La banda de ransomware Interlock mantiene una campaña muy activa para atacar a organizaciones e infraestructuras críticas de Europa y Norteamérica, intensificando sus ataques y cambiando de técnica. Así lo ha advertido la Agencia de Seguridad de Infraestructuras de Ciberseguridad de EE.UU (CISA).
La variante del ransomware Interlock se observó por primera vez a finales de septiembre de 2024, atacando a diversas empresas, instituciones críticas y otras organizaciones críticas en Europa y Norteamérica.
Desde el FBI sostienen que estos actores escogen sus víctimas basándose en la oportunidad y aseguran que su actividad tiene motivaciones económicas.
Vectores de ataque
Asimismo, la agencia señala que los actores obtienen acceso inicial mediante descargas no autorizadas desde sitios webs legítimos comprometidos, un método poco común entre los grupos de ransomware.
Además, las autoridades han observado que los actores utilizaban la técnica de ingeniería social ClickFix para el acceso inicial, por la cual engañan a las víctimas para que se ejecute una carga maliciosa con el pretexto de solucionar un problema en su sistema.
Posteriormente, los cibermalos han usado diversos métodos de descubrimiento, acceso a credenciales y movimiento lateral para propagarse a otros sistemas de la red.
Como es común en estos grupos los actores de Interlock emplean un modelo de doble extorsión, cifrando los sistemas tras exfiltrar datos, aumentando la presión sobre las víctimas para que se aflojen el bolsillo.
El aviso forma parte de la iniciativa #StopRansomware, que busca publicar avisos donde detallan diversas variantes y actores de ransomware. Estos incluyen distintas técnicas, tácticas y procedimientos (TTP) e indicadores de compromiso (IOC) para ayudar a las organizaciones a protegerse contra el ransomware.
