Interlockランサムウェアの攻撃者が、正規のフォレンジックツールであるVolatility3とWinPmemを悪用し、侵害したシステムからWindowsメモリを収集して認証情報を抽出していることが確認されました。
この活動は、2026年3月にSophos Emergency Incident Responseが実施したWindows 10端末に関する調査の中で特定されました。
SophosはInterlockを「GOLD EMBRACE」として追跡しています。これは2024年9月から活動しているランサムウェアグループです。同グループは主に北米・欧州の組織を標的としており、重要インフラ、医療、教育関連の組織が含まれます。
Interlockは二重恐喝の手口を用いており、システムを暗号化する前に機密データを窃取し、自らが運営する「Worldwide Secrets Blog」を通じて公開流出をちらつかせ被害者を脅迫します。
多くのランサムウェア組織とは異なり、Interlockはランサムウェア・アズ・ア・サービス(RaaS)モデルを採用していないとみられています。
むしろ、独自にマルウェアを開発し、侵入からデータ窃取、ランサムウェア展開までを一貫して行う、規模が小さく専門特化したグループであると考えられています。
同グループはこれまでにも、ClickFix型のソーシャルエンジニアリングの誘導手口や、NodeSnakeあるいはInterlock RATと呼ばれるリモートアクセス型トロイの木馬(RAT)、PHPベースのバックドアを使用してきました。
また、Cisco Secure Firewall Management Centerソフトウェアに影響する深刻なゼロデイ脆弱性CVE-2026-20131の悪用にも関与しているとされています。
今回のインシデントでは、Interlockはインシデント対応者やマルウェア解析者が通常利用するオープンソースのメモリフォレンジックフレームワーク、Volatility3を使用しました。最初に侵害された端末上で、攻撃者は以下のコマンドを実行しています。
このコマンドは、WindowsのメモリイメージからNTLMハッシュや、取得可能であれば旧式のLMハッシュ、さらにローカルユーザーアカウント情報を復元しようとするものです。
NTLMハッシュはパスワードクラックや、他システムに対するパスザハッシュ攻撃に利用できるため、攻撃者にとって特に価値の高い情報です。
このモジュールは、過去にその端末にログインしたユーザーに関するユーザー名やパスワードハッシュデータなど、キャッシュされたドメイン認証情報を抽出します。
こうしたデータは、攻撃者がドメインアカウントを特定し、横展開(ラテラルムーブメント)の準備を進める際に役立ちます。
メモリイメージを解析する前段階として、Interlockは正規の物理メモリ取得ツールであるWinPmemを使用し、端末からRAMをキャプチャしていました。
正規ツールの利用は、悪意ある活動の検知を難しくする要因となります。Volatility3やWinPmemはデジタルフォレンジックやインシデント対応の現場で広く使われているため、その存在自体が攻撃の証拠にはなりません。
とはいえ、正式に承認されたフォレンジック活動が行われていない状況でこれらのツールの使用が確認された場合、組織は調査を行うべきです。
今回の侵入は、ClickFix型の誘導手口から始まりました。ある従業員がDynamics 365についてChatGPTで検索したところ、侵害されたとみられる正規のWebサイトへリダイレクトされました。
Sophosによると、そのサイトには悪意あるコマンドをコピーしてWindowsの「ファイル名を指定して実行」ダイアログに貼り付けさせるよう仕向ける誘導文が表示されていました。
攻撃者は数秒のうちにクリップボードのデータにアクセスし、ユーザーにそのコマンドを実行させることに成功しました。
このコマンドはafshapiro[.]comからPowerShellコードをダウンロードし、104.236.109[.]139からリモートアクセス型トロイの木馬を取得したうえで、永続化(パーシステンス)を確立しました。このPowerShellの実行にはワイルドカードによるパスマッチングが用いられており、検知される可能性を低減させていました。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/interlock-dumps-windows-credentials/
