Cómo eliminar el ransomware HYFLOCK

¿Qué tipo de malware es HYFLOCK?

HYFLOCK es un ransomware que descubrimos mientras examinábamos muestras de malware enviadas a la plataforma VirusTotal. Al igual que otros ransomware, cifra archivos en el equipo de la víctima, haciéndolos inaccesibles, y exige un pago a cambio del descifrado.

En nuestra máquina de prueba, HYFLOCK añadió la extensión «.locked» a cada archivo cifrado. Un archivo llamado originalmente «1.jpg» se convirtió en «1.jpg.locked», «2.png» se convirtió en «2.png.locked», y así sucesivamente. Tras completar el cifrado, dejó una nota de rescate en un archivo HTML llamado «How to Restore My Files.html».

Captura de pantalla de archivos cifrados por el ransomware HYFLOCK:

Resumen de la nota de rescate de HYFLOCK

La nota de rescate es un archivo HTML llamado «How to Restore My Files.html». Informa a las víctimas de que sus archivos fueron bloqueados mediante el cifrado HC-128 y que solo los atacantes poseen la clave de descifrado necesaria para restaurar el acceso.

Para contactar a los atacantes, se indica a las víctimas que instalen el cliente de mensajería qTox junto con Tor Browser, que agreguen el ID de contacto Tox de los atacantes y que envíen un mensaje con su ID de víctima única. La nota proporciona instrucciones de instalación paso a paso para Windows, Linux y macOS.

La nota también advierte a las víctimas que no intenten descifrar los archivos por sí mismas, que no modifiquen ni eliminen los archivos cifrados, que no usen herramientas de recuperación de terceros y que no reinicien el sistema. Se insta encarecidamente a contactar dentro de las 48 horas, con la insinuación de que los retrasos conllevan el riesgo de pérdida permanente de datos.

Resumen del ransomware HYFLOCK

En la mayoría de los ataques de ransomware, no es posible restaurar los archivos cifrados sin la cooperación del atacante. Las excepciones solo existen en los casos en que el ransomware fue programado con fallos graves que hacen que el cifrado sea vulnerable.

Incluso si las víctimas pagan el rescate, no hay garantía de recibir un software de descifrado funcional. Los ciberdelincuentes suelen cobrar el pago y desaparecer sin entregar nada. Por esta razón, desaconsejamos encarecidamente pagar.

Eliminar HYFLOCK de un sistema infectado es importante para detener más daños, pero la eliminación por sí sola no puede restaurar los archivos ya cifrados. La opción de recuperación más fiable es restaurar los archivos desde una copia de seguridad creada antes de que se produjera la infección.

Las copias de seguridad deben almacenarse en al menos dos ubicaciones separadas -como un dispositivo de almacenamiento sin conexión y un servidor remoto- para que un solo ataque no pueda destruir todas las copias a la vez.

El ransomware en general

Hemos analizado miles de programas de ransomware a lo largo de los años. El objetivo central nunca cambia: bloquear archivos y cobrar por su devolución. Las principales diferencias entre las variantes son los algoritmos de cifrado simétrico o asimétrico que utilizan y el tamaño del rescate exigido.

Otros ejemplos de ransomware son SUCKS 2 SUCK, TuakTOX y BL4CK SP1D3R.

¿Cómo infectó el ransomware mi ordenador?

El ransomware llega con mayor frecuencia a través de correos electrónicos de phishing. Estos mensajes contienen archivos adjuntos maliciosos -como documentos de Microsoft Office, archivos comprimidos o ejecutables- o enlaces que conducen a sitios que instalan malware de forma silenciosa en la máquina del visitante.

Los troyanos son otro método común de distribución. Pueden instalar ransomware de forma silenciosa después de establecer acceso a un sistema. Las actualizaciones de software falsas, los anuncios maliciosos y el software pirateado también sirven regularmente como canales de distribución.

Descargar software de fuentes no oficiales -redes peer-to-peer, plataformas de alojamiento gratuito o sitios de intercambio de archivos de terceros- aumenta significativamente el riesgo de infección. Utilice únicamente sitios web oficiales de desarrolladores y tiendas de aplicaciones de confianza para obtener software, y evite por completo los cracks y las herramientas de activación no oficiales.

¿Cómo protegerse de las infecciones de ransomware?

Tenga precaución al navegar por la web y al manejar el correo electrónico. Abra archivos adjuntos o siga enlaces solo si está seguro de que el remitente es legítimo. Descargue software exclusivamente de sitios web oficiales o tiendas de aplicaciones de confianza, nunca de fuentes de terceros.

Mantenga el software y los sistemas operativos actualizados utilizando las herramientas oficiales integradas, y evite los parches de activación o los generadores de claves de sitios no oficiales. Si su ordenador ya está infectado con HYFLOCK, le recomendamos ejecutar un análisis con Combo Cleaner Antivirus para Windows para eliminar automáticamente este ransomware.

Aspecto de la nota de rescate HTML de HYFLOCK («How to Restore My Files.html»):

Texto presentado en esta nota de rescate:

HYFLOCK
Security Division :: Enterprise Encryption System
► SYSTEM ENCRYPTION PROTOCOL :: v2.7.1
► STATUS :: ALL FILES SECURED
► NODE ::

⚠ CRITICAL SECURITY NOTICE
IMMEDIATE ACTION REQUIRED
DO NOT attempt to decrypt files yourself
DO NOT modify or delete encrypted files
DO NOT use third-party decryption tools
DO NOT reboot or shut down your system
Contact us within 48 hours to avoid data loss

Your files have been secured with military-grade HC-128 encryption. They are NOT deleted, only inaccessible without the unique decryption key.

◈ DECRYPTION CREDENTIALS
TOX CONTACT (PRIMARY)
[-]
⏱ Response time: 2-24 hours. Save your Victim ID - it is required for decryption.