InterLock: Vollständige Werkzeuganalyse einer Ransomware-Operation

Ruslan Mikhalov Leiter der Bedrohungsforschung bei SOC Prime

Folgen

InterLock: Vollständige Werkzeuganalyse einer Ransomware-Operation

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

InterLock ist eine doppelte Erpressungs-Ransomware-Operation, die seit Oktober 2024 aktiv ist und Daten stiehlt, eine auf Tor basierende Leak-Site betreibt sowie Dateien in FreeBSD/ESXi- und Windows-Umgebungen verschlüsselt. Die Angriffs-Kette verwendet ScreenConnect MSI-Installationsprogramme für den ersten Zugriff, eine mehrsprachige NodeSnake-Backdoor für die Persistenz, einen NTLM-Zugangsdaten-Dieb und ein benutzerdefiniertes Crypter-Framework, das die Ransomware-Payloads verpackt. Für den Befehl- und Steuerverkehr wird auf eine WebSocket-Kommunikation zurückgegriffen, die mit RC4 geschützt ist, unterstützt durch statische Fallback-IP-Adressen und zusätzliche Cloudflare Tunnel-Endpunkte. Die Ransomware fügt die Erweiterung .interlock hinzu, hinterlässt eine Lösegeldforderung, die eine .onion-Verhandlungs-URL enthält, und verwendet schwache PRNG-abgeleitete Schlüssel, die zu einer Wiederherstellung führen könnten.

Untersuchung

Der Bericht analysiert 15 Proben, darunter vier ScreenConnect MSI-Installationsprogramme, drei NodeSnake-Injekte (JavaScript, Java und native C++), eine NTLM-Dieb-DLL und vier Ransomware-Ausführungsdateien. Alle Artefakte teilen sich drei fest codierte C2-IP-Adressen und die gleiche Crypter-Entschleifungsschleife, gekennzeichnet durch das Byte-Muster 488b041f483345f04889041e. In seiner nativen Form fügt NodeSnake TCP-Tunneling, Thread-Entführung und Anti-Debugging hinzu. Die Windows-Ransomware-Variante erstellt eine tägliche geplante Aufgabe und lehrt Windows-Ereignisprotokolle über wevtapi.dll. Die Infrastruktur umfasst auch zwei Let’s Encrypt-geschützte Domains und mehrere kostenlose Cloudflare Tunnel-Subdomains.

Minderung

Verteidiger sollten die bekannten C2-IP-Adressen und die Cloudflare Tunnel-Domains am Netzwerk-Perimeter blockieren. Wenn ConnectWise ScreenConnect nicht benötigt wird, sollte es entfernt oder deaktiviert werden. Sicherheitskontrollen sollten das Byte-Muster des Crypters und das RC4-verschlüsselte WebSocket-Handshake-Präfix erkennen 92 01 88 fe. Überwachungen sollten auch die geplante Aufgabe mit dem Namen TaskSystem und jede Erstellung von Dateien mit der .interlock-Erweiterung umfassen. Zugriffssteuerungen mit minimalen Rechten können das Risiko der NTLM-Zugangsdaten-Erfassung und den Missbrauch von rundll32 weiter reduzieren.

Reaktion

Wenn InterLock entdeckt wird, isolieren Sie den betroffenen Host, bewahren Sie das vollständige Binärsystem zur forensischen Analyse auf und extrahieren Sie den eingebetteten RSA-4096-Öffentlichkeits-Schlüssel sowie die verschlüsselten per-Datei-Schlüssel. Wo möglich, versuchen Sie die Schlüsselwiederherstellung mit dem schwachen rand() plus clock() PRNG, wenn zuverlässige Zeitstempel verfügbar sind. Entfernen Sie die TaskSystem-Persistenzaufgabe, löschen Sie die .interlock-Artefakte und stellen Sie die betroffenen Daten aus Backups wieder her. Betroffene Benutzer sollten benachrichtigt werden, und der Doppelerpressungs-Vorfall sollte den Strafverfolgungsbehörden gemeldet werden.

