InterLock: Повний розбір інструментів операції з програмами-вимагачами

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

InterLock: Повний розбір інструментів операції з програмами-вимагачами

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

InterLock — це операція подвійнoгo здирництва, що діє з жовтня 2024 року, яка викрадає дані, має витік на сайті Tor і шифрує файли в середовищах FreeBSD/ESXi та Windows. Ланцюг вторгнення використовує ScreenConnect MSI-інсталятори для початкового доступу, багатомовний бекдор NodeSnake для постійності, механізм збору облікових даних NTLM і спеціальну систему шифрування, що пакує навантаження програми-здирника. Трафік командно-контрольного сервера покладається на WebSocket-комунікацію, захищену RC4, підтриману статичними IP-адресами для підтримки та додатковими кінцевими точками Cloudflare Tunnel. Програма-здирник додає розширення .interlock, залишає записку зі здирництвом, що містить URL-адресу переговорів .onion і використовує слабкі ключі, згенеровані PRNG, які можуть дозволити відновлення.

Розслідування

Звіт аналізує 15 зразків, включаючи чотири інсталятори MSI ScreenConnect, три імпланти NodeSnake (JavaScript, Java та нативний C++), одну DLL викрадача NTLM і чотири виконувані файли програм-здирників. Усі артефакти поділяють три жорстко зашиті IP-адреси C2 і той самий цикл дешифрування криптера, позначений байтовим шаблоном 488b041f483345f04889041e. У своїй нативній формі NodeSnake додає тунелювання TCP, викрадення потоків і протидиагностування. Вона створює щоденне заплановане завдання та очищає журнали подій Windows через wevtapi.dll. Інфраструктура також включає два домени, захищені Let’s Encrypt, і кілька безкоштовних піддоменів Cloudflare Tunnel.

Захист

Захисники повинні блокувати відомі IP-адреси C2 і домени Cloudflare Tunnel на периметрі. Якщо ConnectWise ScreenConnect не потрібен, його слід видалити або відключити. Засоби безпеки повинні виявляти байтовий шаблон криптера та префікс рукостискання зашифрованого WebSocket з RC4 92 01 88 fe. Також слід контролювати заплановане завдання з назвою TaskSystem і будь-яке створення файлів з розширенням .interlock. Контроль доступу з найменшими привілеями може додатково зменшити ризик збору облікових даних NTLM і зловживання інструментом rundll32.

