Was ist Interlock-Ransomware?

Ein neuer Leitfaden zur Ransomware-Erkennung beleuchtet Interlock, eine Ransomware-Operation, die auf Double Extortion setzt: Angreifer schleusen heimlich sensible Daten aus dem Netzwerk eines Opfers ab, verschlüsseln die Systeme und drohen dann mit der Veröffentlichung der gestohlenen Dateien, falls das Lösegeld nicht innerhalb einer knappen Frist gezahlt wird. Diese Kombination aus Datendiebstahl und Verschlüsselung ist zum Standardvorgehen moderner Ransomware-Gruppen geworden, und Interlocks Vorgehensweise zeigt, wie methodisch diese Operationen inzwischen ablaufen.

Laut dem Leitfaden unterscheidet sich Interlock dadurch, dass es als kommandozeilengesteuerte Binärdatei ausgeführt wird. Diese Designentscheidung ist bedeutender, als es zunächst klingen mag. Anstatt sich auf eine einzige automatisierte Routine zu verlassen, können die Angreifer bestimmte Kommandozeilenargumente übergeben, um genau zu steuern, wie sich jeder Verschlüsselungsdurchlauf verhält. Dadurch erhalten sie eine granulare Kontrolle darüber, welche Dateien, Ordner oder Systeme ins Visier genommen werden und wie der Angriff in Echtzeit abläuft.

Interlocks Taktiken, Techniken und Prozeduren

Der Erkennungsleitfaden erläutert mehrere Methoden zur Persistenz und Umgehung von Sicherheitsmaßnahmen, auf die Interlock zurückgreift, sobald es im Netzwerk Fuß gefasst hat. Die Malware nutzt geplante Aufgaben und Registrierungsänderungen, um ihre Präsenz auf infizierten Systemen aufrechtzuerhalten – Techniken, die es ihr ermöglichen, Neustarts zu überstehen und weiter zu agieren, selbst wenn ein erster Prozess beendet wird.

Besorgniserregender ist, wie Interlock dieselben Mechanismen nutzt, um die Abwehr eines Systems zu schwächen. Die Ransomware deaktiviert die Firewall und manipuliert Zertifikate – zwei Änderungen, die still und leise Schutzschichten entfernen können, auf die Unternehmen angewiesen sind, um bösartigen Datenverkehr zu erkennen und zu blockieren. Wenn die Firewall deaktiviert ist, können ausgehende Verbindungen, die zum Abfluss gestohlener Daten verwendet werden, mit weitaus weniger Prüfung passieren. Wenn Zertifikate manipuliert wurden, wird es für Sicherheitstools schwieriger zu überprüfen, ob auf einem System ausgeführte Dateien und Prozesse legitim sind.

Da Interlock Kommandozeilenargumente akzeptiert, haben Sicherheitsteams, die Endpunkt-Protokolle und Prozessverläufe überprüfen, eine echte Chance, es in Aktion zu erwischen. Ungewöhnliche Kommandozeilen, unerwartete Erstellung geplanter Aufgaben sowie abrupte Änderungen an der Firewall oder an Zertifikaten sind alles Signale, auf die Organisationen laut einem solchen Erkennungsleitfaden genau achten sollten.

Warum Double Extortion die Risiken für den Datenschutz erhöht

Double Extortion ist es, was einen Ransomware-Vorfall von einem Systemausfall zu einer vollständigen Datenschutzkrise macht. Allein die Verschlüsselung lässt sich mit Backups und Systemneubauten beheben. Sobald jedoch Daten abgeflossen sind, reicht der Schaden weit über die betroffene Organisation hinaus. Mitarbeiterdaten, Kundendaten, Finanzdetails oder – im Fall von Gesundheitsdienstleistern – Patienteninformationen können veröffentlicht oder verkauft werden, wenn das Lösegeld nicht rechtzeitig gezahlt wird.

Das Ausmaß des Schadens, den diese Art von Angriff verursachen kann, ist nicht theoretisch. Der Kettering Health-Datenleck, von dem fast 1,7 Millionen Patienten betroffen waren, zeigt, wie ein einziger Ransomware-Einbruch mit gestohlenen Daten Auswirkungen auf eine enorme Anzahl von Menschen haben kann, die keine direkte Rolle bei dem Leck spielten und oft keine unmittelbare Möglichkeit haben zu erfahren, dass ihre Daten offengelegt wurden. Double-Extortion-Kampagnen wie die im Interlock-Leitfaden beschriebene folgen genau dieser Grundstruktur: zuerst stehlen, dann verschlüsseln, zuletzt mit der Veröffentlichung drohen.

Genau deshalb ist die Erkennung genauso wichtig wie die Wiederherstellung. Eine kommandozeilengesteuerte Binärdatei wie Interlock bereits während ihrer Umgehungs- und Persistenzphase zu erkennen, bevor Daten das Netzwerk verlassen, ist weitaus effektiver, als im Nachhinein zu verhandeln.

Was das für Sie bedeutet

Die meisten Leser werden nicht für die Härtung einer Unternehmens-Firewall zuständig sein, aber die Interlock-Ransomware hat dennoch konkrete Auswirkungen auf den alltäglichen Datenschutz. Wenn Sie Kunde, Patient oder Mitarbeiter einer Organisation sind, die von einem Double-Extortion-Angriff getroffen wird, können Ihre persönlichen Daten als Druckmittel der Angreifer verwendet werden – unabhängig davon, ob Sie jemals direkt mit den kompromittierten Systemen zu tun hatten.

Für IT- und Sicherheitsteams bietet die Betonung des Leitfadens auf Kommandozeilenargumenten, geplanten Aufgaben, Registrierungsänderungen, Firewall-Status und Zertifikatintegrität einen praktischen Ausgangspunkt, um Erkennungsregeln zu entwickeln. Die Überwachung auf unbefugte Änderungen in diesen spezifischen Bereichen kann einen Interlock-Einbruch lange bevor Verschlüsselung und Datenabfluss abgeschlossen sind, erkennen.

Handlungsempfehlungen

  • Organisationen sollten die unerwartete Erstellung geplanter Aufgaben und Registrierungsänderungen überwachen, insbesondere solche, die mit Firewall- oder Zertifikateinstellungen zusammenhängen.
  • Sicherheitsteams sollten Kommandozeilenaktivitäten auf allen Endpunkten protokollieren und überprüfen, da die Kommandozeilenargumente von Interlock den Umfang eines laufenden Angriffs offenbaren können.
  • Einzelpersonen sollten Benachrichtigungen über eine Datenschutzverletzung bei einer Organisation, die ihre Daten speichert, ernst nehmen, da Double-Extortion-Ransomware-Gruppen wie Interlock gezielt damit drohen, gestohlene persönliche Daten zu veröffentlichen.
  • Backups allein bieten keinen ausreichenden Schutz vor der Interlock-Ransomware; da sie Daten stiehlt, bevor sie verschlüsselt, müssen Wiederherstellungspläne auch die Offenlegung von Daten und nicht nur Ausfallzeiten berücksichtigen.
  • Sich darüber zu informieren, wie Gruppen wie Interlock vorgehen, hilft sowohl Organisationen als auch Einzelpersonen, Warnsignale früher zu erkennen und bei einem Vorfall schneller zu reagieren.