Interlock та Rhysida: Штучний інтелект у екосистемі програм-вимагачів

graph TB %% Визначення класів classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef evasion fill:#bbf,stroke:#333,stroke-width:2px classDef execution fill:#dfd,stroke:#333,stroke-width:2px classDef persistence fill:#fdd,stroke:#333,stroke-width:2px classDef command_control fill:#ffd,stroke:#333,stroke-width:2px classDef discovery fill:#dff,stroke:#333,stroke-width:2px classDef lateral_movement fill:#dcd,stroke:#333,stroke-width:2px classDef impact fill:#f99,stroke:#333,stroke-width:2px classDef tool_malware fill:#eee,stroke:#333,stroke-width:1px %% Фаза початкового доступу action_drive_by[“<b>Дія</b> – <b idea=’T1189 Компрометація через перегляд (Drive-by Compromise)'</b><br/>Жертв заманюють через шахрайські вебсайти,<br/>шкідливу рекламу або перенаправлення<br/>з пошукових систем.”] class action_drive_by initial_access action_content_injection[“<b>Дія</b> – <b idea=’T1204 Впровадження контенту'</b><br/>Використання систем розподілу трафіку (TDS),<br/>таких як TAG-124 або ClickFix,<br/>для перенаправлення користувачів.”] class action_content_injection initial_access action_subvert_trust[“<b>Дія</b> – <b idea=’T1553 Обхід контролів довіри: Підпис коду'</b><br/>Використання шахрайських сертифікатів,<br/>наприклад Foshan Yongqiheng Trading Co., Ltd.”] class action_subvert_trust evasion %% Фаза виконання та передачі action_user_exec[“<b>Дія</b> – <b idea=’T1204 Виконання користувачем'</b><br/>Запуск троянізованих інсталяторів<br/>(наприклад Microsoft Teams, Chrome або Edge).”] class action_user_exec execution malware_initial_payload[“<b>Шкідливе ПЗ</b> – <b idea=’Payloads’>JunkFiction, NodeSnake або Endico</b><br/>Завантажувачі першого етапу,<br/>які запускаються через взаємодію користувача.”] class malware_initial_payload tool_malware action_ingress_transfer[“<b>Дія</b> – <b idea=’T1105 Передача інструментів у систему'</b><br/>Отримання шкідливого ПЗ другого етапу<br/>з віддалених серверів командування та керування.”] class action_ingress_transfer execution malware_second_stage[“<b>Шкідливе ПЗ</b> – <b idea=’Backdoors’>Supper або InterlockRAT</b><br/>Бекдори другого етапу,<br/>призначені для забезпечення віддаленого доступу.”] class malware_second_stage tool_malware %% Фаза закріплення action_persistence_linux[“<b>Дія</b> – <b idea=’T1543.003 Скрипти ініціалізації завантаження або входу: Systemd Service'</b><br/>Варіанти NodeSnake для Linux створюють<br/>нові служби systemd.”] class action_persistence_linux persistence action_persistence_windows[“<b>Дія</b> – <b idea=’T1547 Зміна конфігурації Unix Shell’>Закріплення у Windows</b><br/>Використання змін конфігурації shell<br/>для збереження доступу.”] class action_persistence_windows persistence %% Фаза командування та керування action_c2[“<b>Дія</b> – <b idea=’T1219 Програмне забезпечення віддаленого доступу'</b><br/>Створення зворотних shell-з’єднань<br/>та SOCKS5 тунелів для прихованого зв’язку.”] class action_c2 command_control %% Фаза розвідки action_discovery_domain[“<b>Дія</b> – <b idea=’T1087.002 Виявлення облікових записів: Домени'</b><br/>Перелік доменних облікових записів<br/>за допомогою команд типу net user /domain.”] class action_discovery_domain discovery action_discovery_groups[“<b>Дія</b> – <b idea=’T1069.002 Виявлення груп дозволів: Доманні групи'</b><br/>Перелік груп за допомогою<br/>net group domain admins /domain.”] class action_discovery_groups discovery %% Фаза латерального переміщення та впливу action_lateral_move[“<b>Дія</b> – <b idea=’T1210 Експлуатація віддалених служб'</b><br/>Переміщення середовищем через RDP-сесії,<br/>створені за допомогою reverse shell.”] class action_lateral_move lateral_movement action_selective_exclusion[“<b>Дія</b> – <b idea=’Defense Evasion’>Вибіркове виключення</b><br/>Розгортання власних політик WDAC<br/>для блокування Microsoft Defender або Sophos EDR.”] class action_selective_exclusion evasion action_impact_encryption[“<b>Дія</b> – <b idea=’T1486 Шифрування даних для впливу'</b><br/>Фінальне розгортання програм-вимагачів<br/>Interlock або Rhysida для шифрування файлів жертви.”] class action_impact_encryption impact %% Зв’язки action_drive_by –>|сприяє| action_content_injection action_content_injection –>|призводить_до| action_user_exec action_user_exec –>|використовує| malware_initial_payload malware_initial_payload –>|потребує| action_subvert_trust malware_initial_payload –>|запускає| action_ingress_transfer action_ingress_transfer –>|завантажує| malware_second_stage malware_second_stage –>|створює| action_persistence_linux malware_second_stage –>|створює| action_persistence_windows malware_second_stage –>|активує| action_c2 action_c2 –>|виконує| action_discovery_domain action_c2 –>|виконує| action_discovery_groups action_discovery_domain –>|надає_інформацію| action_lateral_move action_discovery_groups –>|надає_інформацію| action_lateral_move action_lateral_move –>|призводить_до| action_selective_exclusion action_selective_exclusion –>|передує| action_impact_encryption

Потік атаки