Cos'è Interlock Ransomware?

Una nuova guida al rilevamento dei ransomware sta facendo luce su Interlock, un'operazione ransomware basata sulla doppia estorsione: gli aggressori sottraggono silenziosamente dati sensibili dalla rete di una vittima, cifrano i sistemi e poi minacciano di pubblicare i file rubati se il riscatto non viene pagato entro una scadenza stretta. Questa combinazione di furto di dati e cifratura è diventata il metodo standard per i moderni gruppi ransomware, e l'approccio di Interlock mostra quanto siano diventate metodiche queste operazioni.

Ciò che distingue Interlock, secondo la guida, è che viene eseguito come un binario a riga di comando. Questa scelta progettuale è più importante di quanto possa sembrare. Invece di basarsi su un'unica routine automatizzata, gli operatori possono fornire specifici argomenti da riga di comando per controllare esattamente come si comporta ogni esecuzione della cifratura, garantendo loro un controllo granulare su quali file, cartelle o sistemi vengono presi di mira e su come si sviluppa l'attacco in tempo reale.

All'interno delle tattiche, tecniche e procedure di Interlock

La guida al rilevamento analizza diversi metodi di persistenza e elusione su cui Interlock fa affidamento una volta ottenuto un punto d'appoggio all'interno di una rete. Il malware utilizza attività pianificate e modifiche al registro di sistema per mantenere la propria presenza sui sistemi infetti, tecniche che gli consentono di sopravvivere ai riavvii e di continuare a operare anche se un processo iniziale viene terminato.

Ancora più preoccupante è il modo in cui Interlock utilizza questi stessi meccanismi per indebolire le difese di un sistema. Il ransomware disabilita il firewall e manomette i certificati, due modifiche che possono silenziosamente eliminare i livelli di protezione su cui le organizzazioni fanno affidamento per rilevare e bloccare il traffico malevolo. Quando un firewall è disabilitato, le connessioni in uscita utilizzate per esfiltrare i dati rubati possono transitare con molto meno controllo. Quando i certificati vengono manomessi, diventa più difficile per gli strumenti di sicurezza verificare se i file e i processi in esecuzione su un sistema siano legittimi.

Poiché Interlock accetta argomenti da riga di comando, i team di sicurezza che esaminano i log degli endpoint e le cronologie dei processi hanno una reale opportunità di coglierlo in azione. Stringhe di comandi insolite, creazione imprevista di attività pianificate e modifiche improvvise al firewall o ai certificati sono tutti segnali che una guida al rilevamento come questa raccomanda alle organizzazioni di monitorare attentamente.

Perché la doppia estorsione alza la posta in gioco per la privacy

La doppia estorsione è ciò che trasforma un incidente ransomware da un'interruzione del sistema a una vera e propria crisi della privacy. La sola cifratura può essere risolta con backup e ricostruzioni dei sistemi. Ma una volta che i dati sono stati esfiltrati, il danno si estende ben oltre l'organizzazione vittima. Documenti dei dipendenti, dati dei clienti, dettagli finanziari o, nel caso degli operatori sanitari, informazioni sui pazienti, possono finire per essere pubblicati o venduti se il riscatto non viene pagato in tempo.

L'entità del danno che questo tipo di attacco può causare non è teorica. Il data breach di Kettering Health, che ha interessato quasi 1,7 milioni di pazienti, illustra come una singola intrusione ransomware che comporta il furto di dati possa estendersi a macchia d'olio, colpendo un numero enorme di persone che non hanno avuto alcun ruolo diretto nella violazione e spesso nessun modo immediato di sapere che le loro informazioni erano state esposte. Le campagne di doppia estorsione come quella descritta nella guida su Interlock seguono la stessa struttura di base: prima rubare, poi cifrare, infine minacciare di divulgare.

Questo è precisamente il motivo per cui il rilevamento è importante quanto il recupero. Catturare un binario a riga di comando come Interlock durante la sua fase di elusione e persistenza, prima che i dati lascino la rete, è molto più efficace che cercare di negoziare a posteriori.

Cosa significa per te

La maggior parte dei lettori non sarà responsabile del rafforzamento di un firewall aziendale, ma Interlock ransomware ha comunque implicazioni reali per la privacy quotidiana. Se sei un cliente, un paziente o un dipendente di un'organizzazione colpita da un attacco a doppia estorsione, i tuoi dati personali possono diventare parte della leva usata dagli aggressori, indipendentemente dal fatto che tu abbia mai interagito direttamente con i sistemi compromessi.

Per i team IT e di sicurezza, l'enfasi della guida sugli argomenti della riga di comando, sulle attività pianificate, sulle modifiche al registro, sullo stato del firewall e sull'integrità dei certificati offre un punto di partenza pratico per la creazione di regole di rilevamento. Il monitoraggio di modifiche non autorizzate in queste aree specifiche può segnalare un'intrusione di Interlock ben prima che la cifratura e l'esfiltrazione siano complete.

Suggerimenti pratici

  • Le organizzazioni dovrebbero monitorare la creazione imprevista di attività pianificate e le modifiche al registro di sistema, specialmente quelle legate alle impostazioni del firewall o dei certificati.
  • I team di sicurezza dovrebbero registrare e rivedere l'attività della riga di comando su tutti gli endpoint, poiché gli argomenti della riga di comando di Interlock possono rivelare la portata di un attacco in corso.
  • Le persone dovrebbero prendere sul serio le notifiche di violazione dei dati presso qualsiasi organizzazione che detiene le loro informazioni, poiché i gruppi ransomware a doppia estorsione come Interlock minacciano specificamente di divulgare i dati personali rubati.
  • I backup da soli non sono una protezione sufficiente contro Interlock ransomware; poiché ruba i dati prima di cifrarli, i piani di ripristino devono tenere conto dell'esposizione, non solo dei tempi di inattività.
  • Rimanere informati su come operano gruppi come Interlock aiuta sia le organizzazioni che gli individui a riconoscere prima i segnali di allarme e a rispondere più rapidamente quando si verifica un incidente.