El ransomware HYFLOCK presenta una debilidad en su cifrado que permite que partes de los archivos más grandes permanezcan legibles. Específicamente, en la versión del 17 de octubre, el malware solo cifra los primeros 4,096 bytes, lo que ofrece a las organizaciones afectadas una oportunidad limitada de recuperar sus datos sin necesidad de pagar a los atacantes.

El ransomware HYFLOCK tiene una debilidad de cifrado que deja partes de los archivos más grandes legibles, lo que ofrece a las organizaciones afectadas una oportunidad limitada de recuperar datos sin pagar a los atacantes.

En la versión del 17 de octubre, el malware cifró solo los primeros 4.096 bytes de los archivos más grandes examinados durante las pruebas, dejando accesible el contenido posterior a esa sección.

Este hallazgo no significa que las víctimas puedan desbloquearlo todo. Los investigadores recuperaron contenidos seleccionados de archivos de Microsoft Office cifrados, pero no restauraron documentos completos ni produjeron un descifrador general.

Una versión anterior de octubre presentó un peligro diferente: un defecto de procesamiento podría descartar permanentemente los datos del archivo, impidiendo potencialmente la recuperación completa incluso con la clave correcta.

Los investigadores de Check Point Exposure Management identificaron las versiones actualizadas de HYFLOCK mediante la búsqueda de amenazas, rastreando cuatro generaciones desde abril hasta octubre de 2026.

Su investigación publicada sobre HYFLOCK separa el comportamiento observado de las afirmaciones del operador, revelando funciones de despliegue más fuertes junto con un procesamiento de archivos desigual.

Ransomware HYFLOCK

La muestra del 17 de octubre produjo 17 archivos cifrados validados. Catorce archivos más grandes registraron un prefijo cifrado de 4.096 bytes, mientras que tres archivos más pequeños fueron cifrados en su totalidad según su longitud original.

Los ajustes de configuración indicaban un cifrado completo, pero esos ajustes no coincidían con la condición real de los archivos más grandes. El cifrado parcial también aparece en otras familias de ransomware.

Por ejemplo, el cifrado parcial configurable de Gunra permite a los atacantes seleccionar cuánto contenido cifrar. Sin embargo, el hallazgo de HYFLOCK es específico de la versión probada y los archivos recolectados; no debe tratarse como un comportamiento universal en toda la familia.

Al examinar el contenido intacto, los investigadores recuperaron 73 componentes internos de siete archivos de Office cifrados, incluyendo datos de hojas de cálculo y cadenas compartidas.

Esos componentes superaron las comprobaciones de redundancia cíclica, respaldando su integridad. El resultado demuestra una recuperación parcial, no un descifrado: los prefijos cifrados siguieron sin estar disponibles sin el material de clave correspondiente o una copia exacta confiable.

El malware utiliza claves simétricas de 16 bytes, procesamiento AES en modo contador y protección RSA para el material de recuperación.

Cada resultado validado del 17 de octubre conservó el cuerpo de su longitud original y añadió un tráiler de 556 bytes que contenía metadatos de cifrado y una clave envuelta. Los investigadores no recuperaron ni una clave de cifrado en texto plano ni una clave privada RSA.

Los riesgos de recuperación se extienden más allá de los prefijos inaccesibles. La versión anterior de octubre podía omitir datos durante el procesamiento, haciendo eco del problema más amplio ilustrado por los fallos de recuperación dañinos de VECT, donde los errores de implementación socavan la restauración.

HYFLOCK también puede continuar cifrando cuando falla el envuelto de claves o el almacenamiento de respaldo, creando otra barrera potencial para la recuperación.

El cifrador actualizado en Rust amplía los riesgos de despliegue y recuperación

HYFLOCK apareció en promociones del underground en marzo de 2026 como una oferta de Ransomware-as-a-Service. Para el 13 de octubre, su sitio de filtraciones presentaba ocho reclamaciones de víctimas en los sectores de manufactura, servicios empresariales, gobierno, comercio minorista y telecomunicaciones.

Estas siguen siendo afirmaciones no verificadas de los atacantes; la investigación no estableció las rutas de compromiso inicial de las víctimas. La muestra de abril ya contenía un núcleo de ransomware para Windows escrito en Rust.

En julio se añadió un cargador separado que transportaba la carga útil, la configuración y el material de claves. Una versión anterior de octubre utilizó un portador en Go, mientras que la versión del 17 de octubre volvió a un ejecutable de Rust independiente que se copiaba a sí mismo en un directorio similar al de actualizaciones.

Durante las pruebas controladas, la versión más reciente registró una tarea programada, procesó recursos de carpetas compartidas de red e intentó interrumpir la recuperación.

Generó 500 cambios de nombre exitosos con la extensión de ransomware, aunque solo 17 archivos recolectados fueron validados independientemente como cifrados. Estos recuentos describen observaciones diferentes y no deben tratarse como medidas intercambiables del daño.

La interferencia en la recuperación también está documentada en la interrupción de respaldos del ransomware Gentlemen, pero los resultados de HYFLOCK requieren matices.

Sus comandos de sabotaje de recuperación tuvieron resultados variados, y no se probó la eliminación completa de los objetos de recuperación. Del mismo modo, la actividad en carpetas compartidas administrativas no estableció el compromiso de otra computadora.

No se observó una propagación exitosa en todo el dominio, y la propagación por Directivas de Grupo estaba desactivada en la configuración recuperada. Los ataques anunciados mediante controladores vulnerables y la ejecución fiable tras el fin de sesiones de escritorio remoto también permanecieron sin verificar.

Si eres un defensor, debes preservar los archivos afectados y la evidencia de ejecución, y luego revisar las tareas programadas, el acceso a carpetas compartidas, la segmentación y las protecciones de recuperación antes de intentar la restauración.

Fuentes:
https://cybersecuritynews.com/hyflock-ransomware/