Interlock RAT: технический профиль удалённого доступа для Windows

Семейство: Interlock RAT
Класс: RAT / средство удалённого управления
Раздел: RAT
Основание публикации: свежие наблюдения не старше 5 дней
Первое наблюдение в текущем наборе: 11.09.2026 10:38
Последнее наблюдение в текущем наборе: 11.09.2026 10:38
Образцов в пакете: 0; IOC: 6

Поведение, распространение и защита​

Что делает
Interlock RAT — семейство вредоносного программного обеспечения класса Remote Access Trojan (RAT) для платформы Windows. Основная функциональность сосредоточена на обеспечении оператору устойчивого удалённого контроля над заражённым хостом. В отличие от специализированных банковских троянов или инфостилеров, приоритетом данного семейства является не только кража данных, но и долгосрочное присутствие в системе с возможностью выполнения произвольных команд, управления процессами и сбора системной информации.

Архитектурно семейство характеризуется модульным подходом. Базовый бинарный файл часто выступает в роли лоадера или контейнера, который загружает функциональные модули из памяти или с удалённого сервера. Такая структура позволяет операторам гибко конфигурировать поведение вредоноса без необходимости пересборки основного исполняемого файла. Сетевая инфраструктура Interlock RAT опирается на протоколы, обеспечивающие шифрованный обмен данными с серверами управления (C&C), что затрудняет перехват и анализ трафика сторонними наблюдателями.

Для закрепления в системе семейство использует стандартные механизмы Windows: запись в реестр (Run-ключи), создание служб или использование планировщика задач. Антианалитические функции включают проверку среды виртуализации, детектирование отладчиков и изменение поведения при обнаружении песочницы. Эксфильтрация данных, если она имеет место, обычно осуществляется через шифрованные каналы, что требует применения специализированных методов анализа сетевого трафика для выявления аномалий.

Конкретные реализации Interlock RAT могут существенно различаться по функциональности и методам доставки. Без доступа к конкретным образцам невозможно утверждать о наличии определённых модулей (например, криптокошельков или браузерных данных) в текущих инсталляциях. Профиль семейства описывает устойчивые технические паттерны, а не гарантированный набор функций каждого отдельного бинарного файла.

Технический разбор образцов
В предоставленном пакете доказательств отсутствуют конкретные технические образцы (technical_samples) для детального разбора. Набор данных включает только метаданные семейства и сводку по индикаторам компрометации (IOC), но не содержит бинарных файлов, их сигнатур, архитектурных характеристик или результатов динамического анализа.

Следовательно, невозможно провести сравнительный анализ конкретных образцов, определить их формат, MIME-тип, архитектуру (x86/x64), размер или способ доставки. Также отсутствуют данные о YARA-правилах, вердиктах антивирусных вендоров или файловой информации, которые позволили бы сделать выводы о конкретных реализациях Interlock RAT в текущем наборе.

Отсутствие образцов означает, что все утверждения в данном разделе ограничиваются общим описанием семейства, приведённым выше. Любые попытки детализировать технические характеристики конкретных файлов без наличия соответствующих данных были бы спекулятивными и не соответствовали бы требованиям к точности технического профиля.

Как распространяется
Подтверждённые каналы доставки для текущих образцов не могут быть установлены из-за отсутствия данных о конкретных файлах. В общем случае для семейства Interlock RAT типичными векторами распространения являются фишинговые письма с вредоносными вложениями (макросы, исполняемые файлы), компрометированные веб-сайты, использующие эксплойты для автоматической загрузки, а также распространение через вредоносные рекламные сети (malvertising).

Часто Interlock RAT используется как вторичная нагрузка, загружаемая другими троянами или лоадерами после первичной компрометации системы. В таких сценариях основной вредонос (например, инфостилер или лоадер) выполняет первичную доставку, а Interlock RAT устанавливается для обеспечения долгосрочного удалённого доступа. Также возможны сценарии, когда вредонос распространяется через уязвимости в программном обеспечении, если жертва не применяет актуальные обновления безопасности.

Сетевая инфраструктура C&C, идентифицированная в IOC, указывает на активное использование доменных имён для управления ботнетом. Это свидетельствует о том, что операторы семейства активно поддерживают и обновляют свою инфраструктуру, что является характерным признаком зрелых RAT-семейств. Однако без анализа конкретных образцов невозможно определить, какие именно протоколы и методы шифрования используются в текущих инсталляциях.

Как обнаружить

1. Мониторинг аномальных сетевых соединений: Interlock RAT устанавливает шифрованные соединения с C&C-серверами. EDR-системы должны отслеживать исходящие соединения с доменами, классифицированными как botnet_cc, особенно если они происходят из процессов, не характерных для сетевого трафика (например, из системных утилит или офисных приложений).
   
2. Анализ реестра: Проверка ключей Run в HKCU и HKLM на наличие подозрительных записей, указывающих на исполняемые файлы в каталогах временных файлов или пользовательских данных. Особое внимание следует уделять записям, созданным недавно или с аномальными параметрами запуска.
   
3. Мониторинг процессов: Отслеживание процессов, которые инициируют сетевые соединения, не соответствующие их нормальному поведению. Например, процесс, обычно не работающий с сетью, начинает устанавливать исходящие соединения с высокими портами.
   
4. Анализ файловых артефактов: Поиск исполняемых файлов в каталогах, не характерных для их размещения (например, %TEMP%, %APPDATA%). Проверка цифровых подписей файлов: отсутствие валидной подписи или подпись от неизвестного издателя является тревожным признаком.
   
