InterLock: Desglose Completo de Herramientas de una Operación de Ransomware

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

InterLock: Desglose Completo de Herramientas de una Operación de Ransomware

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

InterLock es una operación de ransomware de doble extorsión activa desde octubre de 2024 que roba datos, opera un sitio de filtración basado en Tor y cifra archivos en entornos FreeBSD/ESXi y Windows. La cadena de intrusión utiliza instaladores MSI de ScreenConnect para el acceso inicial, un backdoor NodeSnake multilenguaje para la persistencia, un recolector de credenciales NTLM y un marco de crypter personalizado que empaqueta las cargas de ransomware. El tráfico de comando y control depende de la comunicación WebSocket protegida con RC4, respaldada por IPs estáticas de respaldo y puntos finales adicionales de Cloudflare Tunnel. El ransomware añade la extensión .interlock, deja una nota de rescate que contiene una URL de negociación .onion, y utiliza claves derivadas de PRNG débiles que pueden permitir la recuperación.

Investigación

El informe analiza 15 muestras, incluyendo cuatro instaladores MSI de ScreenConnect, tres implantes NodeSnake (JavaScript, Java y C++ nativo), un DLL ladrón de NTLM, y cuatro ejecutables de ransomware. Todos los artefactos comparten tres direcciones IP de C2 codificadas en el software y el mismo bucle de descifrado de crypter marcado por el patrón de bytes 488b041f483345f04889041e. En su forma nativa, NodeSnake agrega tunelización TCP, secuestro de hilos y anti-depuración. La variante de ransomware de Windows crea una tarea programada diaria y borra los registros de eventos de Windows a través de wevtapi.dll. La infraestructura también incluye dos dominios protegidos por Let’s Encrypt y múltiples subdominios gratuitos de Cloudflare Tunnel.

Mitigación

Los defensores deben bloquear las IPs conocidas de C2 y los dominios de Cloudflare Tunnel en el perímetro. Si ConnectWise ScreenConnect no es necesario, debería ser eliminado o deshabilitado. Los controles de seguridad deben detectar el patrón de bytes del crypter y el prefijo del handshake de WebSocket cifrado con RC4 92 01 88 fe. La monitorización también debe cubrir la tarea programada llamada TaskSystem y cualquier creación de archivos con la extensión .interlock. Los controles de acceso de menor privilegio pueden reducir aún más la exposición al robo de credenciales NTLM y el abuso de rundll32.

