Interlock y Rhysida: IA en el Ecosistema de Ransomware

SOC Prime Team

Seguir

Interlock y Rhysida: IA en el Ecosistema de Ransomware

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

La investigación de IBM X-Force destaca una fuerte conexión entre los ecosistemas de ransomware Interlock (Hive0163) y Rhysida. El informe describe una red intrincada de familias de malware compartidas, cifradores especializados y brokers de acceso inicial coordinados. Interlock parece ser un grupo de amenazas altamente maduro que utiliza herramientas personalizadas como NodeSnake e InterlockRAT, y podría haber evolucionado a partir de operadores previamente asociados con Rhysida.

Investigación

X-Force llevó a cabo una investigación a largo plazo durante más de dos años, analizando muestras de malware, cadenas de ataque e infraestructuras de preparación. La investigación descubrió similitudes sustanciales de código en múltiples puertas traseras y siguió el desarrollo de cifradores dedicados como JunkFiction y Tomb. Los investigadores también mapearon conexiones entre actores de amenazas y brokers de acceso inicial mediante infraestructuras y herramientas superpuestas.

Mitigación

Las organizaciones deben implementar capacidades sólidas de detección y respuesta en endpoints para identificar comportamientos sospechosos de procesos, incluyendo actividad inesperada de PowerShell y cambios no autorizados en el registro. Es esencial parchear rápidamente los dispositivos de red expuestos a internet para reducir el riesgo de explotación, incluyendo vulnerabilidades como CVE-2026-20131. Imponer controles estrictos de WDAC y monitorear la actividad de herramientas RMM no aprobadas también puede limitar las operaciones posteriores al compromiso.

Respuesta

Si se sospecha de actividad de Interlock o Rhysida, aísle los sistemas impactados de inmediato para detener el movimiento lateral a través de túneles RDP o SOCKS5. Realice una revisión exhaustiva de las infraestructuras de preparación y verifique la presencia de herramientas de gestión remota no autorizadas como ConnectWise ScreenConnect. Revise los registros para detectar ejecuciones sospechosas de PowerShell e investigue cualquier cambio no autorizado relacionado con tareas programadas o servicios systemd.