5. YARA-правила: Использование специализированных YARA-правил для Interlock RAT, если они доступны в корпоративной базе. Даже если правила не покрывают все варианты, они могут помочь в обнаружении общих структурных элементов семейства.
   
6. Поведенческий анализ: Наблюдение за поведением процессов в песочнице или изолированной среде. Interlock RAT часто демонстрирует характерные паттерны: запуск дополнительных процессов, модификацию реестра, создание файлов в системных каталогах.
   
7. Сетевой анализ: Применение глубокого анализа пакетов (DPI) для выявления аномалий в трафике, даже если он шифран. Паттерны handshake, частота соединений и размер пакетов могут указывать на наличие C2-трафика.
   
8. Проверка планировщика задач: Анализ задач, созданных с помощью schtasks или через API, на наличие подозрительных команд или ссылок на исполняемые файлы в нестандартных каталогах.
   
9. Мониторинг изменений в системе: Использование инструментов контроля целостности файлов (FIM) для отслеживания изменений в системных каталогах и реестре. Внезапные изменения в критических файлах или ключах реестра могут указывать на активность RAT.
   
10. Корреляция событий: Связывание событий из разных источников (логи приложений, сетевые логи, логи безопасности) для выявления комплексных атак, где Interlock RAT может быть частью более сложной цепочки компрометации.
    

Что делать при заражении

1. Изоляция хоста: Немедленно отключить заражённый компьютер от сети, чтобы предотвратить дальнейшее удалённое управление и эксфильтрацию данных. Использовать физическое отключение сетевого кабеля или отключение Wi-Fi, если есть подозрение на активное управление.
   
2. Сохранение телеметрии: Перед удалением вредоноса сохранить логи процессов, сетевых соединений и изменений в реестре. Это поможет в последующем анализе и определении масштаба компрометации. Использовать инструменты для снятия памяти (memory dump) и создания образа диска.
   
3. Определение затронутых данных: Оценить, какие данные могли быть украдены или модифицированы. Проверить логи доступа к файлам, базам данных и другим чувствительным ресурсам. Определить, были ли попытки доступа к учётным данным, финансовым данным или другой конфиденциальной информации.
   
4. Проверка закрепления: Тщательно проверить все механизмы закрепления: реестр, планировщик задач, службы, автозагрузку. Удалить все подозрительные записи и файлы. Проверить, не были ли созданы новые учётные записи или не были ли изменены права доступа.
   
5. Оценка вторичной нагрузки: Проверить, не были ли загружены другие вредоносные программы вместе с Interlock RAT. Использовать антивирусное сканирование и анализ поведения для выявления дополнительных угроз. Проверить браузеры на наличие вредоносных расширений или изменённых настроек.
   
6. Ротация секретов: Если есть основания полагать, что учётные данные были украдены, немедленно сменить пароли для всех критических систем, включая почтовые ящики, банковские сервисы и корпоративные системы. Использовать менеджер паролей для генерации уникальных и сложных паролей.
   
7. Удаление артефактов: Удалить все файлы, связанные с Interlock RAT, включая исполняемые файлы, конфигурационные файлы и временные файлы. Проверить, не остались ли следы в кэше или временных каталогах. Перезагрузить систему после удаления.
   
8. Критерий возврата хоста: Возвращать хост в эксплуатацию только после того, как будет подтверждено, что все следы вредоноса удалены, а система не демонстрирует аномального поведения. Если целостность системы не может быть подтверждена, рекомендуется переустановка операционной системы с последующим восстановлением данных из проверенных резервных копий.
   

Как снизить риск

1. Регулярное обновление ПО: Убедиться, что все системы, включая операционную систему, браузеры и приложения, имеют актуальные обновления безопасности. Многие атаки используют уязвимости, которые уже были исправлены разработчиками.
   
2. Обучение пользователей: Проводить регулярные тренинги по кибербезопасности, акцентируя внимание на фишинговых письмах, подозрительных вложениях и ссылках. Пользователи должны быть обучены распознавать и сообщать о подозрительной активности.
   
3. Использование EDR-систем: Внедрить современные системы обнаружения и реагирования (EDR), которые способны отслеживать поведение процессов, сетевые соединения и изменения в системе. Настроить правила для обнаружения аномальных паттернов, характерных для RAT.
   
4. Сетевая сегментация: Разделить сеть на сегменты, чтобы ограничить горизонтальное перемещение атакующего. Использовать межсетевые экраны и системы обнаружения вторжений (IDS/IPS) для мониторинга трафика между сегментами.
   
5. Управление доступом: Применять принцип минимальных привилегий, ограничивая доступ пользователей к критическим ресурсам. Использовать многофакторную аутентификацию для доступа к чувствительным системам и данным.
   
6. Резервное копирование: Регулярно создавать резервные копии важных данных и хранить их в изолированных от основной сети местах. Тестировать восстановление из резервных копий, чтобы убедиться в их работоспособности.
   
7. Мониторинг и логирование: Внедрить централизованное логирование и мониторинг безопасности (SIEM), чтобы своевременно обнаруживать аномалии и реагировать на инциденты. Настроить алерты на подозрительные события, такие как аномальные сетевые соединения или изменения в реестре.
   
8. Анализ угроз: Регулярно проводить анализ угроз и оценку рисков, чтобы выявлять потенциальные уязвимости и принимать превентивные меры. Использовать информацию об угрозах (threat intelligence) для обновления правил обнаружения и защиты.
   

Источники​

1. ThreatFox — IOC Interlock RAT
   
2. Malpedia — Interlock RAT
   

История обновлений статьи​

• 11.09.2026 — Опубликована первая версия материала.