แรนซัมแวร์ HYFLOCK รุ่น 17 ต.ค. เข้ารหัสแค่ 4KB แรกของไฟล์ใหญ่ — Check Point กู้ส่วนประกอบไฟล์ Office ได้บางส่วนโดยไม่ต้องจ่ายค่าไถ่ แต่รุ่นก่อนหน้าอาจทำลายข้อมูลถาวร

สรุปสั้น

HYFLOCK คือ แรนซัมแวร์แบบให้เช่า (Ransomware-as-a-Service) ที่เริ่มโฆษณาหาพันธมิตรในฟอรัมใต้ดินเมื่อมีนาคม 2569 และเป็นหนึ่งในกลุ่มใหม่ที่ก่อตัวรอบอดีตสมาชิก LockBit (2026/06/110 ) ทีม Exposure Management ของบริษัท Check Point ไล่ล่าภัยคุกคามจนพบ HYFLOCK 4 รุ่นตั้งแต่เมษายนถึงตุลาคม 2569 และพบว่ารุ่นที่คอมไพล์เมื่อ 17 ตุลาคมมีจุดอ่อนในการเข้ารหัส คือ เข้ารหัสแค่ 4,096 ไบต์แรกของไฟล์ขนาดใหญ่ที่ทดสอบ ทั้งที่คอนฟิกตั้งให้เข้ารหัสเต็มไฟล์ เนื้อหาหลังส่วนนั้นจึงยังอ่านได้ นักวิจัยใช้ส่วนที่ไม่ถูกแตะกู้ส่วนประกอบภายใน 73 ชิ้นจากไฟล์ Microsoft Office 7 ไฟล์ เช่น ข้อมูลแผ่นงานและข้อความที่ใช้ร่วมกันในไฟล์ Excel

ข่าวนี้ไม่ได้แปลว่าเหยื่อกู้ทุกอย่างได้ Check Point ไม่ได้กู้เอกสารทั้งไฟล์และไม่ได้สร้างเครื่องมือถอดรหัส เพราะส่วนหัวที่ถูกเข้ารหัสยังต้องใช้กุญแจหรือสำเนาที่เชื่อถือได้ ในทางกลับกัน รุ่นต้นเดือนตุลาคมมีข้อบกพร่องที่อาจทิ้งข้อมูลไฟล์ถาวร จนกู้ไม่ได้แม้มีกุญแจถูกต้อง เว็บประจานของ HYFLOCK อ้างเหยื่อ 8 รายในภาคการผลิต บริการธุรกิจ หน่วยงานรัฐ ค้าปลีก และโทรคมนาคม ซึ่งยังเป็นคำอ้างที่ไม่ได้ยืนยัน ผู้ที่โดนควรเก็บไฟล์ที่ถูกเข้ารหัสและหลักฐานการรันไว้ก่อนลองกู้คืน

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 5 พฤศจิกายน 2569 ว่า Check Point แยกพฤติกรรมที่สังเกตได้จริงออกจากคำอ้างของผู้ปฏิบัติการในการวิเคราะห์ ไทม์ไลน์ของ HYFLOCK เป็นดังนี้ มีนาคม 2569 เริ่มโฆษณาในฟอรัมใต้ดิน เมษายน ตัวอย่างแรกมีแกนแรนซัมแวร์ Windows ที่เขียนด้วย Rust แล้ว กรกฎาคม เพิ่มตัวโหลดแยกที่พา payload คอนฟิก และวัสดุกุญแจ ต้นตุลาคม ใช้ตัวพาที่เขียนด้วย Go และ 17 ตุลาคม กลับมาเป็นไฟล์ Rust เดี่ยวที่คัดลอกตัวเองไปไว้ในโฟลเดอร์ที่ดูเหมือนโฟลเดอร์อัปเดต จนถึง 13 ตุลาคม เว็บประจานมีเหยื่อที่อ้าง 8 ราย

