Interlock ransomware gang creates volatile situation

Hero image for 2608-volatility-interlock

Nel marzo 2026, il team Sophos Emergency Incident Response (EIR) ha indagato su un incidente nel quale è stato osservato l'utilizzo dello strumento legittimo di analisi della memoria per incident response Volatility3 da parte del gruppo ransomware Interlock. L'impiego di strumenti legittimi in attacchi di questo tipo prosegue una preoccupante tendenza che avevamo evidenziato per la prima volta lo scorso anno.

Interlock, che i ricercatori del Sophos Counter Threat Unit (CTU) identificano come GOLD EMBRACE, è emerso nel settembre 2024. È stato osservato in diverse aree del mondo, ma attualmente concentra i propri attacchi su obiettivi in Nord America e Europa, in particolare nei settori delle infrastrutture critiche, della sanità e dell'istruzione.

Il gruppo adotta la strategia della doppia estorsione: sottrae dati sensibili prima di cifrare i sistemi e successivamente minaccia di divulgarli sul proprio "Worldwide Secrets Blog" qualora le richieste di riscatto non vengano soddisfatte. A differenza dei modelli Ransomware-as-a-Service (RaaS), Interlock sembra essere opera di un piccolo team dedicato di operatori che sviluppa autonomamente il proprio malware e conduce direttamente gli attacchi.

Tra le tattiche, tecniche e procedure (TTP) più rilevanti figurano l'impiego di metodi di ingegneria sociale in stile ClickFix, un trojan per l'accesso remoto (RAT) sviluppato internamente e denominato "NodeSnake" (o, in alternativa, "Interlock RAT"), nonché una backdoor basata su PHP che garantisce la persistenza multipiattaforma, oltre al targeting di sistemi Windows e FreeBSD.

Più recentemente, Interlock ha sfruttato attivamente la CVE-2026-20131, una vulnerabilità zero-day di gravità critica che interessa il software Cisco Secure Firewall Management Center (FMC).

Leggi tutto l’articolo: https://www.sophos.com/en-us/blog/2608-volatility-interlock

Informazioni sull'autore

Sergio Bestulic

Sergio Bestulic is a principal analyst with over ten years of experience as an engineer supporting in technical support, information systems, incident response and digital forensics. He holds multiple security related certifications and has an educational background in computer and network systems.

Andrew Bonwell

Andrew is a senior incident response consultant at Sophos. He holds a master’s degree in cybersecurity from DePaul University and maintains industry certifications including GCFE, GDAT, and GCTI.

Karla Soler

Karla Soler is an incident response lead with over ten years of experience working in security. She has worked in corporate, finance, federal government, and international company settings. Karla is a professor and teaches programming and digital forensics. Karla holds security- and fraud-related certifications, and masters in fraud and cybersecurity.

Michael Warner

Michael is an incident response consultant on the Incident Response team at Sophos. He specializes in offensive cyber operations research with a focus on network analysis and protocol exploitation. Michael brings over a decade of experience in security operations and national cyber defense, with a background spanning Sophos MDR and the United States Department of Defense.

Il gruppo ransomware Interlock crea una situazione altamente instabile

Informazioni sull'autore