InterLock: 랜섬웨어 작전의 도구 전체 분석

Ruslan Mikhalov SOC Prime에서 위협 연구 책임자

팔로우

Detection stack

AIDR
Alert
ETL
Query

위협 보고서
공격 흐름
탐지
시뮬레이션

요약

InterLock는 2024년 10월부터 활동 중인 이중 갈취 랜섬웨어 작전으로, 데이터를 훔치고, Tor 기반 유출 사이트를 운영하며, FreeBSD/ESXi 및 Windows 환경에서 파일을 암호화합니다. 침입 체인에는 초기 접근을 위한 ScreenConnect MSI 설치 프로그램, 지속성을 위한 다중 언어 Support 백도어, NTLM 자격 증명 수집기, 그리고 랜섬웨어 페이로드를 패키징하는 맞춤형 암호화 프레임워크가 포함됩니다. 명령 및 제어 트래픽은 RC4로 보호된 WebSocket 통신에 의존하며, 백업 정적 IP와 추가 Cloudflare Tunnel 엔드포인트가 지원합니다. 랜섬웨어는 .interlock 확장을 추가하고 .onion 협상 URL을 포함하는 랜섬 노트를 떨어뜨리며, 복구를 가능하게 할 수 있는 약한 PRNG에서 유도된 키를 사용합니다.

조사

이 보고서는 네 개의 ScreenConnect MSI 설치 프로그램, JavaScript, Java 및 네이티브 C++의 세 개의 NodeSnake 임플란트, 하나의 NTLM 도둑 DLL, 네 개의 랜섬웨어 실행 파일을 포함한 15개의 샘플을 분석합니다. 모든 아티팩트는 세 개의 하드코딩된 C2 IP 주소와 동일한 암호해독 루프를 공유하고 있으며, 바이트 패턴으로 표시됩니다. 488b041f483345f04889041e. NodeSnake는 네이티브 형태에서 TCP 터널링, 스레드 하이재킹 및 디버깅 방지를 추가합니다. Windows 랜섬웨어 변종은 일일 예약 작업을 생성하고, wevtapi.dll을 통해 Windows 이벤트 로그를 지웁니다. 인프라에는 또한 두 개의 Let’s Encrypt 보호 도메인과 여러 무료 Cloudflare Tunnel 하위 도메인이 포함됩니다.

완화

수비자는 알려진 C2 IP와 Cloudflare Tunnel 도메인을 페리미터에서 차단해야 합니다. ConnectWise ScreenConnect가 필요하지 않은 경우 제거하거나 비활성화해야 합니다. 보안 제어는 암호화된 바이트 패턴과 RC4로 암호화된 WebSocket 핸드셰이크 접두사를 탐지해야 합니다. 92 01 88 fe. 모니터링은 TaskSystem이라는 예약 작업과 .interlock 확장을 가진 파일 생성도 다루어야 합니다. 최소 권한 액세스 제어는 NTLM 자격 증명 수집 및 rundll32의 남용에 대한 노출을 더욱 줄일 수 있습니다.