ข้อจำกัดของหลักฐานที่ Check Point ระบุไว้มีหลายข้อ:

• ผลเฉพาะรุ่นที่ทดสอบ — การเข้ารหัสบางส่วนพบในรุ่น 17 ตุลาคมและไฟล์ที่เก็บได้เท่านั้น ไม่ควรถือเป็นพฤติกรรมของทั้งตระกูล
• ตัวเลขคนละความหมาย — การทดสอบเห็นการเปลี่ยนนามสกุลสำเร็จ 500 ครั้ง แต่ยืนยันได้ว่าถูกเข้ารหัสจริงเพียง 17 ไฟล์ สองตัวเลขนี้ใช้แทนกันไม่ได้
• ความสามารถที่โฆษณายังไม่ยืนยัน — ไม่พบการแพร่ทั้งโดเมนสำเร็จ การแพร่ผ่าน Group Policy ถูกปิดในคอนฟิกที่กู้ได้ ส่วนการโจมตีด้วยไดรเวอร์ที่มีช่องโหว่และการรันต่อหลังเซสชัน remote desktop จบยังไม่ได้รับการยืนยัน
• ไม่รู้ช่องทางเข้า — การวิเคราะห์ไม่ได้ระบุว่าเหยื่อทั้ง 8 รายถูกเจาะเข้ามาทางใด

วิธีการโจมตี

ฝังตัวในโฟลเดอร์ที่ดูเหมือนตัวอัปเดต — รุ่น 17 ตุลาคมคัดลอกตัวเองไปที่ ProgramData\EdgeUpdate_\eu.exe ซึ่งตั้งชื่อให้คล้ายตัวอัปเดตของ Microsoft Edge แล้วลงทะเบียน scheduled task เพื่อรันซ้ำ คอนฟิกการรันเก็บใน eu.cfg และวัสดุกุญแจสำรองเก็บใน system_config.dat

เข้ารหัสไฟล์ในเครื่องและไฟล์แชร์ — ระหว่างทดสอบ แรนซัมแวร์ประมวลผลทรัพยากรบน network share และพยายามขัดขวางการกู้คืน แต่คำสั่งทำลายจุดกู้คืนให้ผลไม่สม่ำเสมอ และไม่ได้พิสูจน์ว่าลบวัตถุกู้คืนได้ทั้งหมด ไฟล์ที่ถูกเข้ารหัสใช้นามสกุล .locked_ และมีไฟล์ .hyflock_claim ใช้ประสานงานบน share

การเข้ารหัสที่เหลือช่องให้กู้ — HYFLOCK ใช้กุญแจสมมาตรขนาด 16 ไบต์ เข้ารหัสด้วย AES แบบ counter mode และใช้ RSA ห่อวัสดุกุญแจ ไฟล์ที่ถูกเข้ารหัสยังคงความยาวเดิมและต่อท้ายด้วยข้อมูล 556 ไบต์ที่มีเมทาดาทาและกุญแจที่ถูกห่อ โดยมีเครื่องหมาย HFLKEY01 ในรุ่น 17 ตุลาคม ไฟล์ใหญ่ 14 ไฟล์ถูกเข้ารหัสแค่ 4,096 ไบต์แรก ส่วนไฟล์เล็ก 3 ไฟล์ถูกเข้ารหัสทั้งไฟล์ ไฟล์ Office เป็น ZIP ที่เก็บส่วนประกอบแยกกัน นักวิจัยจึงดึงส่วนที่อยู่หลัง 4KB แรกออกมาได้ และส่วนประกอบเหล่านั้นผ่านการตรวจ CRC ซึ่งยืนยันว่าข้อมูลไม่เสียหาย

ข้อบกพร่องที่ทำลายข้อมูล — รุ่นต้นเดือนตุลาคมอาจข้ามข้อมูลบางส่วนระหว่างประมวลผล และ HYFLOCK ยังเข้ารหัสต่อแม้การห่อกุญแจหรือการเก็บกุญแจสำรองล้มเหลว ทั้งสองกรณีอาจทำให้กู้คืนไม่ได้แม้ผู้โจมตีส่งกุญแจให้ นักวิจัยไม่ได้กู้กุญแจเข้ารหัสหรือกุญแจ RSA ส่วนตัวได้

