InterLock: Análise Completa das Ferramentas de uma Operação de Ransomware

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

InterLock: Análise Completa das Ferramentas de uma Operação de Ransomware

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

InterLock é uma operação de ransomware de dupla extorsão ativa desde outubro de 2024, que rouba dados, opera um site de vazamento baseado em Tor e criptografa arquivos em ambientes FreeBSD/ESXi e Windows. A cadeia de intrusão usa instaladores MSI do ScreenConnect para acesso inicial, um backdoor NodeSnake multilíngue para persistência, um coletor de credenciais NTLM e um framework crypter personalizado que empacota as cargas úteis do ransomware. O tráfego de comando e controle depende de comunicação WebSocket protegida com RC4, apoiada por IPs estáticos de fallback e endpoints adicionais do Cloudflare Tunnel. O ransomware anexa a extensão .interlock, deixa uma nota de resgate contendo uma URL de negociação .onion e usa chaves derivadas de PRNG fracos que podem permitir a recuperação.

Investigação

O relatório analisa 15 amostras, incluindo quatro instaladores MSI do ScreenConnect, três implantes NodeSnake (JavaScript, Java e C++ nativo), um DLL ladrão de NTLM e quatro executáveis de ransomware. Todos os artefatos compartilham três endereços IP de C2 codificados e o mesmo loop de descriptografia crypter marcado pelo padrão de byte 488b041f483345f04889041e. Em sua forma nativa, o NodeSnake adiciona túnel TCP, sequestro de threads e anti-debugging. A variante de ransomware para Windows cria uma tarefa agendada diária e limpa os logs de eventos do Windows através do wevtapi.dll. A infraestrutura também inclui dois domínios protegidos pelo Let’s Encrypt e múltiplos subdomínios gratuitos do Cloudflare Tunnel.

Mitigação

Os defensores devem bloquear os IPs de C2 conhecidos e os domínios do Cloudflare Tunnel no perímetro. Se o ConnectWise ScreenConnect não for necessário, ele deve ser removido ou desativado. Os controles de segurança devem detectar o padrão de byte do crypter e o prefixo do handshake do WebSocket criptografado com RC4 92 01 88 fe. O monitoramento também deve cobrir a tarefa agendada chamada TaskSystem e qualquer criação de arquivos com a extensão .interlock. Controles de acesso de menor privilégio podem reduzir ainda mais a exposição à coleta de credenciais NTLM e ao abuso do rundll32.

Resposta

Se o InterLock for detectado, isole o host afetado, preserve o binário completo para análise forense e extraia a chave pública RSA-4096 incorporada junto com as chaves criptografadas por arquivo. Onde possível, tente a recuperação de chave usando o fraco rand() mais clock() PRNG se carimbos de tempo confiáveis estiverem disponíveis. Remova a tarefa de persistência TaskSystem, exclua os artefatos .interlock e restaure os dados impactados dos backups. Os usuários afetados devem ser notificados e o incidente de dupla extorsão deve ser relatado às autoridades.