Respuesta

Si se detecta InterLock, aísle el host afectado, preserve el binario completo para análisis forense, y extraiga la clave pública RSA-4096 incrustada junto con las claves cifradas por archivo. Cuando sea posible, intente la recuperación de claves usando el débil rand() más clock() PRNG si hay disponibles marcas de tiempo confiables. Elimine la tarea de persistencia TaskSystem, borre los artefactos .interlock, y restaure los datos impactados desde copias de seguridad. Los usuarios afectados deben ser notificados, y el incidente de doble extorsión debe ser reportado a las autoridades.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Initial Access initial_access["Action – T1204.004 User Execution: Malicious MSI installer delivered"] class initial_access action msiexec_tool["Tool – Name: Msiexec Technique: T1218.007 System Binary Proxy Execution"] class msiexec_tool tool screenconnect_client["Malware – Name: ScreenConnect client Purpose: Remote access component"] class screenconnect_client malware nodesnake_backdoor["Malware – Name: NodeSnake backdoor Capabilities: Interactive Windows shell and oneu2011shot commands"] class nodesnake_backdoor malware %% Persistence persistence_task["Action – T1546 Event Triggered Execution: Scheduled task created"] class persistence_task action scheduled_task["Process – Name: TaskSystem Schedule: Daily at 20:00"] class scheduled_task process self_delete["Action – T1070.009 Indicator Removal: Selfu2011deletion after execution"] class self_delete action %% Credential Access credential_access["Action – T1556.008 Modify Authentication Process: NTLM hash harvesting"] class credential_access action ntlmthief_dll["Tool – Name: NtlmThief DLL Function: Harvest NTLM hashes and force NTLMv1"] class ntlmthief_dll tool %% Defense Evasion defense_evasion["Action – T1027 Obfuscated Files or Information: Payloads packed with custom crypter"] class defense_evasion action custom_crypter["Tool – Name: Custom Crypter Techniques: XOR, junk code, compileu2011afteru2011delivery, compression, stripped binaries"] class custom_crypter tool %% Command and Control c2_communication["Action – T1071.001 Application Layer Protocol: WebSocket channel (RC4 encrypted)"] class c2_communication action websocket_impl["Tool – Name: WebSocket client Features: Dynamic URLs via Cloudflare Tunnel"] class websocket_impl tool %% Proxy Services proxy_service["Action – T1090 Proxy: Internal and multiu2011hop proxying"] class proxy_service action cloudflare_tunnel["Tool – Name: Cloudflare Tunnel Purpose: Dynamic resolution of C2 URLs"] class cloudflare_tunnel tool protocol_tunneling["Action – T1572 Protocol Tunneling: TCP tunnel relays"] class protocol_tunneling action %% Privilege Escalation / Defense Evasion priv_esc["Action – T1055.003 Process Injection: Thread Execution Hijacking"] class priv_esc action tls_injection["Action – T1055.005 Process Injection: Thread Local Storage injection"] class tls_injection action process_injection_tool["Tool – Name: Process Injection routine"] class process_injection_tool tool %% Discovery discovery["Action – T1016 System Network Configuration Discovery: Collect system and network info"] class discovery action %% Collection collection["Action – T1560.001 Archive via Utility and T1560.003 Archive via Custom Method: Package exfiltrated data"] class collection action %% Exfiltration exfiltration["Action – T1020 Automated Exfiltration and T1048.002 Exfiltration Over Asymmetric Encrypted Nonu2011C2 Protocol"] class exfiltration action %% Impact impact["Action – T1486 Data Encrypted for Impact: InterLock ransomware encrypts files"] class impact action ransomware["Malware – Name: InterLock ransomware Encryption: AESu2011256u2011CBC and RSAu20114096 OAEP Extension: .interlock"] class ransomware malware ransom_note["Action – T1490 Inhibit System Recovery: Clear event logs and drop ransom note"] class ransom_note action artifact_cleanup["Action – T1070 Indicator Removal: Delete artifacts and files"] class artifact_cleanup action %% Connections initial_access –>|uses| msiexec_tool msiexec_tool –>|installs| screenconnect_client screenconnect_client –>|drops| nodesnake_backdoor nodesnake_backdoor –>|creates| persistence_task persistence_task –>|creates| scheduled_task scheduled_task –>|executes| self_delete nodesnake_backdoor –>|enables| credential_access credential_access –>|uses| ntlmthief_dll nodesnake_backdoor –>|obfuscates| defense_evasion defense_evasion –>|employs| custom_crypter nodesnake_backdoor –>|communicates via| c2_communication c2_communication –>|uses| websocket_impl websocket_impl –>|routes through| cloudflare_tunnel cloudflare_tunnel –>|supports| proxy_service proxy_service –>|includes| protocol_tunneling nodesnake_backdoor –>|performs| priv_esc priv_esc –>|uses| process_injection_tool process_injection_tool –>|also performs| tls_injection nodesnake_backdoor –>|performs| discovery nodesnake_backdoor –>|packages data with| collection collection –>|exfiltrates via| exfiltration exfiltration –>|delivers payload to| impact impact –>|uses| ransomware ransomware –>|leaves| ransom_note ransom_note –>|triggers| artifact_cleanup %% Class assignments class msiexec_tool tool class screenconnect_client malware class nodesnake_backdoor malware class ntlmthief_dll tool class custom_crypter tool class websocket_impl tool class cloudflare_tunnel tool class process_injection_tool tool class ransomware malware "

InterLock: Desglose Completo de Herramientas de una Operación de Ransomware

Resumen

Investigación

Mitigación

Respuesta

Flujo de Ataque

Detecciones

Comunicación de Dominio Sospechosa Trycloudflare (via dns)

Ejecución Sospechosa desde Perfil de Usuario Público (via process_creation)

Posible Uso de Schtasks o AT para Persistencia (via cmdline)

Posible Uso de PING para Ejecución con Retardo (via cmdline)

Comando y Control Sospechoso por Solicitud de DNS de Dominio de Nivel Superior Inusual (TLD) (via dns)

Posible Enumeración del Sistema (via cmdline)

Posible Enumeración o Manipulación de Cuenta o Grupo (via cmdline)

IOCs (Emails) para detectar: InterLock: desmantelamiento completo de herramientas de una operación de ransomware

IOCs (SourceIP) para detectar: InterLock: desmantelamiento completo de herramientas de una operación de ransomware

IOCs (HashSha256) para detectar: InterLock: desmantelamiento completo de herramientas de una operación de ransomware

IOCs (DestinationIP) para detectar: InterLock: desmantelamiento completo de herramientas de una operación de ransomware

IOCs (HashMd5) para detectar: InterLock: desmantelamiento completo de herramientas de una operación de ransomware

Detección de Handshake y Patrón de URL de NodeSnake WebSocket [Conexión de Red de Windows]

Detectar Variante ELF de InterLock Usando sysconf para el Conteo de CPUs [Creación de Proceso en Linux]

Detectar Método de Ejecución de NodeSnake JS Implant e InterLock DLL [Creación de Proceso en Windows]

Detección de InterLock Ransomware y Establecimiento de Salida de Comandos de NodeSnake [Evento de Archivo de Windows]

Ejecución de Simulación