Interlock und Rhysida: KI im Ransomware-Ökosystem

graph TB %% Klassendefinitionen classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef evasion fill:#bbf,stroke:#333,stroke-width:2px classDef execution fill:#dfd,stroke:#333,stroke-width:2px classDef persistence fill:#fdd,stroke:#333,stroke-width:2px classDef command_control fill:#ffd,stroke:#333,stroke-width:2px classDef discovery fill:#dff,stroke:#333,stroke-width:2px classDef lateral_movement fill:#dcd,stroke:#333,stroke-width:2px classDef impact fill:#f99,stroke:#333,stroke-width:2px classDef tool_malware fill:#eee,stroke:#333,stroke-width:1px %% Phase des initialen Zugriffs action_drive_by[„<b>Aktion</b> – <b idea=’T1189 Drive-by Compromise'</b><br/>Opfer werden durch betrügerische Webseiten,<br/>schädliche Werbung oder Suchmaschinen-Weiterleitungen<br/>angelockt.“] class action_drive_by initial_access action_content_injection[„<b>Aktion</b> – <b idea=’T1204 Content Injection'</b><br/>Verwendung von Traffic Distribution Systems (TDS)<br/>wie TAG-124 oder ClickFix zur Umleitung von Benutzern.“] class action_content_injection initial_access action_subvert_trust[„<b>Aktion</b> – <b idea=’T1553 Vertrauenskontrollen untergraben: Code-Signierung'</b><br/>Verwendung betrügerischer Zertifikate wie<br/>Foshan Yongqiheng Trading Co., Ltd.“] class action_subvert_trust evasion %% Ausführungs- und Transferphase action_user_exec[„<b>Aktion</b> – <b idea=’T1204 Benutzerausführung'</b><br/>Ausführung trojanisierter Installationsprogramme<br/>(z. B. Microsoft Teams, Chrome oder Edge).“] class action_user_exec execution malware_initial_payload[„<b>Malware</b> – <b idea=’Payloads’>JunkFiction, NodeSnake oder Endico</b><br/>Downloader der ersten Stufe werden<br/>durch Benutzerinteraktion ausgeführt.“] class malware_initial_payload tool_malware action_ingress_transfer[„<b>Aktion</b> – <b idea=’T1105 Ingress Tool Transfer'</b><br/>Abrufen von Schadsoftware der zweiten Stufe von<br/>entfernten Command-and-Control-Servern.“] class action_ingress_transfer execution malware_second_stage[„<b>Malware</b> – <b idea=’Backdoors’>Supper oder InterlockRAT</b><br/>Backdoors der zweiten Stufe werden abgerufen,<br/>um Fernzugriff zu ermöglichen.“] class malware_second_stage tool_malware %% Persistenzphase action_persistence_linux[„<b>Aktion</b> – <b idea=’T1543.003 Boot- oder Login-Initialisierungsskripte: Systemd-Dienst'</b><br/>Linux-Varianten von NodeSnake erstellen<br/>neue Systemd-Dienste.“] class action_persistence_linux persistence action_persistence_windows[„<b>Aktion</b> – <b idea=’T1547 Änderung der Unix-Shell-Konfiguration’>Windows-Persistenz</b><br/>Verwendung von Änderungen an Shell-Konfigurationen,<br/>um den Zugriff aufrechtzuerhalten.“] class action_persistence_windows persistence %% Command-and-Control-Phase action_c2[„<b>Aktion</b> – <b idea=’T1219 Remote Access Software'</b><br/>Einrichtung von Reverse Shells und<br/>SOCKS5-Tunneln für verdeckte Kommunikation.“] class action_c2 command_control %% Discovery-Phase action_discovery_domain[„<b>Aktion</b> – <b idea=’T1087.002 Kontoermittlung: Domänenkonto'</b><br/>Auflistung von Domänenkonten mit<br/>Befehlen wie net user /domain.“] class action_discovery_domain discovery action_discovery_groups[„<b>Aktion</b> – <b idea=’T1069.002 Berechtigungsgruppen-Ermittlung: Domänengruppen'</b><br/>Auflistung von Gruppen mit<br/>net group domain admins /domain.“] class action_discovery_groups discovery %% Laterale Bewegung und Auswirkung action_lateral_move[„<b>Aktion</b> – <b idea=’T1210 Ausnutzung entfernter Dienste'</b><br/>Bewegung innerhalb der Umgebung über RDP-Sitzungen,<br/>die durch Reverse Shells gestartet wurden.“] class action_lateral_move lateral_movement action_selective_exclusion[„<b>Aktion</b> – <b idea=’Defense Evasion’>Selektive Ausnahme</b><br/>Bereitstellung benutzerdefinierter WDAC-Richtlinien,<br/>um Microsoft Defender oder Sophos EDR zu blockieren.“] class action_selective_exclusion evasion action_impact_encryption[„<b>Aktion</b> – <b idea=’T1486 Datenverschlüsselung für Auswirkung'</b><br/>Finale Bereitstellung der Interlock- oder Rhysida-Ransomware,<br/>um Dateien der Opfer zu verschlüsseln.“] class action_impact_encryption impact %% Verbindungen action_drive_by –>|ermöglicht| action_content_injection action_content_injection –>|führt_zu| action_user_exec action_user_exec –>|verwendet| malware_initial_payload malware_initial_payload –>|benötigt| action_subvert_trust malware_initial_payload –>|löst_aus| action_ingress_transfer action_ingress_transfer –>|lädt_herunter| malware_second_stage malware_second_stage –>|etabliert| action_persistence_linux malware_second_stage –>|etabliert| action_persistence_windows malware_second_stage –>|aktiviert| action_c2 action_c2 –>|führt_durch| action_discovery_domain action_c2 –>|führt_durch| action_discovery_groups action_discovery_domain –>|liefert_informationen_an| action_lateral_move action_discovery_groups –>|liefert_informationen_an| action_lateral_move action_lateral_move –>|führt_zu| action_selective_exclusion action_selective_exclusion –>|geht_voraus| action_impact_encryption

Angriffslauf