IBM X-Force выявила глубокие связи между группами программ-вымогателей Interlock и Rhysida

Специалисты IBM X-Force опубликовали результаты долгосрочного исследования экосистемы программ-вымогателей, связанных с группировками Interlock (Hive0163) и Rhysida. Анализ охватывает более двух лет наблюдений за вредоносными семействами и криптерами. Эксперты сопоставили данные внутренней телеметрии с отчетами сторонних организаций. Полученные сведения проясняют отношения между брокерами первоначального доступа, авторами криптеров, загрузчиков и бэкдоров, используемых операторами обеих группировок.

Описание

Группа Interlock начала активные атаки с применением программ-вымогателей в сентябре 2024 года. В отличие от многих современных группировок, она не работает по модели RaaS (программы-вымогатели как услуга) и использует преимущественно собственные вредоносные инструменты. Среди них - загрузчик NodeSnake, бэкдоры InterlockRAT и Supper, а также загрузчик JunkFiction и собственно вымогатель Interlock с версиями для Windows и Linux. Группа Rhysida, напротив, функционирует как RaaS как минимум с мая 2023 года. Одни из связанных с ней операторов, отслеживаемые Microsoft как Vanilla Tempest, регулярно применяют загрузчик Endico, бэкдоры Broomstick и Supper, а также криптер Tomb.

По данным сайтов утечек, обе группы заявили примерно о 80 жертвах в 2025 году, причем большинство атакованных организаций находится в США. Основными целями Interlock стали промышленность, здравоохранение и государственные учреждения. У Rhysida доминирует государственный сектор, а также сферы образования и профессиональных услуг. Ранее выдвигались предположения о возможной связи между двумя группами. Например, специалисты Cisco Talos с низкой степенью уверенности оценивали Interlock как отделившуюся ветвь Rhysida из-за сходства в тактиках, методах и самих бинарных файлах вымогателей. Новые данные IBM X-Force предоставляют значительно больше доказательств, подтверждающих родство или тесную взаимосвязь разработчиков и операторов.

Одним из ключевых связующих звеньев выступает трафик-распределительная система (TDS), которая позволяет перенаправлять жертв с зараженного сайта на нужный вредоносный ресурс в зависимости от данных браузера. Эта TDS, отслеживаемая Recorded Future как TAG-124 (также известна как LandUpdate808 и KongTuke), активно используется как в атаках Interlock, так и ранее - в операциях Rhysida. В мае 2024 года через нее распространялся загрузчик Broomstick, зашифрованный криптером Dave и связанный с Rhysida. В сентябре того же года зафиксирована кампания с загрузчиком JunkFiction, ведущая к Interlock. В марте 2025 года через ClickFix-атаку (подмена легитимных обновлений) от TAG-124 доставлялся NodeSnake, а затем бэкдор Supper, что привело к инциденту с Interlock. Анализ общих жертв и сетевых соединений позволяет предполагать еще более тесные отношения между непосредственно операторами Interlock и владельцами этой TDS.

Важную роль в повышении скрытности атак играют криптеры - специализированные утилиты, шифрующие и сжимающие полезную нагрузку, чтобы обойти антивирусы и системы обнаружения. Каждая из рассматриваемых группировок предпочитает собственного поставщика криптеров. Interlock использует эксклюзивный криптер JunkFiction, которым шифруются их бэкдоры и непосредственно вымогатель. Vanilla Tempest (крыло Rhysida) полагается на криптер Tomb. При этом обе группы разделяют доступ к бэкдору Supper: в инцидентах Interlock он зашифрован JunkFiction, в инцидентах Rhysida - Tomb. Более того, Supper также наблюдался вместе с загрузчиками Broomstick, Endico и NodeSnake, что указывает на его широкое распространение среди ограниченного круга операторов.

Анализ кода нескольких вредоносных семейств выявил значительные пересечения. NodeSnake и InterlockRAT имеют общую кодовую базу - они часто встречаются в одной цепочке заражения, где NodeSnake выступает первоначальным загрузчиком, а InterlockRAT - полноценным бэкдором с функциями reverse shell и прокси SOCKS5. Бэкдор Supper, как показал реверс-инжиниринг, по сути является другой реализацией того же протокола и структуры команд. Все три семейства поддерживают варианты для разных платформ: Windows, Linux, JavaScript, Java, PHP. В недавно обнаруженном бэкдоре ModeloRAT, распространяемом через KongTuke, найдены прямые пересечения с NodeSnake, включая одинаковые магические байты для проверки расшифрованных данных и те же идентификаторы команд. Это дополнительно подтверждает теорию о едином разработчике или поставщике инструментария.

Исследователи также проанализировали содержимое промежуточных серверов, используемых операторами Interlock. На двух таких серверах обнаружился обширный арсенал - от легитимных утилит (AZCopy, ConnectWise ScreenConnect, NodeJS) до кастомных эксплойтов. Среди примечательных находок - JunkFiction-шифрованный инструмент для кражи паролей Chrome, эксплойт для локального повышения привилегий CVE-2023-36036, а также фишинговая программа, имитирующая обновление Windows для перехвата учетных данных. На сервере также найдена кастомная политика Windows Defender Application Control (WDAC), которая разрешает выполнение только тех файлов, которые используют злоумышленники (в частности, Node.exe и Javaw.exe), и одновременно блокирует Smartscreen, Microsoft Defender и продукты Sophos. Сама политика имеет характерные строки, совпадающие с атрибутами файлов JunkFiction, а сам зашифрованный бинарник вымогателя Interlock носит имя "Tabasco".

Совокупность фактов - общий TDS, пересечение в использовании Supper, кодовая близость NodeSnake, InterlockRAT и криптера JunkFiction - указывает на прямую связь или общее происхождение разработчиков Interlock и Rhysida. Характер этих отношений пока неясен: возможно, это одна команда, разделившаяся на две ветви, или поставщик инструментов, обслуживающий разных заказчиков. Рост популярности генеративных нейросетей еще больше усложняет картину: появление AI-сгенерированного вредоносного кода снижает порог входа для новых злоумышленников и размывает границы между специализированными группами. Специалисты IBM X-Force продолжают мониторинг этого высокодинамичного сегмента киберугроз и обещают публиковать новые подробности по мере развития событий.