Hva Er Interlock Ransomware?

En ny veiledning for deteksjon av løsepengevirus kaster lys over Interlock, en løsepengeoperasjon bygget rundt dobbel utpressing: angripere eksfiltrerer sensitiv informasjon i det stille fra offerets nettverk, krypterer systemene, og truer deretter med å publisere de stjålne filene dersom en løsepenge ikke betales innen en stram tidsfrist. Denne kombinasjonen av datatyveri og kryptering har blitt standardoppskriften for moderne løsepengegrupper, og Interlocks tilnærming viser akkurat hvor metodiske disse operasjonene har blitt.

Det som skiller Interlock, ifølge veiledningen, er at den kjøres som en kommandolinje-drevet binærfil. Det designvalget har større betydning enn det kanskje høres ut som. I stedet for å stole på én enkelt automatisert rutine, kan operatører oppgi spesifikke kommandolinjeargumenter for å kontrollere nøyaktig hvordan hver krypteringskjøring oppfører seg, noe som gir dem detaljert kontroll over hvilke filer, mapper eller systemer som blir målrettet, og hvordan angrepet utspiller seg i sanntid.

Interlocks Taktikker, Teknikker og Prosedyrer

Deteksjonsveiledningen bryter ned flere av metodene for vedvarende tilstedeværelse og unnvikelse som Interlock benytter seg av når den først har fotfeste inne i et nettverk. Skadevaren bruker planlagte oppgaver og registerendringer for å opprettholde sin tilstedeværelse på infiserte systemer – teknikker som gjør at den kan overleve omstarter og fortsette å operere selv om en innledende prosess blir drept.

Mer bekymringsfullt er hvordan Interlock bruker disse samme mekanismene til å svekke systemets forsvar. Løsepengeviruset deaktiverer brannmuren og tukler med sertifikater, to endringer som i det stille kan fjerne lag av beskyttelse som organisasjoner stoler på for å oppdage og blokkere ondsinnet trafikk. Når en brannmur er deaktivert, kan utgående tilkoblinger som brukes til å eksfiltrere stjålne data passere med langt mindre gransking. Når sertifikater tukles med, blir det vanskeligere for sikkerhetsverktøy å verifisere om filer og prosesser som kjører på et system, er legitime.

Fordi Interlock mottar kommandolinjeargumenter, har sikkerhetsteam som gjennomgår endepunktlogger og prosesshistorikk en reell mulighet til å avdekke den i aksjon. Uvanlige kommandolinjestrenger, uventet opprettelse av planlagte oppgaver og plutselige endringer i brannmur eller sertifikater er alle signaler som en deteksjonsveiledning som denne anbefaler at organisasjoner følger nøye med på.

Hvorfor Dobbeltutpressing Hever Innsatsen for Personvern

Dobbeltutpressing er det som gjør en løsepengehendelse fra et systemavbrudd til en fullverdig personvernkrise. Kryptering alene kan løses med sikkerhetskopier og gjenoppbygging av systemer. Men når data først har blitt eksfiltrert, strekker skaden seg langt utover offerorganisasjonen. Ansattregistre, kundedata, økonomiske detaljer, eller i tilfellet med helseforetak, pasientinformasjon, kan ende opp med å bli publisert eller solgt dersom løsepengene ikke betales i tide.

Omfanget av skade denne typen angrep kan forårsake er ikke teoretisk. Kettering Health-datainnbruddet, som rammet nesten 1,7 millioner pasienter, illustrerer hvordan et enkelt løsepengeinntrenging som involverer stjålne data, kan bølge utover og påvirke enorme antall mennesker som ikke hadde noen direkte rolle i innbruddet og ofte ingen umiddelbar måte å vite at informasjonen deres ble eksponert. Dobbeltutpresse-kampanjer som den som er beskrevet i Interlock-veiledningen, følger den samme grunnleggende strukturen: stjel først, krypter deretter, tru med å lekke til slutt.

Det er nettopp derfor deteksjon er like viktig som gjenoppretting. Å fange en kommandolinje-drevet binærfil som Interlock under unnvikelses- og etableringsfasen, før data forlater nettverket, er langt mer effektivt enn å forsøke å forhandle i etterkant.

Hva Dette Betyr for Deg

De fleste lesere vil ikke være ansvarlige for å herde en bedriftsbrannmur, men Interlock-ransomware har likevel reelle implikasjoner for daglig personvern. Hvis du er kunde, pasient eller ansatt i en organisasjon som blir rammet av et dobbeltutpresse-angrep, kan dine personlige data ende opp som en del av angripernes pressmiddel, uavhengig av om du noen gang samhandler direkte med de kompromitterte systemene.

For IT- og sikkerhetsteam gir veiledningens vektlegging av kommandolinjeargumenter, planlagte oppgaver, registerendringer, brannmurstatus og sertifikatintegritet et praktisk utgangspunkt for å bygge deteksjonsregler. Overvåking av uautoriserte endringer i disse spesifikke områdene kan flagge en Interlock-inntrenging lenge før kryptering og eksfiltrering er fullført.

Praktiske Tiltak

  • Organisasjoner bør overvåke for uventet opprettelse av planlagte oppgaver og registerendringer, spesielt de som er knyttet til brannmur- eller sertifikatinnstillinger.
  • Sikkerhetsteam bør logge og gjennomgå kommandolinjeaktivitet på tvers av endepunkter, siden Interlocks kommandolinjeargumenter kan avsløre omfanget av et pågående angrep.
  • Enkeltpersoner bør ta varsler om datainnbrudd hos enhver organisasjon som oppbevarer deres informasjon på alvor, ettersom dobbeltutpresse-løsepengegrupper som Interlock spesifikt truer med å lekke stjålne personopplysninger.
  • Sikkerhetskopier alene er ikke tilstrekkelig beskyttelse mot Interlock-ransomware; fordi den stjeler data før kryptering, må gjenopprettingsplaner ta høyde for eksponering, ikke bare nedetid.
  • Å holde seg informert om hvordan grupper som Interlock opererer, hjelper både organisasjoner og enkeltpersoner med å gjenkjenne varselsignaler tidligere og reagere raskere når en hendelse inntreffer.