Четыре поколения программы-вымогателя. Шесть месяцев разработки. Восемь заявлений о жертвах, опубликованных за один день.
Большая часть 2026 года ушла у HYFLOCK на создание своей инфраструктуры вымогателей, вербовку участников через теневые форумы и продвижение все более изощренных возможностей атак. К октябрю группировка начала публично называть жертв, а ее программа-вымогатель претерпела значительные изменения.
В ходе охоты за угрозами исследователи из Check Point Exposure Management выявили обновленные сборки вымогателя HYFLOCK и отследили их разработку с апреля по октябрь. Расследование выявило изменения в том, как вредоносное ПО запускается, работает в фоновом режиме и взаимодействует с сетевыми ресурсами. Исследователи также обнаружили уязвимости в шифровании, которые могут повлиять на способность жертв восстанавливать свои файлы.
Полученные данные позволяют подробнее изучить техническую эволюцию HYFLOCK, включая возможности, подтвержденные в ходе анализа, и те, которые все еще ждут проверки.
Основные выводы
- Программа-вымогатель HYFLOCK развивалась на протяжении четырех поколений, причем в октябре были внедрены значительные изменения в развертывание, фоновое выполнение и сетевую активность.
- Исследователи подтвердили работающие функции шифрования, включая шифрование файлов, регистрацию запланированных задач, активность сетевых папок и попытки помешать восстановлению.
- Несколько заявленных возможностей остаются неподтвержденными, включая успешное распространение по всему домену и надежное выполнение после завершения сеансов удаленного рабочего стола.
- Уязвимости шифрования повлияли на восстановление: исследователям удалось извлечь 73 внутренних компонента из семи зашифрованных файлов Office без получения ключа.
- Публичное вымогательство последовало за месяцами вербовки, и 13 октября на сайте утечек HYFLOCK появилось восемь заявлений о жертвах.
Как развивался HYFLOCK
HYFLOCK впервые появилась на теневых форумах в марте 2026 года, рекламируя платформу «Программа-вымогатель как услуга» (RaaS). Ее вербовочные посты продвигали производительность шифрования, получение доступа, техническую помощь и общие инструменты для ведения переговоров, предназначенные для поддержки партнеров, осуществляющих атаки.
В последующие месяцы группировка продолжала вербовку и разработку своего вымогателя. К октябрю HYFLOCK анонсировала версию 2.0 и начала позиционировать себя как более интегрированная организация.
13 октября группировка опубликовала восемь заявлений о жертвах, охватывающих обрабатывающую промышленность, бизнес-услуги, государственное сектор, розничную торговлю и телекоммуникации. Эти списки остаются неподтвержденными заявлениями злоумышленников, и расследование не установило, как организации были скомпрометированы изначально или почему они стали мишенью.
Эта активность позволяет составить график разработки HYFLOCK и технических изменений, обнаруженных исследователями в ее программе-вымогателе за тот же период.
Внутри обновленной программы-вымогателя
Исследователи изучили четыре поколения программы-вымогателя, начиная с апрельского образца, который уже содержал разработанное ядро вымогателя для Windows, написанное на Rust. Вредоносное ПО поддерживало шифрование файлов, сетевой таргетинг и попытки вмешательства в средства безопасности и восстановления, хотя несколько возможностей удалось определить только по коду из-за ограниченности анализа во время выполнения.
В июле HYFLOCK представила новый подход к упаковке и запуск вымогателя. Отдельный загрузчик доставлял вредоносное ПО вместе с его конфигурацией и материалами ключей шифрования, сохраняя ту же базовую основу Rust/Nishi.
Октябрь принес более существенные изменения. Более ранняя сборка представила загрузчик на базе Go, который извлекал и запускал измененную полезную нагрузку вымогателя, после чего пыталась обеспечить фоновое выполнение с помощью запланированной задачи.
