Co je Interlock Ransomware?

Nová příručka pro detekci ransomwaru přináší světlo na Interlock, ransomware operaci postavenou na dvojitém vydírání: útočníci v tichosti exfiltrují citlivá data ze sítě oběti, zašifrují systémy a poté vyhrožují zveřejněním ukradených souborů, pokud nebude výkupné zaplaceno v krátké lhůtě. Kombinace krádeže dat a šifrování se stala standardním schématem moderních ransomwarových skupin a přístup Interlocku ukazuje, jak metodické tyto operace jsou.

Co Interlock podle příručky odlišuje, je fakt, že funguje jako binární soubor ovládaný z příkazového řádku. Tato konstrukční volba má větší význam, než by se mohlo zdát. Namísto spoléhání se na jedinou automatizovanou rutinu mohou operátoři zadávat konkrétní argumenty z příkazového řádku a přesně řídit, jak se každé spuštění šifrování chová, což jim poskytuje detailní kontrolu nad tím, které soubory, složky nebo systémy jsou cíleny a jak útok v reálném čase probíhá.

Do nitra taktik, technik a postupů Interlocku

Detekční příručka rozebírá několik metod persistence a vyhýbání se detekci, na které Interlock spoléhá, jakmile získá oporu v síti. Škodlivý software využívá plánované úlohy a úpravy registru k udržení své přítomnosti na infikovaných systémech, tedy techniky, které mu umožňují přežít restart a pokračovat v činnosti, i když je původní proces ukončen.

Ještě znepokojivější je, jak Interlock používá tytéž mechanismy k oslabení obrany systému. Ransomware vypíná firewall a manipuluje s certifikáty, což jsou dvě změny, které mohou v tichosti odstranit vrstvy ochrany, na něž se organizace spoléhají při detekci a blokování škodlivého provozu. Když je firewall deaktivován, odchozí spojení používaná k exfiltraci ukradených dat procházejí s mnohem menší kontrolou. Když se manipuluje s certifikáty, je pro bezpečnostní nástroje obtížnější ověřit, zda soubory a procesy běžící v systému jsou legitimní.

Vzhledem k tomu, že Interlock přijímá argumenty z příkazového řádku, bezpečnostní týmy, které kontrolují logy koncových bodů a historii procesů, mají reálnou příležitost jej při akci zachytit. Neobvyklé řetězce v příkazovém řádku, neočekávané vytváření plánovaných úloh a náhlé změny firewallu nebo certifikátů jsou všechno signály, na které takováto detekční příručka doporučuje organizacím se pozorně zaměřit.

Proč dvojité vydírání zvyšuje riziko pro soukromí

Dvojité vydírání je to, co mění ransomwarový incident z výpadku systému v plnohodnotnou krizi soukromí. Samotné šifrování lze vyřešit zálohami a obnovou systémů. Jakmile jsou však data exfiltrována, škody sahají daleko za postiženou organizaci. Záznamy zaměstnanců, údaje zákazníků, finanční podrobnosti, nebo v případě poskytovatelů zdravotní péče informace o pacientech, mohou být zveřejněny nebo prodány, pokud nebude výkupné včas zaplaceno.

Rozsah škod, které tento typ útoku může způsobit, není teoretický. Únik dat Kettering Health, který postihl téměř 1,7 milionu pacientů, ukazuje, jak jediné ransomwarové narušení zahrnující odcizená data může ovlivnit obrovské množství lidí, kteří neměli žádnou přímou roli v narušení a často ani okamžitý způsob, jak zjistit, že jejich informace byly vystaveny. Kampaně dvojitého vydírání, jako je ta popsaná v příručce o Interlocku, sledují tuto stejnou základní strukturu: nejprve krást, poté šifrovat, poté vyhrožovat zveřejněním.

Právě proto je detekce stejně důležitá jako obnova. Zachycení binárního souboru ovládaného z příkazového řádku, jako je Interlock, během jeho fáze vyhýbání se detekci a zajišťování persistence, dříve než data opustí síť, je mnohem efektivnější než pokoušet se vyjednávat až po činu.

Co to znamená pro vás

Většina čtenářů nebude odpovědná za zabezpečení podnikového firewallu, přesto má Interlock ransomware reálné důsledky pro každodenní soukromí. Pokud jste zákazníkem, pacientem nebo zaměstnancem organizace, která se stane obětí útoku s dvojitým vydíráním, vaše osobní údaje se mohou stát součástí páky, kterou útočníci používají, bez ohledu na to, zda vůbec přicházíte přímo do styku s kompromitovanými systémy.

Pro IT a bezpečnostní týmy nabízí důraz příručky na argumenty příkazového řádku, plánované úlohy, změny registru, stav firewallu a integritu certifikátů praktické výchozí body pro tvorbu detekčních pravidel. Monitorování neautorizovaných změn v těchto specifických oblastech může upozornit na průnik Interlocku dříve, než je šifrování a exfiltrace dokončena.

Praktické kroky

  • Organizace by měly monitorovat neočekávanou tvorbu plánovaných úloh a úpravy registru, zejména ty, které se týkají nastavení firewallu nebo certifikátů.
  • Bezpečnostní týmy by měly zaznamenávat a kontrolovat aktivitu příkazového řádku na všech koncových bodech, protože argumenty příkazového řádku Interlocku mohou odhalit rozsah probíhajícího útoku.
  • Jednotlivci by měli brát oznámení o úniku dat v jakékoli organizaci, která uchovává jejich informace, vážně, jelikož skupiny používající dvojité vydírání, jako je Interlock, specificky vyhrožují zveřejněním odcizených osobních údajů.
  • Samotné zálohy nejsou dostatečnou ochranou proti ransomwaru Interlock; protože data před zašifrováním odcizí, plány obnovy musí počítat s expozicí, nejen s výpadkem.
  • Být informován o tom, jak skupiny jako Interlock fungují, pomáhá organizacím i jednotlivcům dříve rozpoznat varovné signály a rychleji reagovat, když k incidentu dojde.