Interlock e Rhysida: IA no Ecossistema de Ransomware

graph TB %% Definições de classes classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef evasion fill:#bbf,stroke:#333,stroke-width:2px classDef execution fill:#dfd,stroke:#333,stroke-width:2px classDef persistence fill:#fdd,stroke:#333,stroke-width:2px classDef command_control fill:#ffd,stroke:#333,stroke-width:2px classDef discovery fill:#dff,stroke:#333,stroke-width:2px classDef lateral_movement fill:#dcd,stroke:#333,stroke-width:2px classDef impact fill:#f99,stroke:#333,stroke-width:2px classDef tool_malware fill:#eee,stroke:#333,stroke-width:1px %% Fase de acesso inicial action_drive_by[“<b>Ação</b> – <b idea=’T1189 Comprometimento por Navegação (Drive-by Compromise)</b><br/>As vítimas são atraídas por sites fraudulentos,<br/>anúncios maliciosos ou redirecionamentos em mecanismos de busca.”] class action_drive_by initial_access action_content_injection[“<b>Ação</b> – <b idea=’T1204 Injeção de Conteúdo</b><br/>Uso de Sistemas de Distribuição de Tráfego (TDS)<br/>como TAG-124 ou ClickFix para redirecionar usuários.”] class action_content_injection initial_access action_subvert_trust[“<b>Ação</b> – <b idea=’T1553 Subversão de Controles de Confiança: Assinatura de Código</b><br/>Uso de certificados fraudulentos, como os da<br/>Foshan Yongqiheng Trading Co., Ltd.”] class action_subvert_trust evasion %% Fase de execução e transferência action_user_exec[“<b>Ação</b> – <b idea=’T1204 Execução pelo Usuário</b><br/>Execução de instaladores trojanizados<br/>(por exemplo, Microsoft Teams, Chrome ou Edge).”] class action_user_exec execution malware_initial_payload[“<b>Malware</b> – <b idea=’Payloads’>JunkFiction, NodeSnake ou Endico</b><br/>Baixadores de estágio inicial executados<br/>por meio da interação do usuário.”] class malware_initial_payload tool_malware action_ingress_transfer[“<b>Ação</b> – <b idea=’T1105 Transferência de Ferramentas para Dentro do Ambiente</b><br/>Recuperação de malware de segundo estágio a partir de<br/>servidores remotos de Comando e Controle.”] class action_ingress_transfer execution malware_second_stage[“<b>Malware</b> – <b idea=’Backdoors’>Supper ou InterlockRAT</b><br/>Backdoors de segundo estágio obtidos<br/>para facilitar o acesso remoto.”] class malware_second_stage tool_malware %% Fase de persistência action_persistence_linux[“<b>Ação</b> – <b idea=’T1543.003 Scripts de Inicialização no Boot ou Login: Serviço Systemd</b><br/>Variantes Linux do NodeSnake criando<br/>novos serviços systemd.”] class action_persistence_linux persistence action_persistence_windows[“<b>Ação</b> – <b idea=’T1547 Modificação da Configuração do Shell Unix’>Persistência no Windows</b><br/>Uso de modificações na configuração do shell<br/>para manter acesso persistente.”] class action_persistence_windows persistence %% Fase de comando e controle action_c2[“<b>Ação</b> – <b idea=’T1219 Software de Acesso Remoto</b><br/>Estabelecimento de shells reversos e<br/>túneis SOCKS5 para comunicação furtiva.”] class action_c2 command_control %% Fase de descoberta action_discovery_domain[“<b>Ação</b> – <b idea=’T1087.002 Descoberta de Contas: Conta de Domínio</b><br/>Enumeração de contas de domínio usando<br/>comandos como net user /domain.”] class action_discovery_domain discovery action_discovery_groups[“<b>Ação</b> – <b idea=’T1069.002 Descoberta de Grupos de Permissão: Grupos de Domínio</b><br/>Enumeração de grupos usando<br/>net group domain admins /domain.”] class action_discovery_groups discovery %% Movimento lateral e impacto action_lateral_move[“<b>Ação</b> – <b idea=’T1210 Exploração de Serviços Remotos</b><br/>Movimentação pelo ambiente através de sessões RDP<br/>iniciadas por shells reversos.”] class action_lateral_move lateral_movement action_selective_exclusion[“<b>Ação</b> – <b idea=’Evasão de Defesas’>Exclusão Seletiva</b><br/>Implantação de políticas WDAC personalizadas para bloquear<br/>o Microsoft Defender ou o Sophos EDR.”] class action_selective_exclusion evasion action_impact_encryption[“<b>Ação</b> – <b idea=’T1486 Dados Criptografados para Impacto</b><br/>Implantação final do ransomware Interlock ou Rhysida<br/>para criptografar os arquivos da vítima.”] class action_impact_encryption impact %% Conexões action_drive_by –>|facilita| action_content_injection action_content_injection –>|leva_a| action_user_exec action_user_exec –>|usa| malware_initial_payload malware_initial_payload –>|requer| action_subvert_trust malware_initial_payload –>|aciona| action_ingress_transfer action_ingress_transfer –>|baixa| malware_second_stage malware_second_stage –>|estabelece| action_persistence_linux malware_second_stage –>|estabelece| action_persistence_windows malware_second_stage –>|habilita| action_c2 action_c2 –>|executa| action_discovery_domain action_c2 –>|executa| action_discovery_groups action_discovery_domain –>|fornece_informações_para| action_lateral_move action_discovery_groups –>|fornece_informações_para| action_lateral_move action_lateral_move –>|leva_a| action_selective_exclusion action_selective_exclusion –>|precede| action_impact_encryption

Fluxo de Ataque