HYFLOCK: investigadores recuperaron partes de archivos cifrados tras detectar una falla en el ransomware
El equipo de investigación de Check Point publicó el 4 de noviembre de 2026 un análisis sobre HYFLOCK, una familia de ransomware que, además de cifrar archivos, intenta interferir con las herramientas que podrían ayudar a recuperarlos. Lo más llamativo del informe es un hallazgo técnico: en una de las versiones estudiadas, el cifrado tenía una debilidad que permitió rescatar fragmentos de información sin contar con la clave. Es una buena ocasión para explicar qué significa realmente «recuperar datos» después de un ataque y por qué cada caso debe evaluarse por separado.
Qué observaron los investigadores
Check Point analizó distintas versiones de HYFLOCK. En una de ellas, identificada el 17 de octubre, notaron que en los archivos grandes examinados solo se cifraba una parte inicial del contenido. Gracias a eso lograron recuperar 73 componentes internos de siete archivos de Office, incluidos datos de hojas de cálculo, sin obtener la clave de cifrado.
En una versión anterior encontraron además un defecto distinto: el programa podía descartar partes de los archivos, lo que impediría su recuperación completa incluso si el atacante entregara la clave correcta.
Fragmentos no es lo mismo que archivos completos
Conviene leer este hallazgo con cuidado. Los investigadores no restauraron archivos completos ni desarrollaron un método general de descifrado. Lo que obtuvieron fueron partes internas de documentos de Office, que son, en esencia, contenedores formados por muchos componentes. Rescatar algunos de ellos puede aportar datos útiles, pero no equivale a devolver el archivo original listo para abrir.
Desde el punto de vista técnico, esto muestra que el resultado depende de varios factores: la variante del ransomware, la versión concreta, cuánto del archivo fue cifrado o dañado, el tamaño de los archivos y el estado del soporte donde se encuentran. Por eso no existe una recuperación garantizada para todos los casos de HYFLOCK, y desconfiar de quien la promete sin evaluar el equipo es una buena regla.
Qué hacer si sospechás un ataque de ransomware
- Aislá los sistemas afectados de la red: desconectá el cable de red y el Wi-Fi para evitar que el ataque se propague a otros equipos, servidores o copias de seguridad conectadas.
- Conservá los archivos cifrados y la nota de rescate: no los borres ni los renombres. Son evidencia y pueden ser clave para identificar la variante.
- No formatees ni reinstales: hacerlo puede destruir fragmentos que todavía serían recuperables.
- No intentes «reparaciones» por tu cuenta ni ejecutes herramientas de descifrado descargadas de sitios desconocidos: pueden dañar aún más los datos o instalar más malware.
- No apagues y enciendas el equipo repetidamente; si es posible, dejalo como está y pedí asesoramiento antes de volver a usarlo.
- Revisá tus copias de seguridad y verificá que no hayan sido alcanzadas por el ataque antes de restaurar nada.
Qué conviene aclarar
El informe describe el comportamiento de versiones puntuales de HYFLOCK y no implica que todos los archivos cifrados por esta familia puedan recuperarse, ni que otros ransomware tengan la misma debilidad. Tampoco reemplaza una evaluación del caso: lo que se puede rescatar solo se sabe después de analizar los equipos y los archivos afectados.
Cómo podemos ayudarte
En CM Data Recovery evaluamos cada caso de forma individual, sin prometer resultados que no se puedan sostener. Ofrecemos evaluación gratuita en nuestro laboratorio de Palermo y retiro sin cargo en CABA, para que no tengas que mover ni encender los equipos afectados.
Si te pasó algo así, conocé nuestro servicio de recuperación de datos de RAID, NAS y servidores y los precios de recuperación de RAID, NAS y servidores. Nuestros ingenieros evalúan tu caso sin cargo en el laboratorio de Palermo, CABA.
Créditos de la información original: Check Point (4 de noviembre de 2026).
Fuente original: Check Point Research: «HYFLOCK ransomware evolves with new builds and encryption weaknesses»