Відповідь

Якщо виявлено InterLock, ізолюйте постраждалий хост, збережіть повний бінарний файл для судової експертизи і витягніть вбудований публічний ключ RSA-4096 разом із зашифрованими ключами для кожного файлу. За можливості намагайтесь відновити ключі, використовуючи слабенький rand() плюс clock() ГВП якщо надійні часові штампи доступні. Видаліть заплановане завдання TaskSystem, видаліть артефакти .interlock і відновіть постраждалі дані з резервних копій. Постраждалих користувачів слід повідомити, а подію з подвійним здирництвом слід повідомити в правоохоронні органи.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Initial Access initial_access["Action – T1204.004 User Execution: Malicious MSI installer delivered"] class initial_access action msiexec_tool["Tool – Name: Msiexec Technique: T1218.007 System Binary Proxy Execution"] class msiexec_tool tool screenconnect_client["Malware – Name: ScreenConnect client Purpose: Remote access component"] class screenconnect_client malware nodesnake_backdoor["Malware – Name: NodeSnake backdoor Capabilities: Interactive Windows shell and oneu2011shot commands"] class nodesnake_backdoor malware %% Persistence persistence_task["Action – T1546 Event Triggered Execution: Scheduled task created"] class persistence_task action scheduled_task["Process – Name: TaskSystem Schedule: Daily at 20:00"] class scheduled_task process self_delete["Action – T1070.009 Indicator Removal: Selfu2011deletion after execution"] class self_delete action %% Credential Access credential_access["Action – T1556.008 Modify Authentication Process: NTLM hash harvesting"] class credential_access action ntlmthief_dll["Tool – Name: NtlmThief DLL Function: Harvest NTLM hashes and force NTLMv1"] class ntlmthief_dll tool %% Defense Evasion defense_evasion["Action – T1027 Obfuscated Files or Information: Payloads packed with custom crypter"] class defense_evasion action custom_crypter["Tool – Name: Custom Crypter Techniques: XOR, junk code, compileu2011afteru2011delivery, compression, stripped binaries"] class custom_crypter tool %% Command and Control c2_communication["Action – T1071.001 Application Layer Protocol: WebSocket channel (RC4 encrypted)"] class c2_communication action websocket_impl["Tool – Name: WebSocket client Features: Dynamic URLs via Cloudflare Tunnel"] class websocket_impl tool %% Proxy Services proxy_service["Action – T1090 Proxy: Internal and multiu2011hop proxying"] class proxy_service action cloudflare_tunnel["Tool – Name: Cloudflare Tunnel Purpose: Dynamic resolution of C2 URLs"] class cloudflare_tunnel tool protocol_tunneling["Action – T1572 Protocol Tunneling: TCP tunnel relays"] class protocol_tunneling action %% Privilege Escalation / Defense Evasion priv_esc["Action – T1055.003 Process Injection: Thread Execution Hijacking"] class priv_esc action tls_injection["Action – T1055.005 Process Injection: Thread Local Storage injection"] class tls_injection action process_injection_tool["Tool – Name: Process Injection routine"] class process_injection_tool tool %% Discovery discovery["Action – T1016 System Network Configuration Discovery: Collect system and network info"] class discovery action %% Collection collection["Action – T1560.001 Archive via Utility and T1560.003 Archive via Custom Method: Package exfiltrated data"] class collection action %% Exfiltration exfiltration["Action – T1020 Automated Exfiltration and T1048.002 Exfiltration Over Asymmetric Encrypted Nonu2011C2 Protocol"] class exfiltration action %% Impact impact["Action – T1486 Data Encrypted for Impact: InterLock ransomware encrypts files"] class impact action ransomware["Malware – Name: InterLock ransomware Encryption: AESu2011256u2011CBC and RSAu20114096 OAEP Extension: .interlock"] class ransomware malware ransom_note["Action – T1490 Inhibit System Recovery: Clear event logs and drop ransom note"] class ransom_note action artifact_cleanup["Action – T1070 Indicator Removal: Delete artifacts and files"] class artifact_cleanup action %% Connections initial_access –>|uses| msiexec_tool msiexec_tool –>|installs| screenconnect_client screenconnect_client –>|drops| nodesnake_backdoor nodesnake_backdoor –>|creates| persistence_task persistence_task –>|creates| scheduled_task scheduled_task –>|executes| self_delete nodesnake_backdoor –>|enables| credential_access credential_access –>|uses| ntlmthief_dll nodesnake_backdoor –>|obfuscates| defense_evasion defense_evasion –>|employs| custom_crypter nodesnake_backdoor –>|communicates via| c2_communication c2_communication –>|uses| websocket_impl websocket_impl –>|routes through| cloudflare_tunnel cloudflare_tunnel –>|supports| proxy_service proxy_service –>|includes| protocol_tunneling nodesnake_backdoor –>|performs| priv_esc priv_esc –>|uses| process_injection_tool process_injection_tool –>|also performs| tls_injection nodesnake_backdoor –>|performs| discovery nodesnake_backdoor –>|packages data with| collection collection –>|exfiltrates via| exfiltration exfiltration –>|delivers payload to| impact impact –>|uses| ransomware ransomware –>|leaves| ransom_note ransom_note –>|triggers| artifact_cleanup %% Class assignments class msiexec_tool tool class screenconnect_client malware class nodesnake_backdoor malware class ntlmthief_dll tool class custom_crypter tool class websocket_impl tool class cloudflare_tunnel tool class process_injection_tool tool class ransomware malware "

InterLock: Повний розбір інструментів операції з програмами-вимагачами

Резюме

Розслідування

Захист

Відповідь

Потік атак

Виявлення

Підозрілий зв’язок домену Trycloudflare (через dns)

Підозріле виконання з профілю публічного користувача (через створення процесу)

Можливе використання Schtasks або AT для створення наполегливості (через командний рядок)

Можливе використання PING для відкладеного виконання (через командний рядок)

Підозріла команда та контроль за запитом DNS з незвичним доменом верхнього рівня (через dns)

Можлива системна перевірка (через командний рядок)

Можливий облік або маніпуляція групою (через командний рядок)

IOC (Emails) для виявлення: InterLock: повне розбиття інструментарію операції програми-здирника

IOC (SourceIP) для виявлення: InterLock: повне розбиття інструментарію операції програми-здирника

IOC (HashSha256) для виявлення: InterLock: повне розбиття інструментарію операції програми-здирника

IOC (DestinationIP) для виявлення: InterLock: повне розбиття інструментарію операції програми-здирника

IOC (HashMd5) для виявлення: InterLock: повне розбиття інструментарію операції програми-здирника

Виявлення рукостискання та шаблону URL WebSocket NodeSnake [Підключення до мережі Windows]

Виявити ELF варіант InterLock з використанням sysconf для підрахунку ЦП [Створення процесу Linux]

Виявлення методів виконання імпланта NodeSnake JS і DLL InterLock [Створення процесу Windows]

Виявлення програми-здирника InterLock та підготовка виходу команд NodeSnake [Події файлу Windows]

Виконання симуляції