"gráfico TB %% Definições de classe classDef ação fill:#99ccff classDef ferramenta fill:#ffcc99 classDef malware fill:#ff9999 classDef processo fill:#cccccc classDef operador fill:#ff9900 %% Acesso Inicial acesso_inicial["Ação – T1204.004 Execução de Usuário: Instalador MSI malicioso entregue"] class acesso_inicial ação msiexec_ferramenta["Ferramenta – Nome: Msiexec Técnica: T1218.007 Execução de Proxy de Binário do Sistema"] class msiexec_ferramenta ferramenta cliente_screenconnect["Malware – Nome: Cliente ScreenConnect Propósito: Componente de acesso remoto"] class cliente_screenconnect malware backdoor_nodesnake["Malware – Nome: Backdoor NodeSnake Capacidades: Shell de Windows interativo e comandos one-shot"] class backdoor_nodesnake malware %% Persistência persistência_tarefa["Ação – T1546 Execução Acionada por Evento: Tarefa agendada criada"] class persistência_tarefa ação tarefa_agendada["Processo – Nome: TaskSystem Agendamento: Diariamente às 20:00"] class tarefa_agendada processo auto_delete["Ação – T1070.009 Remoção de Indicador: Auto-exclusão após execução"] class auto_delete ação %% Acesso a Credenciais acesso_credenciais["Ação – T1556.008 Modificar Processo de Autenticação: Coleta de hashes NTLM"] class acesso_credenciais ação ntlmthief_dll["Ferramenta – Nome: DLL NtlmThief Função: Coletar hashes NTLM e forçar NTLMv1"] class ntlmthief_dll ferramenta %% Evasão de Defesa evasão_defesa["Ação – T1027 Arquivos ou Informações Ofuscadas: Cargas empacotadas com crypter personalizado"] class evasão_defesa ação crypter_personalizado["Ferramenta – Nome: Crypter Personalizado Técnicas: XOR, código lixo, compilação após entrega, compressão, binários desnudos"] class crypter_personalizado ferramenta %% Comando e Controle c2_comunicação["Ação – T1071.001 Protocolo de Camada de Aplicação: Canal WebSocket (RC4 criptografado)"] class c2_comunicação ação websocket_impl["Ferramenta – Nome: Cliente WebSocket Recursos: URLs dinâmicos via Cloudflare Tunnel"] class websocket_impl ferramenta %% Serviços de Proxy serviço_proxy["Ação – T1090 Proxy: Proxy interno e multi-hop"] class serviço_proxy ação cloudflare_tunnel["Ferramenta – Nome: Cloudflare Tunnel Propósito: Resolução dinâmica de URLs C2"] class cloudflare_tunnel ferramenta túnel_protocolo["Ação – T1572 Túnel de Protocolo: Retransmissões de túnel TCP"] class túnel_protocolo ação %% Escalação de Privilégio / Evasão de Defesa priv_esc["Ação – T1055.003 Injeção de Processo: Sequestro de Execução de Thread"] class priv_esc ação injeção_tls["Ação – T1055.005 Injeção de Processo: Injeção de Armazenamento Local de Thread"] class injeção_tls ação ferramenta_injeção_processo["Ferramenta – Nome: Rotina de Injeção de Processo"] class ferramenta_injeção_processo ferramenta %% Descoberta descoberta["Ação – T1016 Descoberta de Configuração de Rede do Sistema: Coletar informações do sistema e da rede"] class descoberta ação %% Coleta coleta["Ação – T1560.001 Arquivo via Utilitário e T1560.003 Arquivo via Método Personalizado: Pacote de dados exfiltrados"] class coleta ação %% Exfiltração exfiltração["Ação – T1020 Exfiltração Automatizada e T1048.002 Exfiltração Sobre Protocolo Não-C2 Assimétrico Criptografado"] class exfiltração ação %% Impacto impacto["Ação – T1486 Dados Criptografados para Impacto: Ransomware InterLock criptografa arquivos"] class impacto ação ransomware["Malware – Nome: Ransomware InterLock Criptografia: AES-256-CBC e RSA-4096 OAEP Extensão: .interlock"] class ransomware malware nota_resgate["Ação – T1490 Inibir Recuperação do Sistema: Limpar logs de eventos e deixar nota de resgate"] class nota_resgate ação limpeza_artefato["Ação – T1070 Remoção de Indicador: Excluir artefatos e arquivos"] class limpeza_artefato ação %% Conexões acesso_inicial –>|usa| msiexec_ferramenta msiexec_ferramenta –>|instala| cliente_screenconnect cliente_screenconnect –>|deixa| backdoor_nodesnake backdoor_nodesnake –>|cria| persistência_tarefa persistência_tarefa –>|cria| tarefa_agendada tarefa_agendada –>|executa| auto_delete backdoor_nodesnake –>|habilita| acesso_credenciais acesso_credenciais –>|usa| ntlmthief_dll backdoor_nodesnake –>|ofusca| evasão_defesa evasão_defesa –>|emprega| crypter_personalizado backdoor_nodesnake –>|comunica via| c2_comunicação c2_comunicação –>|usa| websocket_impl websocket_impl –>|rota através| cloudflare_tunnel cloudflare_tunnel –>|suporta| serviço_proxy serviço_proxy –>|inclui| túnel_protocolo backdoor_nodesnake –>|executa| priv_esc priv_esc –>|usa| ferramenta_injeção_processo ferramenta_injeção_processo –>|também executa| injeção_tls backdoor_nodesnake –>|executa| descoberta backdoor_nodesnake –>|empacota dados com| coleta coleta –>|exfiltra via| exfiltração exfiltração –>|entrega carga útil para| impacto impacto –>|usa| ransomware ransomware –>|deixa| nota_resgate nota_resgate –>|aciona| limpeza_artefato %% Atribuições de classe class msiexec_ferramenta ferramenta class cliente_screenconnect malware class backdoor_nodesnake malware class ntlmthief_dll ferramenta class crypter_personalizado ferramenta class websocket_impl ferramenta class cloudflare_tunnel ferramenta class ferramenta_injeção_processo ferramenta class ransomware malware "

InterLock: Análise Completa das Ferramentas de uma Operação de Ransomware

Resumo

Investigação

Mitigação

Resposta

Fluxo de Ataque

Detecções

Comunicação Suspeita de Domínio Trycloudflare (via dns)

Execução Suspeita do Perfil de Usuário Público (via process_creation)

Uso Possível de Schtasks ou AT para Persistência (via cmdline)

Uso Possível de PING para Execução Atrasada (via cmdline)

Comando e Controle Suspeito por Solicitação DNS de Domínio de Nível Superior (TLD) Incomum (via dns)

Enumeração Possível do Sistema (via cmdline)

Enumeração ou Manipulação Possível de Conta ou Grupo (via cmdline)

IOCs (Emails) para detectar: InterLock: desmontagem completa de ferramentas de uma operação de ransomware

IOCs (SourceIP) para detectar: InterLock: desmontagem completa de ferramentas de uma operação de ransomware

IOCs (HashSha256) para detectar: InterLock: desmontagem completa de ferramentas de uma operação de ransomware

IOCs (DestinationIP) para detectar: InterLock: desmontagem completa de ferramentas de uma operação de ransomware

IOCs (HashMd5) para detectar: InterLock: desmontagem completa de ferramentas de uma operação de ransomware

Detecção de Handshake e Padrão de URL de WebSocket NodeSnake [Conexão de Rede do Windows]

Detectar Variante ELF InterLock Usando sysconf para Contagem de CPU [Criação de Processo Linux]

Detectar Método de Execução de Implante JS NodeSnake e DLL InterLock [Criação de Processo do Windows]

Detecção de Ransomware InterLock e Estágio de Saída de Comando NodeSnake [Evento de Arquivo do Windows]

Execução de Simulação