graph TB %% Definición de clases classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef evasion fill:#bbf,stroke:#333,stroke-width:2px classDef execution fill:#dfd,stroke:#333,stroke-width:2px classDef persistence fill:#fdd,stroke:#333,stroke-width:2px classDef command_control fill:#ffd,stroke:#333,stroke-width:2px classDef discovery fill:#dff,stroke:#333,stroke-width:2px classDef lateral_movement fill:#dcd,stroke:#333,stroke-width:2px classDef impact fill:#f99,stroke:#333,stroke-width:2px classDef tool_malware fill:#eee,stroke:#333,stroke-width:1px %% Fase de acceso inicial action_drive_by[«Acción – Las víctimas son atraídas mediante sitios web fraudulentos, anuncios maliciosos o redirecciones de motores de búsqueda.»] class action_drive_by initial_access action_content_injection[«Acción – Uso de Sistemas de Distribución de Tráfico (TDS) como TAG-124 o ClickFix para redirigir a los usuarios.»] class action_content_injection initial_access action_subvert_trust[«Acción – Uso de certificados fraudulentos como los de Foshan Yongqiheng Trading Co., Ltd.»] class action_subvert_trust evasion %% Fase de ejecución y transferencia action_user_exec[«Acción – Ejecución de instaladores troyanizados (por ejemplo, Microsoft Teams, Chrome o Edge).»] class action_user_exec execution malware_initial_payload[«Malware – JunkFiction, NodeSnake o Endico Descargadores de primera etapa ejecutados mediante interacción del usuario.»] class malware_initial_payload tool_malware action_ingress_transfer[«Acción – Obtención de malware de segunda etapa desde servidores remotos de Comando y Control.»] class action_ingress_transfer execution malware_second_stage[«Malware – Supper o InterlockRAT Puertas traseras de segunda etapa obtenidas para facilitar el acceso remoto.»] class malware_second_stage tool_malware %% Fase de persistencia action_persistence_linux[«Acción – Variantes Linux de NodeSnake que crean nuevos servicios systemd.»] class action_persistence_linux persistence action_persistence_windows[«Acción – Persistencia en Windows Uso de modificaciones en la configuración del shell para mantener acceso persistente.»] class action_persistence_windows persistence %% Fase de comando y control action_c2[«Acción – Establecimiento de shells inversos y túneles SOCKS5 para comunicaciones sigilosas.»] class action_c2 command_control %% Fase de descubrimiento action_discovery_domain[«Acción – Enumeración de cuentas de dominio mediante comandos como net user /domain.»] class action_discovery_domain discovery action_discovery_groups[«Acción – Enumeración de grupos mediante net group domain admins /domain.»] class action_discovery_groups discovery %% Movimiento lateral e impacto action_lateral_move[«Acción – Movimiento dentro del entorno mediante sesiones RDP iniciadas a través de shells inversos.»] class action_lateral_move lateral_movement action_selective_exclusion[«Acción – Exclusión Selectiva Implementación de políticas WDAC personalizadas para bloquear Microsoft Defender o Sophos EDR.»] class action_selective_exclusion evasion action_impact_encryption[«Acción – Despliegue final del ransomware Interlock o Rhysida para cifrar los archivos de la víctima.»] class action_impact_encryption impact %% Conexiones action_drive_by –>|facilita| action_content_injection action_content_injection –>|conduce_a| action_user_exec action_user_exec –>|usa| malware_initial_payload malware_initial_payload –>|requiere| action_subvert_trust malware_initial_payload –>|activa| action_ingress_transfer action_ingress_transfer –>|descarga| malware_second_stage malware_second_stage –>|establece| action_persistence_linux malware_second_stage –>|establece| action_persistence_windows malware_second_stage –>|habilita| action_c2 action_c2 –>|realiza| action_discovery_domain action_c2 –>|realiza| action_discovery_groups action_discovery_domain –>|informa| action_lateral_move action_discovery_groups –>|informa| action_lateral_move action_lateral_move –>|conduce_a| action_selective_exclusion action_selective_exclusion –>|precede_a| action_impact_encryption

Interlock y Rhysida: IA en el Ecosistema de Ransomware

Resumen

Investigación

Mitigación

Respuesta

Flujo de Ataque

Detecciones

Puntos de persistencia posibles [ASEPs – Software/NTUSER Hive] (vía registry_event)

Descarga o subida vía Powershell (vía cmdline)

Posible enumeración del sistema (vía cmdline)

Posible descubrimiento remoto del sistema o verificación de conectividad (vía cmdline)

Posible enumeración de cuentas de administrador o grupo (vía cmdline)

Descubrimiento sospechoso de confianzas de dominio (vía cmdline)

Posibles verificaciones de evasión (vía powershell)

Binario/scrips sospechosos en ubicación de inicio automático (vía file_event)

Posible abuso de Telegram como canal de comando y control (vía dns_query)

Solicitud DNS de la comunidad de Steam realizada por un proceso sospechoso (vía dns_query)

IOCs (HashSha256) para detectar: Inteligencia Artificial de Seguridad: Interlock y Rhysida dentro del Ecosistema de Ransomware Parte 3

IOCs (HashSha256) para detectar: Inteligencia Artificial de Seguridad: Interlock y Rhysida dentro del Ecosistema de Ransomware Parte 2

IOCs (HashSha256) para detectar: Inteligencia Artificial de Seguridad: Interlock y Rhysida dentro del Ecosistema de Ransomware Parte 1

IOCs (SourceIP) para detectar: Inteligencia Artificial de Seguridad: Interlock y Rhysida dentro del Ecosistema de Ransomware

IOCs (DestinationIP) para detectar: Inteligencia Artificial de Seguridad: Interlock y Rhysida dentro del Ecosistema de Ransomware

Detección del descargador JunkFiction y script de PowerShell programado [Windows Powershell]

Detección de la puerta trasera Supper y descargador JunkFiction [Windows Process Creation]

Detección de la actividad de NodeSnake e InterlockRAT [Linux Process Creation]

Ejecución de simulación