Como o Interlock Ransomware Infecta as Organizações de Saúde
Os ataques de ransomware atingiram uma escala sem precedentes no setor de saúde, expondo vulnerabilidades que colocam milhões em risco. Recentemente, a UnitedHealth revelou que 190 milhões de americanos tiveram seus dados pessoais e de saúde roubados durante o ataque de ransomware Change Healthcare, um número que quase dobra o total divulgado anteriormente.
Essa violação mostra o quão profundamente o ransomware pode se infiltrar em sistemas críticos, deixando a confiança e o cuidado do paciente na balança.
Um dos grupos que tem como alvo esse setor já frágil é o grupo de ransomware Interlock. Conhecidos por seus ataques calculados e sofisticados, eles se concentram em hospitais, clínicas e outros prestadores de serviços médicos.
Grupo Interlock Ransomware: Uma Ameaça Ativa aos Cuidados de Saúde
O grupo de ransomware Interlock é um jogador relativamente recente, mas perigoso, no mundo do cibercrime, conhecido por empregar táticas de dupla extorsão.
Esse método envolve criptografar os dados da vítima para interromper as operações e ameaça vazar informações confidenciais se as demandas de resgate não forem atendidas. Sua principal motivação é o ganho financeiro, e seus métodos são adaptados para maximizar a pressão sobre seus objetivos.
Características notáveis
- Sofisticação: O grupo usa técnicas avançadas como phishing, atualizações falsas de software e sites maliciosos para obter acesso inicial.
- Persistência: Sua capacidade de permanecer indetectado por longos períodos amplifica o dano que eles podem causar.
- Implantação rápida: Uma vez dentro de uma rede, eles rapidamente se movem lateralmente, roubando dados confidenciais e preparando sistemas para criptografia.
- Exigências de resgate personalizadas: O grupo avalia cuidadosamente o valor dos dados roubados para definir os valores de resgate que as vítimas provavelmente pagarão.
Alvos Recentes do Grupo Interlock Ransomware
No final de 2024, a Interlock teve como alvo várias organizações de saúde nos Estados Unidos, expondo informações confidenciais de pacientes e interrompendo gravemente as operações. Vítimas incluídas:
- Brockton Neighborhood Centro de Saúde: Violado em outubro de 2024, com o ataque permanecendo sem ser detectado por quase dois meses.
- Serviços de Tratamento Legado: Detectado no final de outubro de 2024.
- Serviço de Tratamento de Drogas e Álcool: Dados comprometidos descobertos no mesmo período.
Cadeia de Ataque do Grupo Interlock Ransomware
O grupo de ransomware Interlock começa seu ataque com um método estratégico e altamente enganoso conhecido como Compromisso Drive-by. Essa técnica permite que o grupo obtenha acesso inicial a sistemas direcionados, explorando usuários desavisados, geralmente por meio de sites de phishing cuidadosamente projetados.
Ataque Inicial do Ransomware
O ataque começa quando o grupo Interlock compromete um site legítimo existente ou registra um novo domínio de phishing. Esses sites são cuidadosamente criados para parecer confiáveis, imitando plataformas confiáveis, como portais de notícias ou páginas de download de software. Os sites geralmente contêm links para baixar atualizações ou ferramentas falsas, que, quando executadas, infectam o dispositivo do usuário com software malicioso.
Exemplo: A sandbox interativa do ANY.RUN detectou um domínio sinalizado como parte da atividade do Interlock, apple-online.shop. Este último foi projetado para induzir os usuários a baixar malware disfarçado de software legítimo.
Essa tática efetivamente ignora a camada inicial de suspeita do usuário, mas com detecção e análise precoces, as equipes de SOC podem identificar rapidamente domínios maliciosos, bloquear o acesso e responder mais rapidamente a ameaças emergentes, reduzindo o impacto potencial nas operações de negócios.
apple-online.shop sinalizado como parte da atividade da Interlock dentro da sandbox ANY.RUN
Execução: Como o Interlock Ganha Controle
Uma vez que o grupo de ransomware Interlock viola as defesas iniciais, a fase de Execução começa. Nesta fase, os invasores implantam cargas maliciosas ou executam comandos prejudiciais em dispositivos comprometidos, preparando o cenário para o controle total sobre a rede da vítima.