"Graph TB %% Klassendefinitionen classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Erstzugriff initial_access["Aktion – T1204.004 Benutzer Ausführung: Bösartiger MSI-Installer ausgeliefert"] class initial_access action msiexec_tool["Werkzeug – Name: Msiexec Technik: T1218.007 System Binary Proxy Execution"] class msiexec_tool tool screenconnect_client["Malware – Name: ScreenConnect Client Zweck: Fernzugriffskomponente"] class screenconnect_client malware nodesnake_backdoor["Malware – Name: NodeSnake Backdoor Fähigkeiten: Interaktive Windows-Shell und einmalige Befehle"] class nodesnake_backdoor malware %% Persistenz persistence_task["Aktion – T1546 Ereignisgesteuerte Ausführung: Geplante Aufgabe erstellt"] class persistence_task action scheduled_task["Prozess – Name: TaskSystem Zeitplan: Täglich um 20:00"] class scheduled_task process self_delete["Aktion – T1070.009 Indikatoren-Entfernung: Selbstlöschung nach Ausführung"] class self_delete action %% Credential Zugriff credential_access["Aktion – T1556.008 Authentifizierungsprozess ändern: NTLM-Hash-Erfassung"] class credential_access action ntlmthief_dll["Werkzeug – Name: NtlmThief DLL Funktion: NTLM-Hashes erfassen und NTLMv1 erzwingen"] class ntlmthief_dll tool %% Abwehr Umgehung fefense_evasion["Aktion – T1027 Verschleierung von Dateien oder Informationen: Payloads, die mit benutzerdefinierter Crypter verpackt sind"] class defense_evasion action custom_crypter["Werkzeug – Name: Benutzerdefinierter Crypter Techniken: XOR, Junk-Code, Kompilierung nach Lieferung, Komprimierung, reduzierte Binärdateien"] class custom_crypter tool %% Befehl und Kontrolle c2_communication["Aktion – T1071.001 Anwendungsschicht-Protokoll: WebSocket-Kanal (RC4-verschlüsselt)"] class c2_communication action websocket_impl["Werkzeug – Name: WebSocket-Client Merkmale: Dynamische URLs über Cloudflare-Tunnel"] class websocket_impl tool %% Proxy-Dienste proxy_service["Aktion – T1090 Proxy: Interne und mehrstufige Proxying"] class proxy_service action cloudflare_tunnel["Werkzeug – Name: Cloudflare Tunnel Zweck: Dynamische Auflösung von C2-URLs"] class cloudflare_tunnel tool protocol_tunneling["Aktion – T1572 Protokoll-Tunneling: TCP-Tunnel-Relais"] class protocol_tunneling action %% Privilegieneskalation / Abwehr Umgehung priv_esc["Aktion – T1055.003 Prozessinjektion: Thread-Ausführungs-Entführung"] class priv_esc action tls_injection["Aktion – T1055.005 Prozessinjektion: Thread-Lokale Storage-Injektion"] class tls_injection action process_injection_tool["Werkzeug – Name: Prozessinjektionsroutine"] class process_injection_tool tool %% Entdeckung discovery["Aktion – T1016 Systemnetzwerk-Konfigurationsentdeckung: System- und Netzwerkinfo sammeln"] class discovery action %% Sammlung collection["Aktion – T1560.001 Archivierung über Utility und T1560.003 Archivierung über benutzerdefinierte Methode: Exfiltrierte Daten verpacken"] class collection action %% Exfiltration exfiltration["Aktion – T1020 Automatisierte Exfiltration und T1048.002 Exfiltration über asymmetrisch verschlüsseltes nicht-C2-Protokoll"] class exfiltration action %% Auswirkungen impact["Aktion – T1486 Daten verschlüsselt für Auswirkungen: InterLock-Ransomware verschlüsselt Dateien"] class impact action ransomware["Malware – Name: InterLock-Ransomware Verschlüsselung: AESu2011256u2011CBC und RSAu20114096 OAEP Erweiterung: .interlock"] class ransomware malware ransom_note["Aktion – T1490 Systemwiederherstellung hemmen: Ereignisprotokolle löschen und Lösegeldforderung hinterlegen"] class ransom_note action artifact_cleanup["Aktion – T1070 Indikatoren-Entfernung: Artefakte und Dateien löschen"] class artifact_cleanup action %% Verbindungen initial_access –>|verwendet| msiexec_tool msiexec_tool –>|installiert| screenconnect_client screenconnect_client –>|legt ab| nodesnake_backdoor nodesnake_backdoor –>|erstellt| persistence_task persistence_task –>|erstellt| scheduled_task scheduled_task –>|führt aus| self_delete nodesnake_backdoor –>|ermöglicht| credential_access credential_access –>|verwendet| ntlmthief_dll nodesnake_backdoor –>|verweigert| defense_evasion defense_evasion –>|wendet an| custom_crypter nodesnake_backdoor –>|kommuniziert über| c2_communication c2_communication –>|verwendet| websocket_impl websocket_impl –>|routen über| cloudflare_tunnel cloudflare_tunnel –>|unterstützt| proxy_service proxy_service –>|umfasst| protocol_tunneling nodesnake_backdoor –>|durchführt| priv_esc priv_esc –>|verwendet| process_injection_tool process_injection_tool –>|führt auch durch| tls_injection nodesnake_backdoor –>|durchführt| discovery nodesnake_backdoor –>|verpackt Daten mit| collection collection –>|exfiltriert über| exfiltration exfiltration –>|liefert Nutzlast an| impact impact –>|verwendet| ransomware ransomware –>|hinterlässt| ransom_note ransom_note –>|löst aus| artifact_cleanup %% Klassen-Zuordnungen class msiexec_tool tool class screenconnect_client malware class nodesnake_backdoor malware class ntlmthief_dll tool class custom_crypter tool class websocket_impl tool class cloudflare_tunnel tool class process_injection_tool tool class ransomware malware "

