядро шифровальщика появилось рано. Апрельский образец - самостоятельный исполняемый файл на Rust с внутренним именем Nishi. Июльская сборка сохранила ту же основу, но обзавелась отдельным загрузчиком, который распаковывал архив с полезной нагрузкой и настройками. Октябрь сменил упаковку дважды: сначала появилась обёртка на Go, затем сборка от 17 октября вернулась к самостоятельному шифровальщику. Она копирует себя в служебный каталог и запускается фоновой задачей. В ходе анализа задача успешно зарегистрировалась в планировщике, шифровальщик переименовал 500 файлов и обработал административные сетевые ресурсы.

Криптографическая часть оказалась неровной. В сборке от 17 октября у крупных файлов шифровались только первые 4096 байт, хотя конфигурация предписывала полное шифрование. Из зашифрованных документов Office аналитики извлекли 73 элемента с корректной контрольной суммой - без ключа. Это частичное восстановление содержимого, а не расшифровка: перезаписанные префиксы без ключа или точной копии недоступны.

Есть и обратный эффект. Более ранняя октябрьская сборка теряет парные блоки в хвосте файла, поэтому данные могут пропасть безвозвратно даже при наличии правильного ключа. Аналитики отдельно указали на отказоустойчивую логику защиты ключей: если упаковка ключа или его сохранение срываются, обработка всё равно продолжается. В итоге файлы шифруются, а надёжного материала для восстановления на стороне операторов может не остаться.

Часть заявленных возможностей осталась без подтверждения. Операторы обещали уничтожение защитных средств через уязвимые драйверы, ИИ-управляемую инфраструктуру управления, устойчивость к обрыву удалённой сессии, поддержку виртуализации и собственный генератор доступа к чужим сетям. Ни одного подтверждения этим обещаниям в образцах не нашлось. Механизмы распространения через групповые политики, WinRM и WMI в коде присутствуют, но развёртывания в масштабе домена анализ не показал. Отдельного механизма кражи данных тоже не обнаружили.

Что именно стоит за восемью заявками, пока не установлено: подтверждения от жертв, данные реагирования на инциденты и артефакты не опубликованы. Неизвестно и то, когда начались конкретные вторжения - хронология ограничена датами публичной рекламы и появлением образцов. Полного дешифратора нет, а неполное шифрование даёт шанс вернуть лишь часть содержимого отдельных файлов.