Вторая сборка, обнаруженная 17 октября, работала как автономный шифровальщик на Rust и размещала свою копию в каталоге, напоминающем легитимный компонент обновления программного обеспечения. В ходе анализа она успешно зарегистрировала запланированную задачу и продемонстрировала обширную обработку файлов, шифрование и активность сетевых папок.
Эти изменения показывают, как HYFLOCK продолжала совершенствовать возможности выполнения и развертывания своей программы-вымогателя в течение года.
Рисунок 1. Изменения в выполнении и развертывании программы-вымогателя HYFLOCK в четырех проанализированных поколениях.
Что подтвердили исследователи
По мере разработки программы-вымогателя операторы HYFLOCK продвигали функции, призванные упростить развертывание атак и затруднить их прерывание. Исследователи сопоставили эти заявления с поведением, наблюдаемым в проанализированных образцах.
Сборка от 17 октября успешно зашифровала файлы, зарегистрировала запланированную задачу, получила доступ к ресурсам сетевых папок и попыталась помешать восстановлению системы. В ходе контролируемого анализа она произвела 500 успешных переименований с расширением вымогателя и 17 проверенных зашифрованных файлов.
Вредоносное ПО также содержало функционал для развертывания вымогателя по сети. Однако успешного распространения по всему домену не наблюдалось, а распространение через групповые политики (Group Policy) было отключено в восстановленной конфигурации.
Другие разрекламированные функции, включая надежное выполнение после завершения сеансов удаленного рабочего стола и использование уязвимых драйверов для отключения средств защиты, остаются неподтвержденными.
Эти наблюдения дают более четкое представление о демонстрируемом поведении программы-вымогателя и возможностях, требующих дальнейшего расследования.
Уязвимости шифрования и восстановление файлов
Расследование также выявило уязвимости в процессе шифрования HYFLOCK, обнаружив различные результаты восстановления в октябрьских сборках.
В более ранней октябрьской версии исследователи обнаружили дефект обработки, который мог безвозвратно удалять части файла, потенциально препятствуя полному восстановлению даже при наличии правильного ключа расшифровки.
Сборка от 17 октября продемонстрировала другую проблему. Исследователи обнаружили, что у более крупных файлов шифровались только первые 4096 байт, оставляя дополнительный контент доступным за пределами этого начального раздела.
Изучив оставшиеся данные, исследователи восстановили 73 внутренних компонента с действительной CRC из семи зашифрованных файлов Office, включая данные листов и общих строк, не получая ключ шифрования.
Рисунок 2. Поведение шифрования от 17 октября оставило части более крупных файлов доступными для частичного восстановления.
Восстановленный материал представлял собой части затронутых файлов. Исследователи не восстанавливали полные файлы и не разрабатывали общий метод расшифровки вымогателя HYFLOCK.
Полученные данные демонстрируют, как различия между сборками программ-вымогателей могут влиять на повреждение файлов и возможности восстановления, доступные пострадавшим организациям.
Чему могут научиться команды безопасности
Развитие HYFLOCK показывает, как операции программ-вымогателей могут эволюционировать за короткий период времени: изменения в выполнении, развертывании и обработке файлов влияют как на поведение при атаке, так и на восстановление.
Для команд безопасности эти результаты подчеркивают ценность изучения отдельных версий программ-вымогателей и сохранения затронутых артефактов в ходе расследований. Проверка доступа к сетевым папкам, сегментации, активности запланированных задач и средств защиты восстановления также может помочь организациям оценить свою подверженность методам, наблюдаемым в данном исследовании.
Check Point Exposure Management связывает данные об угрозах с контекстом активов, уязвимостями и существующими средствами контроля безопасности, помогая организациям выявлять релевантные риски, проверять возможность их эксплуатации и координировать безопасное устранение.
Полное расследование, технические выводы и индикаторы компрометации читайте в полном отчете HYFLOCK.
Запланируйте демонстрацию, чтобы увидеть, как Check Point Exposure Management превращает аналитику угроз в приоритетные действия.
