Operadores do ransomware HYFLOCK desenvolveram sucessivos criptografadores para Windows que bloqueiam arquivos, acessam compartilhamentos de rede e tentam impedir a recuperação, enquanto falhas de implementação geram resultados muito diferentes para as vítimas.
A investigação distingue funcionalidades comprovadas de alegações promocionais. Embora os pesquisadores tenham confirmado a criptografia e o registro de tarefa agendada, não comprovaram propagação bem-sucedida em todo o domínio nem execução confiável após o encerramento das sessões de área de trabalho remota.
O HYFLOCK surgiu em fóruns clandestinos em março de 2026, anunciando uma plataforma de Ransomware como Serviço (RaaS). Os anúncios de recrutamento ofereciam desempenho de criptografia, aquisição de acessos, suporte técnico e ferramentas compartilhadas de negociação para afiliados que realizassem invasões.
Até outubro, os operadores promoviam a versão 2.0 e apresentavam uma organização mais integrada.
Em 13 de outubro, o site de vazamentos do grupo publicou oito alegações de vítimas nos setores de manufatura, serviços empresariais, governo, varejo e telecomunicações.
Essas alegações permanecem não verificadas. Os pesquisadores não determinaram os métodos de acesso inicial nem os critérios de seleção de alvos.
A amostra mais antiga analisada, de abril, já continha um núcleo substancial de ransomware para Windows escrito em Rust.
Ela oferecia suporte à criptografia de arquivos, ao direcionamento a redes e à interferência em mecanismos de segurança e de recuperação. Embora a análise restrita de execução tenha deixado algumas capacidades comprovadas apenas por inspeção de código.
Em julho, surgiu um carregador separado que entregava o ransomware, a configuração e o material da chave de criptografia, mantendo a base Rust/Nishi.
Pesquisadores da Check Point Exposure Management rastrearam quatro gerações entre abril e outubro de 2026, revelando uma operação que migrou do recrutamento clandestino para a extorsão pública.
Ransomware HYFLOCK
Uma geração do início de outubro usou um carregador baseado em Go para extrair e executar uma carga revisada, que tentava rodar em segundo plano por meio de uma tarefa agendada.
Uma segunda versão de outubro, identificada em 17 de outubro, funcionava como um criptografador independente escrito em Rust.
Ela se instalava em um diretório semelhante a um componente legítimo de atualização de software e registrou com sucesso uma tarefa agendada durante os testes.
A análise controlada da versão de 17 de outubro registrou 500 renomeações bem-sucedidas com a extensão do ransomware e 17 arquivos criptografados validados.
Os pesquisadores também observaram acesso a compartilhamentos de rede e tentativas de interferir na recuperação do sistema. Esses resultados comprovam a criptografia funcional, mas o número de renomeações não deve ser confundido com o total de arquivos criptografados validados de forma independente.
A funcionalidade de implantação em rede estava presente, mas não se observou propagação bem-sucedida em todo o domínio. A propagação por Política de Grupo (Group Policy) estava desativada na configuração recuperada.
As técnicas anunciadas com drivers vulneráveis para desativar ferramentas de segurança também permanecem não verificadas, assim como as alegações de continuidade da operação após o encerramento de sessões de área de trabalho remota.
Uma versão anterior de outubro continha um defeito de processamento capaz de descartar permanentemente o conteúdo de arquivos. Por isso, mesmo com a chave de descriptografia correta, os arquivos afetados podem permanecer incompletos, o que separa a corrupção irreversível dos danos comuns causados pela criptografia.
A versão de 17 de outubro apresentou outra fraqueza: arquivos maiores tiveram apenas os primeiros 4.096 bytes criptografados, deixando o conteúdo posterior acessível. Pesquisadores recuperaram, sem a chave, 73 componentes internos com verificação de redundância cíclica (CRC) válida a partir de sete documentos do Office criptografados, incluindo dados de planilhas e de strings compartilhadas.
Crucialmente, tratou-se de recuperação parcial de conteúdo, e não de restauração completa dos documentos nem de um descriptografador universal. As descobertas não indicam que todos os arquivos afetados possam ser recuperados, nem que o pagamento de resgate resolveria os danos.
Para quem defende redes, a prioridade prática é preservar os artefatos criptografados e identificar a versão exata do ransomware antes de avaliar as opções de recuperação.
A pesquisa também destaca o monitoramento de tarefas agendadas, a revisão de acessos a compartilhamentos de rede, a segmentação e as proteções de recuperação como considerações defensivas relevantes.
O caso do HYFLOCK mostra por que o comportamento observado, as configurações e os defeitos específicos de cada versão importam mais do que a lista de recursos anunciada pelos operadores ao avaliar o risco operacional e as perspectivas de recuperação em diferentes sistemas afetados e em documentos criptografados individualmente.