ผลกระทบ

กลุ่มที่โดน คือ องค์กรที่ถูก HYFLOCK โจมตี โดยเหยื่อที่อ้างอยู่ในภาคการผลิต บริการธุรกิจ หน่วยงานรัฐ ค้าปลีก และโทรคมนาคม สำหรับเหยื่อของรุ่น 17 ตุลาคม จุดอ่อนนี้เปิดโอกาสกู้ข้อมูลบางส่วนจากไฟล์ใหญ่ เช่น ตัวเลขในไฟล์ Excel โดยไม่ต้องจ่ายค่าไถ่ แต่ไม่ได้ช่วยกู้เอกสารครบถ้วน

ความเสี่ยงที่ต้องระวังมี 2 เรื่อง เรื่องแรก คือ รุ่นต้นเดือนตุลาคมอาจทำลายข้อมูลถาวร การจ่ายค่าไถ่จึงอาจไม่ได้ข้อมูลคืน เรื่องที่สอง คือ ผู้พัฒนาน่าจะแก้จุดอ่อนในรุ่นถัดไปหลังรายงานนี้ออก จุดอ่อนที่พบจึงอาจใช้ได้แค่ช่วงสั้น การมีแบ็กอัปที่แยกจากเครือข่ายยังเป็นทางกู้คืนที่เชื่อถือได้ที่สุด

คำแนะนำ

• ผู้ที่โดน HYFLOCK — ทำทันที: อย่าลบหรือเขียนทับไฟล์ที่ถูกเข้ารหัส และเก็บไฟล์ eu.exe, eu.cfg และ system_config.dat ไว้เป็นหลักฐาน เพราะอาจใช้กู้ข้อมูลบางส่วนหรือถอดรหัสในอนาคต
• ผู้ที่โดน HYFLOCK: ตรวจว่าไฟล์ใหญ่ถูกเข้ารหัสแค่ส่วนหัวหรือไม่ แล้วปรึกษาผู้เชี่ยวชาญกู้ข้อมูลก่อนตัดสินใจจ่ายค่าไถ่ และพึงระวังว่ารุ่นต้นตุลาคมอาจทำให้กู้คืนไม่ได้แม้จ่าย
• ตรวจว่าโดนแล้วหรือยัง: ล่าหา scheduled task ที่ชี้ไปยัง ProgramData\EdgeUpdate_* ไฟล์นามสกุล .locked_* ไฟล์ .hyflock_claim บน share และเครื่องหมาย HFLKEY01 ท้ายไฟล์
• ป้องกัน: จำกัดสิทธิ์เขียนบน network share แบ่งเครือข่ายให้เครื่องผู้ใช้เข้าถึง share ได้เฉพาะที่จำเป็น และป้องกันจุดกู้คืนและแบ็กอัปไม่ให้บัญชีผู้ใช้ทั่วไปลบได้
• ระยะยาว: เก็บแบ็กอัปแบบออฟไลน์หรือ immutable และทดสอบการกู้คืนเป็นประจำ แทนการหวังพึ่งจุดอ่อนของแรนซัมแวร์

Indicators of Compromise (IoCs)

ตารางนี้เป็นร่องรอยบนเครื่องที่ Check Point ยืนยันจากตัวอย่าง ไม่ใช่ IoC เครือข่าย

แหล่งอ้างอิง

• HYFLOCK Ransomware Encrypts Only First 4KB of Larger Files, Leaves Parts of Victims’ Files Accessible — Cyber Security News
• HYFLOCK ransomware evolves with new builds and encryption weaknesses — Check Point
• HYFLOCK — From Underground Recruitment to Public Extortion — Check Point Cyberint