Interlock 2.0: Ransomware com Operações Pós-Expediente e a Necessidade de um SOC 24×7
A cibersegurança opera sob uma nova lei: o tempo. A corrida entre defensores e atacantes agora é medida em minutos, não em dias. Há cinco anos, o dwell time (tempo de permanência) de um adversário em uma rede era de 24 dias, oferecendo uma janela para detecção e resposta. Hoje, esse cenário mudou drasticamente. O dwell time para ataques de ransomware caiu para apenas cinco dias, e em quase 20% dos casos, a exfiltração de dados ocorre na primeira hora após o comprometimento. Essa compressão do tempo de ataque é agravada pela tática mais explorada pelos adversários: o timing. Uma análise rigorosa revela que 86% dos ataques de ransomware são estrategicamente lançados durante fins de semana e feriados. Esta é uma manobra calculada para explorar a vulnerabilidade mais previsível do mundo corporativo, que é o relógio comercial. Enquanto as operações pausam, as equipes de segurança operam com capacidade reduzida, com 85% das organizações diminuindo seu pessoal de SOC em até 50%. Os atacantes agem mais rápido precisamente quando as defesas estão mais lentas. Nesse cenário, emerge o Interlock 2.0, mais do que uma nova variante, ele é a personificação dessa nova cadência de risco. Em menos de um ano, o grupo evoluiu de uma ameaça desconhecida para um predador de “grandes alvos” (“big-game hunting”), atingindo uma maturidade operacional que adversários mais antigos levaram anos para alcançar. Sua metodologia combina engenharia social de precisão, táticas de evasão e uma velocidade de execução projetada para capitalizar sobre a latência da resposta humana. Este artigo realiza uma dissecação anatômica do Interlock 2.0, expondo seu modus operandi, analisaremos como sua estratégia de atacar fora do expediente é o pilar de sua eficácia e apresentaremos uma estratégia de defesa moderna, construída sobre os princípios de resiliência automatizada e vigilância ininterrupta, a filosofia do Cyber Fusion Center (CFC) da Asper. Ouça o resumo do artigo: De ameaça emergente a predador digital: A evolução acelerada do Interlock A ascensão do Interlock foi notavelmente rápida, demonstrando uma capacidade de evolução que desafia os ciclos de vida tradicionais de grupos de ransomware. O grupo Interlock deixou de ser apenas uma ameaça emergente para se consolidar como um predador digital altamente estruturado. Sua rápida evolução operacional, aliada ao uso de técnicas avançadas de evasão, extorsão dupla e ataques direcionados, demonstra um amadurecimento preocupante dentro do ecossistema cibercriminoso Fase 1: Emergência (Setembro – Outubro 2024) O Interlock surgiu como um grupo fechado e financeiramente motivado, sem o modelo de afiliados comum em RaaS. Desde o início, demonstrou ambição técnica, com um backdoor básico em PowerShell e variantes para Windows, Linux e FreeBSD. Para suas comunicações de Comando e Controle (C2), o grupo já utilizava túneis através de serviços legítimos da Cloudflare, uma tática de evasão que se tornaria sua assinatura. Fase 2: Expansão de Capacidades (Novembro 2024 – Janeiro 2025) Nesta fase, o nome “Interlock” começou a ser formalmente associado aos ataques. O backdoor evoluiu para uma família de Trojans de Acesso Remoto (RATs) em Java e Node.js, permitindo uma infiltração mais versátil. O grupo também expandiu sua infraestrutura, usando serviços do Microsoft Azure para exfiltração de dados, camuflando a atividade como tráfego de nuvem legítimo. O foco em setores de alta pressão, como saúde e governo, começou a se delinear. Fase 3: Maturidade Operacional (Fevereiro 2025 em diante – Presente) A partir de 2025, o Interlock atingiu um nível de maturidade que o posicionou entre os principais grupos de ransomware. A operação evoluiu para uma plataforma de ataque completa, possivelmente adotando um modelo RaaS privado para escalar suas operações. Sua infraestrutura tornou-se totalmente nativa da nuvem, projetada para sustentar campanhas de “big-game hunting”. Pesquisadores também identificaram semelhanças com o ransomware Rhysida, sugerindo que o Interlock pode ser um grupo dissidente ou ter herdado parte de seu código-fonte, o que explicaria sua rápida sofisticação. Fase 4: Mudança no modus operandi foco em organizações de infraestrutura crítica (Julho 2025) Táticas incomuns, como o download drive-by de sites legítimos comprometidos A CISA e o FBI emitiram um alerta na data (22/07/2025) sobre o ransomware Interlock, apontando seu foco em empresas e organizações de infraestrutura crítica. O alerta inclui indicadores de comprometimento e medidas de mitigação contra os ataques da gangue de ransomware. Os atores da ameaça estão ligados a ataques ClickFix e à implantação do trojan NodeSnake em redes de universidades do Reino Unido. O grupo cybercriminoso também assumiu a responsabilidade pela violação de uma grande empresa no setor da saúde. O FBI observou a gangue Interlock utilizando táticas incomuns, como o download drive-by de sites legítimos comprometidos, e pressionando vítimas com extorsão dupla, onde criptografam sistemas, exfiltram dados e exigem resgate. O grupo também adotou a técnica FileFix para lançar um trojan de acesso remoto, usando elementos confiáveis da interface do usuário do Windows para enganar alvos e executar códigos maliciosos. Para se proteger desses ataques, equipes de segurança devem implementar filtragem DNS, firewalls de acesso à Web, treinar usuários contra engenharia social, manter sistemas atualizados, segmentar redes e limitar acesso de dispositivos comprometidos. Além disso, as organizações precisam estabelecer políticas de gerenciamento de identidade, credenciais e acesso (ICAM) e exigir autenticação multifatorial (MFA) para todos os serviços, quando possível. Interlock 2.0 vs. Ransomware Tradicional: Uma Mudança de Paradigma no Ataque Anatomia de um ataque cirúrgico: Como funciona o Interlock 2.0 O poder do Interlock 2.0 está na sua capacidade de sincronizar, com precisão cirúrgica, um conjunto de técnicas interdependentes que exploram as sutis falhas entre tecnologia, processos e comportamento humano. Essa abordagem integrada transforma cada fase do ataque em uma operação coordenada, onde automação, engenharia social e evasão avançada se fundem para maximizar o impacto e minimizar a detecção. Tela do DLS Interlock O começo do ataque: A arma psicológica “ClickFix” O ponto de entrada do Interlock explora a cognição humana. A técnica “ClickFix” é uma forma de engenharia social que transforma a vítima em agente da infecção. O ataque começa quando o alvo, frequentemente um profissional de TI, visita um site legítimo comprometido. No site, a vítima encontra uma
