Interlock

Überblick

Interlock ist eine Ransomware-Gruppe, die mit der Methode der doppelten Erpressung (Double Extortion) vorgeht: Sie verschlüsselt nicht nur die Systeme der Betroffenen, sondern entwendet zuvor sensible Daten und droht mit deren Veröffentlichung, um den Druck zur Lösegeldzahlung zu erhöhen. Im Fokus der Gruppe stehen Einrichtungen kritischer Infrastruktur, darunter das Gesundheitswesen, Behörden und öffentliche Verwaltung, der Bildungssektor sowie Technologieunternehmen. Geografisch konzentrieren sich ihre Angriffe auf Ziele in Nordamerika und Europa. Die Gruppe hat zahlreiche Opfer für sich reklamiert, wobei auch große Datenmengen mit besonders schützenswerten Informationen aus dem Gesundheitsbereich kompromittiert wurden. Charakteristisch für Interlock ist die Kombination aus dem Angriff auf besonders schutzbedürftige Sektoren und dem Erpressungsmodell, das auf die Drohung mit der Offenlegung gestohlener Daten setzt.

Taktiken & Vorgehen

Interlock setzt für die einzelnen Phasen eines Angriffs eine Reihe legitimer und quelloffener Werkzeuge sowie typischer Angriffssoftware ein. Zur Erkundung des Netzwerks dient der „Advanced Port Scanner“. Für die Fernsteuerung kompromittierter Systeme kommen Fernwartungslösungen wie „AnyDesk“ und „ScreenConnect“ sowie das Post-Exploitation-Framework „Cobalt Strike“ zum Einsatz; die laterale Bewegung im Netzwerk wird mit „PsExec“ unterstützt. Zur Datenexfiltration nutzt die Gruppe „Azure Storage Explorer“, „AZCopy“, „WinSCP“ und „PuTTY“. Sicherheitsmechanismen werden mit „ProcessHacker“ sowie über die Technik „Bring Your Own Vulnerable Driver“ (BYOVD) unter Verwendung des Treibers „ThreatFire System Monitor“ ausgehebelt, um Schutzsoftware zu beenden oder zu umgehen.

Schutzmaßnahmen

Der Einsatz von Fernwartungswerkzeugen wie „AnyDesk“ und „ScreenConnect“ sollte eingeschränkt und auf nicht autorisierte Installationen überwacht werden. Die BYOVD-Technik mit dem Treiber „ThreatFire System Monitor“ lässt sich durch Sperrlisten für verwundbare Treiber sowie den Schutz der eingesetzten Sicherheitssoftware vor Beendigung eindämmen. Die laterale Bewegung über „PsExec“ und der Einsatz von „Cobalt Strike“ sollten durch Netzwerksegmentierung und die Überwachung verdächtiger Prozessausführungen erschwert werden. Ungewöhnliche Datenübertragungen über Werkzeuge wie „AZCopy“, „WinSCP“ oder „Azure Storage Explorer“ sollten erkannt und ausgehende Verbindungen kontrolliert werden, um eine Exfiltration frühzeitig zu unterbinden.