Wat is Interlock-ransomware?

Een nieuwe detectiegids voor ransomware werpt licht op Interlock, een ransomware-operatie die draait om dubbele afpersing: aanvallers exfiltreren stilletjes gevoelige gegevens uit het netwerk van een slachtoffer, versleutelen de systemen en dreigen vervolgens de gestolen bestanden te publiceren als er niet binnen een strikte deadline losgeld wordt betaald. Deze combinatie van gegevensdiefstal en versleuteling is het standaard draaiboek geworden voor moderne ransomwaregroepen, en de aanpak van Interlock laat zien hoe methodisch deze operaties zijn geworden.

Wat Interlock onderscheidt, volgens de gids, is dat het draait als een op de opdrachtregel gebaseerd binair bestand. Die ontwerpkeuze is belangrijker dan het misschien klinkt. In plaats van te vertrouwen op één geautomatiseerde routine, kunnen operators specifieke opdrachtregelargumenten meegeven om precies te bepalen hoe elke versleutelingsronde zich gedraagt, zodat ze korrelige controle hebben over welke bestanden, mappen of systemen het doelwit worden en hoe de aanval zich in realtime ontvouwt.

Binnen de tactieken, technieken en procedures van Interlock

De detectiegids ontleedt verschillende persistentie- en ontwijkingsmethoden waar Interlock op vertrouwt zodra het voet aan de grond heeft binnen een netwerk. De malware gebruikt geplande taken en registerwijzigingen om zijn aanwezigheid op geïnfecteerde systemen te behouden, technieken die het mogelijk maken herstarts te overleven en te blijven werken, zelfs als een initieel proces wordt beëindigd.

Zorgwekkender is hoe Interlock dezelfde mechanismen gebruikt om de verdediging van een systeem te verzwakken. De ransomware schakelt de firewall uit en knoeit met certificaten, twee wijzigingen die stilletjes beschermingslagen kunnen wegnemen waar organisaties op vertrouwen om kwaadaardig verkeer te detecteren en te blokkeren. Wanneer een firewall is uitgeschakeld, kunnen uitgaande verbindingen die worden gebruikt om gestolen gegevens te exfiltreren met veel minder controle passeren. Wanneer met certificaten wordt geknoeid, wordt het moeilijker voor beveiligingstools om te verifiëren of bestanden en processen die op een systeem draaien legitiem zijn.

Omdat Interlock opdrachtregelargumenten accepteert, hebben beveiligingsteams die eindpuntlogboeken en procesgeschiedenissen beoordelen een reële kans om het op heterdaad te betrappen. Ongebruikelijke opdrachtregelreeksen, onverwachte aanmaak van geplande taken en abrupte wijzigingen in firewall of certificaten zijn allemaal signalen die een detectiegids als deze organisaties aanbeveelt om nauwlettend in de gaten te houden.

Waarom dubbele afpersing de inzet verhoogt voor privacy

Dubbele afpersing is wat een ransomware-incident verandert van een systeemstoring in een regelrechte privacycrisis. Versleuteling alleen kan worden opgelost met back-ups en systeemherbouw. Maar zodra gegevens zijn geëxfiltreerd, reikt de schade veel verder dan de getroffen organisatie. Werknemersgegevens, klantinformatie, financiële details of, in het geval van zorgverleners, patiëntinformatie kunnen worden gepubliceerd of verkocht als het losgeld niet op tijd wordt betaald.

De schaal van schade die dit soort aanval kan veroorzaken is niet theoretisch. Het datadatalek bij Kettering Health, dat bijna 1,7 miljoen patiënten trof, illustreert hoe een enkele ransomware-inbraak met gestolen gegevens kan uitdeinen naar enorme aantallen mensen die geen directe rol hadden in de inbreuk en vaak geen directe manier hadden om te weten dat hun informatie was blootgesteld. Campagnes met dubbele afpersing, zoals beschreven in de Interlock-gids, volgen deze zelfde basisstructuur: eerst stelen, dan versleutelen, en als derde dreigen te lekken.

Dit is precies waarom detectie net zo belangrijk is als herstel. Een op de opdrachtregel gebaseerd binair bestand zoals Interlock vangen tijdens de ontwijkings- en persistentiefase, voordat gegevens het netwerk verlaten, is veel effectiever dan achteraf proberen te onderhandelen.

Wat dit voor jou betekent

De meeste lezers zullen niet verantwoordelijk zijn voor het versterken van een bedrijfsfirewall, maar Interlock-ransomware heeft nog steeds reële gevolgen voor de alledaagse privacy. Als je klant, patiënt of werknemer bent van een organisatie die wordt getroffen door een dubbele-afpersingsaanval, kunnen je persoonlijke gegevens onderdeel worden van het drukmiddel dat aanvallers gebruiken, ongeacht of je zelf ooit rechtstreeks met de gecompromitteerde systemen in aanraking komt.

Voor IT- en beveiligingsteams biedt de nadruk van de gids op opdrachtregelargumenten, geplande taken, registerwijzigingen, firewallstatus en certificaatintegriteit een praktisch startpunt voor het opbouwen van detectieregels. Het monitoren van ongeautoriseerde wijzigingen in deze specifieke gebieden kan een Interlock-indringing signaleren ruim voordat versleuteling en exfiltratie zijn voltooid.

Concrete stappen

  • Organisaties moeten controleren op onverwachte aanmaak van geplande taken en registerwijzigingen, met name die verband houden met firewall- of certificaatinstellingen.
  • Beveiligingsteams moeten opdrachtregelactiviteit op eindpunten loggen en beoordelen, omdat de opdrachtregelargumenten van Interlock de reikwijdte van een lopende aanval kunnen onthullen.
  • Individuen moeten meldingen over een datalek bij elke organisatie die hun informatie bewaart serieus nemen, aangezien groepen die aan dubbele afpersing doen, zoals Interlock, specifiek dreigen met het lekken van gestolen persoonlijke gegevens.
  • Alleen back-ups zijn geen voldoende bescherming tegen Interlock-ransomware; omdat het gegevens steelt vóór versleuteling, moeten herstelplannen rekening houden met blootstelling, niet alleen met downtime.
  • Op de hoogte blijven van hoe groepen zoals Interlock opereren, helpt zowel organisaties als individuen om waarschuwingssignalen eerder te herkennen en sneller te reageren wanneer een incident zich voordoet.