InterLock: Vollständige Werkzeuganalyse einer Ransomware-Operation

Zusammenfassung

Untersuchung

Minderung

Reaktion

Angriffsfluss

Erkennungen

Verdächtige Trycloudflare-Domänenkommunikation (via DNS)

Verdächtige Ausführung vom öffentlichen Benutzerprofil (via Prozess-Erstellung)

Mögliche Schtasks- oder AT-Nutzung für Persistenz (via cmdline)

Mögliche PING-Nutzung zur verzögerten Ausführung (via cmdline)

Verdächtiges Kommando und Kontrolle durch ungewöhnliche Top-Level-Domain (TLD) DNS-Anfrage (via DNS)

Mögliche Systemabfrage (via cmdline)

Mögliche Konto- oder Gruppenabfrage / -manipulation (via cmdline)

IOCs (E-Mails) zur Erkennung: InterLock: vollständige Werkzeug-Teardown einer Ransomware-Operation

IOCs (SourceIP) zur Erkennung: InterLock: vollständige Werkzeug-Teardown einer Ransomware-Operation

IOCs (HashSha256) zur Erkennung: InterLock: vollständige Werkzeug-Teardown einer Ransomware-Operation

IOCs (DestinationIP) zur Erkennung: InterLock: vollständige Werkzeug-Teardown einer Ransomware-Operation

IOCs (HashMd5) zur Erkennung: InterLock: vollständige Werkzeug-Teardown einer Ransomware-Operation

NodeSnake WebSocket-Handshake und URL-Muster-Erkennung [Windows-Netzwerkverbindung]

InterLock ELF-Variante mittels Sysconf für CPU-Zählung erkennen [Linux Prozess-Erstellung]

NodeSnake JS-Implantat und InterLock-DLL-Ausführungsmethoden erkennen [Windows-Prozess-Erstellung]

Erkennung von InterLock-Ransomware und NodeSnake-Befehls-Ausgabe-Staging [Windows-Datei-Ereignis]

Simulation-Ausführung