응답

InterLock가 감지되면 영향을 받은 호스트를 격리하고, 포렌식 분석을 위해 전체 이진 파일을 보존하며, RSA-4096 공개 키와 암호화된 파일별 키를 추출해야 합니다. 가능할 경우 신뢰할 수 있는 타임스탬프가 있는 약한 rand() 플러스 clock() PRNG을 사용하여 키 복구를 시도하십시오. TaskSystem의 영구 작업을 제거하고 .interlock 아티팩트를 삭제하며 백업에서 영향을 받은 데이터를 복원하십시오. 영향을 받은 사용자에게 통보하고 이중 갈취 사건을 법 집행 기관에 보고해야 합니다.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Initial Access initial_access["Action – T1204.004 User Execution: Malicious MSI installer delivered"] class initial_access action msiexec_tool["Tool – Name: Msiexec Technique: T1218.007 System Binary Proxy Execution"] class msiexec_tool tool screenconnect_client["Malware – Name: ScreenConnect client Purpose: Remote access component"] class screenconnect_client malware nodesnake_backdoor["Malware – Name: NodeSnake backdoor Capabilities: Interactive Windows shell and oneu2011shot commands"] class nodesnake_backdoor malware %% Persistence persistence_task["Action – T1546 Event Triggered Execution: Scheduled task created"] class persistence_task action scheduled_task["Process – Name: TaskSystem Schedule: Daily at 20:00"] class scheduled_task process self_delete["Action – T1070.009 Indicator Removal: Selfu2011deletion after execution"] class self_delete action %% Credential Access credential_access["Action – T1556.008 Modify Authentication Process: NTLM hash harvesting"] class credential_access action ntlmthief_dll["Tool – Name: NtlmThief DLL Function: Harvest NTLM hashes and force NTLMv1"] class ntlmthief_dll tool %% Defense Evasion defense_evasion["Action – T1027 Obfuscated Files or Information: Payloads packed with custom crypter"] class defense_evasion action custom_crypter["Tool – Name: Custom Crypter Techniques: XOR, junk code, compileu2011afteru2011delivery, compression, stripped binaries"] class custom_crypter tool %% Command and Control c2_communication["Action – T1071.001 Application Layer Protocol: WebSocket channel (RC4 encrypted)"] class c2_communication action websocket_impl["Tool – Name: WebSocket client Features: Dynamic URLs via Cloudflare Tunnel"] class websocket_impl tool %% Proxy Services proxy_service["Action – T1090 Proxy: Internal and multiu2011hop proxying"] class proxy_service action cloudflare_tunnel["Tool – Name: Cloudflare Tunnel Purpose: Dynamic resolution of C2 URLs"] class cloudflare_tunnel tool protocol_tunneling["Action – T1572 Protocol Tunneling: TCP tunnel relays"] class protocol_tunneling action %% Privilege Escalation / Defense Evasion priv_esc["Action – T1055.003 Process Injection: Thread Execution Hijacking"] class priv_esc action tls_injection["Action – T1055.005 Process Injection: Thread Local Storage injection"] class tls_injection action process_injection_tool["Tool – Name: Process Injection routine"] class process_injection_tool tool %% Discovery discovery["Action – T1016 System Network Configuration Discovery: Collect system and network info"] class discovery action %% Collection collection["Action – T1560.001 Archive via Utility and T1560.003 Archive via Custom Method: Package exfiltrated data"] class collection action %% Exfiltration exfiltration["Action – T1020 Automated Exfiltration and T1048.002 Exfiltration Over Asymmetric Encrypted Nonu2011C2 Protocol"] class exfiltration action %% Impact impact["Action – T1486 Data Encrypted for Impact: InterLock ransomware encrypts files"] class impact action ransomware["Malware – Name: InterLock ransomware Encryption: AESu2011256u2011CBC and RSAu20114096 OAEP Extension: .interlock"] class ransomware malware ransom_note["Action – T1490 Inhibit System Recovery: Clear event logs and drop ransom note"] class ransom_note action artifact_cleanup["Action – T1070 Indicator Removal: Delete artifacts and files"] class artifact_cleanup action %% Connections initial_access –>|uses| msiexec_tool msiexec_tool –>|installs| screenconnect_client screenconnect_client –>|drops| nodesnake_backdoor nodesnake_backdoor –>|creates| persistence_task persistence_task –>|creates| scheduled_task scheduled_task –>|executes| self_delete nodesnake_backdoor –>|enables| credential_access credential_access –>|uses| ntlmthief_dll nodesnake_backdoor –>|obfuscates| defense_evasion defense_evasion –>|employs| custom_crypter nodesnake_backdoor –>|communicates via| c2_communication c2_communication –>|uses| websocket_impl websocket_impl –>|routes through| cloudflare_tunnel cloudflare_tunnel –>|supports| proxy_service proxy_service –>|includes| protocol_tunneling nodesnake_backdoor –>|performs| priv_esc priv_esc –>|uses| process_injection_tool process_injection_tool –>|also performs| tls_injection nodesnake_backdoor –>|performs| discovery nodesnake_backdoor –>|packages data with| collection collection –>|exfiltrates via| exfiltration exfiltration –>|delivers payload to| impact impact –>|uses| ransomware ransomware –>|leaves| ransom_note ransom_note –>|triggers| artifact_cleanup %% Class assignments class msiexec_tool tool class screenconnect_client malware class nodesnake_backdoor malware class ntlmthief_dll tool class custom_crypter tool class websocket_impl tool class cloudflare_tunnel tool class process_injection_tool tool class ransomware malware "

InterLock: 랜섬웨어 작전의 도구 전체 분석

요약

조사

완화

응답

공격 흐름

탐지

의심스러운 Trycloudflare 도메인 통신 (dns를 통해)

공용 사용자 프로필에서의 의심스러운 실행 (프로세스 생성 통해)

지속성을 위한 가능한 Schtasks 또는 AT 사용 (cmdline 통해)

지연 실행을 위한 가능한 PING 사용 (cmdline 통해)

비정상적인 최상위 도메인 (TLD) DNS 요청으로 인한 의심스러운 명령 및 제어 (dns를 통해)

시스템 열거 가능성 (cmdline 통해)

계정 또는 그룹 열거 / 조작 가능성 (cmdline 통해)

IOC (이메일) 탐지: InterLock: 랜섬웨어 작전의 전체 도구 분해

IOC (SourceIP) 탐지: InterLock: 랜섬웨어 작전의 전체 도구 분해

IOC (HashSha256) 탐지: InterLock: 랜섬웨어 작전의 전체 도구 분해

IOC (DestinationIP) 탐지: InterLock: 랜섬웨어 작전의 전체 도구 분해

IOC (HashMd5) 탐지: InterLock: 랜섬웨어 작전의 전체 도구 분해

NodeSnake WebSocket 핸드셰이크 및 URL 패턴 탐지 [Windows 네트워크 연결]

sysconf를 사용한 InterLock ELF 변종 탐지 [Linux 프로세스 생성]

NodeSnake JS 임플란트 및 InterLock DLL 실행 방법 탐지 [Windows 프로세스 생성]

InterLock 랜섬웨어 및 NodeSnake 명령 출력 스테이징 탐지 [Windows 파일 이벤트]

시뮬레이션 실행