O ransomware de bloqueio geralmente disfarça suas ferramentas maliciosas como atualizações de software legítimas para enganar os usuários. As vítimas, sem saber, lançam atualizadores falsos, como aqueles que imitam os instaladores do Chrome, MSTeams ou Microsoft Edge, pensando que estão realizando manutenção de rotina. Em vez disso, esses downloads ativam as Ferramentas de Acesso Remoto (RATs), que concedem aos invasores acesso total ao sistema infectado.
Dentro da sessão de sandbox do ANY.RUN, um dos atualizadores upd_8816295.exeé claramente identificado dentro da árvore de processos no lado direito, mostrando seu comportamento malicioso e fluxo de execução.
Atualizador falso analisado dentro da sandbox ANY.RUN
Ao clicar no botão Malconf no lado direito da sessão de sandbox ANY.RUN, revelamos a URL criptografada escondida dentro do atualizador falso.
Os analistas recebem dados detalhados em um formato claro e fácil de usar, ajudando as empresas a melhorar seus fluxos de trabalho de resposta a ameaças, reduzir o tempo de análise e obter resultados mais rápidos e eficazes ao combater ameaças cibernéticas.
URL malicioso descriptografado dentro da sandbox ANY.
Comprometendo o Acesso Sensível
O próximo passo do ataque é roubar credenciais de acesso. Essas credenciais concedem aos invasores a capacidade de se mover lateralmente dentro da rede e explorar ainda mais a infraestrutura da vítima.
O grupo de ransomware Interlock usou uma ferramenta personalizada do Stealer para coletar dados confidenciais, incluindo nomes de usuário, senhas e outras credenciais de autenticação. Segundo relatos, essas informações roubadas foram armazenadas em um arquivo chamado “chrgetpdsi.txt”, que serviu como ponto de coleta antes da exfiltração.
Usando a ferramenta TI Lookup da ANY.RUN, descobrimos que esse Stealer foi detectado na plataforma já em agosto de 2024.
Interlock Stealer detectado por ANY.RUN
Movimento Lateral: Expandindo o Ponto de apoio
Durante o Fase de Movimento Lateral, os atacantes se espalham pela rede para acessar sistemas e recursos adicionais. O grupo de ransomware Interlock dependia de ferramentas legítimas de administração remota, como Putty Anydesk, e RDP, muitas vezes usado por equipes de TI, mas reaproveitado para atividades maliciosas.
Putty detectado dentro de ANY.RUN
Exfiltragem de Dados: Extraindo Informações Roubadas
Nesta fase final, os invasores extraem dados roubados da rede da vítima, geralmente usando serviços de armazenamento em nuvem. O grupo de ransomware Interlock, por exemplo, aproveitou o armazenamento em nuvem do Azure para transferir dados para fora da organização.
Dentro do ANY.RUN Sandbox, podemos ver como os dados estão sendo enviados para servidores controlados por invasores.
Por exemplo, aqui os logs revelaram informações sendo transmitidas para IP 217[.]148.142.19 sobre porta 443 durante um ataque de bloqueio.
Dados enviados pelo RAT para servidores controlados por invasores revelados pelo ANY.RUN
Proteção Proativa Contra Ransomware na Saúde
O setor de saúde é um alvo principal para grupos de ransomware como o Interlock, com ataques que comprometem dados confidenciais de pacientes, interrompem serviços críticos e colocam vidas em risco. As organizações de saúde devem permanecer cautelosas e priorizar medidas de segurança cibernética para proteger seus sistemas e dados.
A detecção precoce é a chave para minimizar os danos. Ferramentas como o ANY.RUN Sandbox permitem que as equipes de saúde identifiquem ameaças como o Interlock no início da cadeia de ataques, fornecendo informações acionáveis para evitar violações de dados antes que elas ocorram.
Com a capacidade de analisar com segurança arquivos suspeitos, descobrir Indicadores ocultos de Compromisso (IOCs) e monitorar a atividade da rede, o ANY.RUN oferece às organizações o poder de lutar contra ameaças avançadas.
Fonte: https://thehackernews.com/