Interlockランサムウェアのインシデントは、無防備なエンドポイントが攻撃者に十分な時間を与え、防御側が介入する前に認証情報を窃取し、永続化を確立し、ドメインコントローラーへ到達できてしまう実態を示しています。
アンチウイルス& マルウェア
2026年3月に実施された対応活動の中で、Sophos Emergency Incident Responseの調査担当者は、同グループがVolatility3やWinPmemといった正規のフォレンジックツールを悪用し、侵害されたWindows 10エンドポイントからメモリを取得して認証情報を抽出していたことを突き止めました。
この攻撃は二重恐喝モデルに則っており、暗号化前にデータを窃取した上で、「Worldwide Secrets Blog」を通じた公開をちらつかせて脅迫します。
Sophosは、Interlockが従来型のRansomware-as-a-Serviceのアフィリエイトエコシステムとは異なり、比較的小規模で自己完結したチームによって運用されているとみています。
今回のインシデントは、あるエンドユーザーがChatGPTでDynamics 365を検索し、ClickFix型の誘導手口によって侵害されたとみられる正規サイトへ誘導されたことから始まりました。
ClickFixキャンペーンでは、攻撃者が用意したコマンドをWindowsの「ファイル名を指定して実行」ダイアログやターミナルにコピー&ペーストさせることで被害者を操ります。
今回のケースでは、貼り付けられたコマンドがafshapiro[.]comからPowerShellベースのステージングコードをダウンロードし、リモートアクセス用のペイロードを取得した上で、起動時に実行されるよう設定していました。
この最初のコマンドにはワイルドカードを用いたPowerShellのパスも使われており、単純な検知を回避するための工夫が施されていました。
Sophos Counter Threat UnitがGOLD EMBRACEとして追跡しているInterlockは、2024年9月に出現して以降、北米・欧州を中心に重要インフラ、医療、教育分野の組織を標的としてきました。
Sophosによると、侵害の起点となった端末(Patient Zero)はDefenderによる管理対象とされていたものの、侵入当時は実質的に保護されていなかったといいます。このギャップが決定的な要因となりました。
Interlockは正規のメモリ取得ツールであるWinPmemを使ってメモリイメージを取得し、続いてVolatility3のwindows.hashdump.Hashdumpモジュールをmem.rawに対して実行し、NTLMハッシュ、場合によってはLMハッシュ、さらにローカルアカウント情報を取得しました。
Interlockによる認証情報窃取
続けて実行されたwindows.cachedump.Cachedumpコマンドは、キャッシュされたドメイン認証情報や、そのシステムに過去にログオンしたユーザーの情報を取得しようとするものでした。
こうしたツールは本来、デジタルフォレンジック、インシデント対応、マルウェア解析で使用されるものです。しかし、その実行が不正なメモリ取得や認証情報のダンプと合致している場合、単純に無害とみなすことはできません。
Sophosはこれまでにも、Velociraptorをはじめとする信頼された対応ツールが、悪意ある活動を管理業務やセキュリティ運用の中に紛れ込ませようとする攻撃者に広く悪用されている実態を指摘してきました。
攻撃者は足場と永続化を確立した後にいったん活動を停止し、約24時間後に再開しました。
その後、LDAPの列挙を実施し、信頼されたMicrosoftプロセスを通じて悪意あるペイロードを注入、Kerberoasting目的でサービスプリンシパル名を照会した上で、リモートデスクトッププロトコル(RDP)を使ってドメインコントローラーへと移動しました。
Sophosはこの横移動の段階で、匿名ログインを利用したNTLMダウングレード攻撃を確認しています。侵入発生からわずか26時間強で、従業員のエンドポイントからドメインレベルの侵害にまで進行していました。
3日目には、Interlockは窃取したドメイン管理者権限を使い、Windowsのデフラグタスクを装ったスケジュールタスクを作成しました。
このタスクは、システムプロファイルのローミングディレクトリからnode.exeと、悪意あるdebug.logペイロードを実行するものでした。
その後の活動には、AWS認証情報の窃取、機密ファイルへのアクセス、追加のドメイン管理者アカウントの作成、Defenderへの改ざん、データの窃取、そして組織のハイパーバイザーのロックアウトが含まれていました。
今回の事例は、Interlockランサムウェアの手口の幅が広がっていることも示しています。同グループはNodeSnake、別名Interlock RATを展開したほか、永続化のためにPHPベースのバックドアを使用し、さらに最近ではCiscoのSecure Firewall Management Centerに存在する重大な脆弱性CVE-2026-20131を、ゼロデイとして報告される形で悪用しました。
Sophosによれば、Interlockがこの脆弱性を悪用し始めたのは、Ciscoが公式にこの脆弱性を認める約2週間前だったことを示す証拠があるといいます。
セキュリティ脆弱性スキャナー
Sophosは、すべてのワークステーションとサーバーにわたってエンドポイント検知のカバレッジを確認すること、アプリケーション制御ポリシーを監査すること、オフラインかつテスト済みのバックアップを維持すること、そして最新の資産インベントリとネットワーク文書を保持しておくことを組織に推奨しています。
調査対象となった被害組織は、復旧可能なバックアップが存在すると考えていましたが、結局は仮想環境を再構築し、深刻に侵害されたActive Directory環境をEntra IDへ移行せざるを得ませんでした。
2026 Agentic SOC Buyer’s Guideを活用すべき理由とは? 8つの主要プラットフォームを徹底比較 – 2026年版バイヤーズガイドをダウンロード
翻訳元: https://gbhackers.com/interlock-credential-theft/
