¿Qué es el ransomware Interlock?

Una nueva guía de detección de ransomware está arrojando luz sobre Interlock, una operación de ransomware basada en la doble extorsión: los atacantes exfiltran silenciosamente datos confidenciales de la red de la víctima, cifran los sistemas y luego amenazan con publicar los archivos robados si no se paga un rescate en un plazo ajustado. Esta combinación de robo de datos y cifrado se ha convertido en el manual estándar de los grupos modernos de ransomware, y el enfoque de Interlock muestra lo metódicas que se han vuelto estas operaciones.

Lo que diferencia a Interlock, según la guía, es que se ejecuta como un binario controlado por línea de comandos. Esta decisión de diseño es más importante de lo que parece. En lugar de depender de una única rutina automatizada, los operadores pueden proporcionar argumentos específicos de línea de comandos para controlar exactamente cómo se comporta cada ejecución de cifrado, lo que les otorga un control detallado sobre qué archivos, carpetas o sistemas son atacados y cómo se desarrolla el ataque en tiempo real.

Tácticas, técnicas y procedimientos de Interlock

La guía de detección desglosa varios de los métodos de persistencia y evasión en los que Interlock se apoya una vez que se ha afianzado dentro de una red. El malware utiliza tareas programadas y modificaciones del registro para mantener su presencia en los sistemas infectados, técnicas que le permiten sobrevivir a reinicios y seguir funcionando incluso si se elimina un proceso inicial.

Más preocupante es cómo Interlock utiliza estos mismos mecanismos para debilitar las defensas de un sistema. El ransomware desactiva el firewall y manipula los certificados, dos cambios que pueden eliminar silenciosamente capas de protección en las que las organizaciones confían para detectar y bloquear el tráfico malicioso. Cuando se desactiva el firewall, las conexiones salientes utilizadas para exfiltrar los datos robados pueden pasar con mucho menos escrutinio. Cuando se manipulan los certificados, resulta más difícil para las herramientas de seguridad verificar si los archivos y procesos que se ejecutan en un sistema son legítimos.

Dado que Interlock acepta argumentos de línea de comandos, los equipos de seguridad que revisan los registros de endpoints y los historiales de procesos tienen una oportunidad real de detectarlo en acción. Las cadenas de línea de comandos inusuales, la creación inesperada de tareas programadas y los cambios abruptos en el firewall o los certificados son señales que una guía de detección como esta recomienda que las organizaciones vigilen de cerca.

Por qué la doble extorsión eleva los riesgos para la privacidad

La doble extorsión es lo que convierte un incidente de ransomware de una interrupción del sistema en una crisis de privacidad en toda regla. El cifrado por sí solo puede resolverse con copias de seguridad y reconstrucción de sistemas. Pero una vez que los datos han sido exfiltrados, el daño se extiende mucho más allá de la organización víctima. Los registros de empleados, los datos de clientes, los detalles financieros o, en el caso de los proveedores de atención médica, la información de los pacientes, pueden terminar publicados o vendidos si no se paga el rescate a tiempo.

La magnitud del daño que este tipo de ataque puede causar no es teórica. La violación de datos de Kettering Health, que afectó a casi 1,7 millones de pacientes, ilustra cómo una sola intrusión de ransomware que implica el robo de datos puede extenderse y afectar a un enorme número de personas que no tuvieron un papel directo en la violación y, a menudo, no tienen forma inmediata de saber que su información fue expuesta. Las campañas de doble extorsión como la descrita en la guía de Interlock siguen esta misma estructura básica: primero robar, segundo cifrar, tercero amenazar con filtrar.

Precisamente por eso la detección es tan importante como la recuperación. Detectar un binario controlado por línea de comandos como Interlock durante su etapa de evasión y persistencia, antes de que los datos abandonen la red, es mucho más efectivo que intentar negociar después del hecho.

Qué significa esto para ti

La mayoría de los lectores no serán responsables de reforzar un firewall corporativo, pero el ransomware Interlock sigue teniendo implicaciones reales para la privacidad cotidiana. Si eres cliente, paciente o empleado de una organización que sufre un ataque de doble extorsión, tus datos personales pueden convertirse en parte de la influencia que utilizan los atacantes, independientemente de si alguna vez interactúas directamente con los sistemas comprometidos.

Para los equipos de TI y seguridad, el énfasis de la guía en los argumentos de línea de comandos, las tareas programadas, los cambios en el registro, el estado del firewall y la integridad de los certificados ofrece un punto de partida práctico para crear reglas de detección. La supervisión de cambios no autorizados en estas áreas específicas puede señalar una intrusión de Interlock mucho antes de que se completen el cifrado y la exfiltración.

Medidas prácticas

  • Las organizaciones deben supervisar la creación inesperada de tareas programadas y las modificaciones del registro, especialmente las relacionadas con la configuración del firewall o los certificados.
  • Los equipos de seguridad deben registrar y revisar la actividad de línea de comandos en todos los endpoints, ya que los argumentos de línea de comandos de Interlock pueden revelar el alcance de un ataque en curso.
  • Las personas deben tomarse en serio las notificaciones sobre una violación de datos en cualquier organización que tenga su información, ya que los grupos de ransomware de doble extorsión como Interlock amenazan específicamente con filtrar los datos personales robados.
  • Las copias de seguridad por sí solas no son suficiente protección contra el ransomware Interlock; dado que roba los datos antes de cifrarlos, los planes de recuperación deben tener en cuenta la exposición, no solo el tiempo de inactividad.
  • Mantenerse informado sobre cómo operan grupos como Interlock ayuda tanto a las organizaciones como a las personas a reconocer las señales de advertencia antes y a responder más rápido cuando ocurre un incidente.