Interlock 勒索病毒解密与数据恢复

Interlock 于 2024 年 9 月底首次被发现，运营方式与主流 RaaS 不同：公开信息中未见大规模附属招募，更接近一个封闭的小规模团队，但攻击手法颇具特色，且对关键基础设施的打击面不小。美国 CISA、FBI、HHS 与 MS-ISAC 在 2025 年 7 月 22 日联合发布 #StopRansomware: Interlock 通告（AA25-203A），标志着该家族进入监管视野。

Interlock 最值得注意的是其初始访问方式。FBI 观察到其通过被入侵的合法网站进行挂马下载——把恶意载荷伪装成浏览器或安全软件更新包，这在勒索团伙中并不常见；另一条主线是 ClickFix 社工技术：用假的 CAPTCHA 人机验证页面诱导用户自己复制并执行一段 PowerShell 命令，后续又出现了换用文件管理器地址栏的 FileFix 变体。这两种方式都绕开了传统的邮件附件检测。

2026 年该团伙进一步升级，被观察到将 Cisco Secure Firewall Management Center（FMC）的严重漏洞 CVE-2026-20131 作为零日利用，早在漏洞公开披露前一个多月就已开始攻击，AWS 的威胁情报团队对此发出过预警。截至 2026 年 9 月，其泄露站累计声明受害者 124 家，规模不算最大但目标质量高，集中在医疗、制造、科技、政府与关键基础设施，主要分布在北美与欧洲。

IBM X-Force 的分析指出 Interlock 与 Rhysida 在 Supper 后门、加壳器与流量分发系统（TAG-124/KongTuke）上存在交集，推测两者之间存在人员或资源上的关联。对中国企业而言，ClickFix 这类「让用户自己粘贴执行命令」的社工手法已在国内出现类似变种，配合伪装成软件更新的挂马页面，是终端侧需要重点防范的方向。目前没有公开报告确认 Interlock 对中国大陆企业的定向攻击。

后缀：被加密文件追加 .interlock 或 .1nt3rlock（后者为 leetspeak 写法），原文件名保留。

勒索信：!README!.txt，文件名两端带感叹号与下划线，排序时通常位于目录顶部。CISA 通告指出该勒索信常通过组策略对象（GPO）批量下发，说明攻击者已控制域控。信中提供受害者专属 code 与 .onion 地址，不给邮箱、不直接给金额，要求受害者先通过 Tor 门户联系。

入侵侧线索（往往比加密侧更早可见）：

• 用户反馈访问某网站后被提示「浏览器需要更新」并下载了安装包；
• 出现假 CAPTCHA 页面要求用户按 Win+R 粘贴执行命令（ClickFix），或通过文件管理器地址栏执行（FileFix）；
• 终端上出现 64 位可执行文件伪装为 conhost.exe；
• Interlock RAT、NodeSnake RAT、Cobalt Strike、SystemBC 等 C2 组件落地；
• cht.exe、Lumma Stealer、Berserk Stealer 等凭据窃取工具；
• Azure Storage Explorer 与 AzCopy 在非运维主机上出现，指示数据外传；
• AnyDesk、PuTTY 与 RDP 被用于横向移动。

自删除行为：加密完成后通过 DLL（如 tmp41.wasd）调用删除加密程序自身，取证时需注意恢复已删除文件。

Interlock 的入侵链条以「用户自己动手」和「边界设备」两条主线为主：

• 挂马下载（drive-by download）：入侵合法网站，向访客投递伪装成浏览器/安全软件更新的恶意安装包。由于来源是用户日常访问的正规站点，社工成功率很高；
• ClickFix / FileFix 社工：显示假的人机验证页面，诱导用户按提示自行执行 PowerShell 命令或通过文件管理器地址栏运行，绕过邮件与下载检测；
• 边界设备零日与已知漏洞：2026 年被观察到将 Cisco Secure FMC 的 CVE-2026-20131 作为零日利用，攻击企业防火墙管理平面；
• 流量分发系统：借助 TAG-124/KongTuke 一类 TDS 分发载荷；
• 驻留与 C2：Interlock RAT、NodeSnake RAT、Cobalt Strike、SystemBC；
• 凭据窃取与横向移动：多种窃密木马采集凭据，再经 AnyDesk、PuTTY、RDP 扩散，目标是域控与虚拟化平台；
• 数据外传：使用 Azure Storage Explorer 与 AzCopy 把数据上传到云存储，流量看起来像正常的云同步，检测难度较高；
• 批量投放：通过 GPO 在全域下发加密器与勒索信。

需要特别提醒的是，ClickFix 类攻击的本质是让用户绕过所有技术防线亲手执行代码，因此终端加固之外，安全意识培训与「任何要求你复制粘贴命令的页面都是攻击」这条明确规则同样重要。

算法：加密器组合使用 AES 与 RSA——每个文件用独立的 AES 密钥加密内容，AES 密钥再以 RSA 公钥封装写入文件，没有攻击者私钥无法还原。CISA 通告未披露可利用的实现缺陷。

多平台覆盖：Windows 加密器为 64 位可执行文件（常伪装为 conhost.exe）；同时存在 Linux ELF 加密器；较为罕见的是还编译了 FreeBSD 版本的 ELF 加密器（据分析在 FreeBSD 10.4 上编译）。公开分析认为这些非 Windows 版本主要用于打击虚拟化与存储平台上的虚拟机镜像文件，此前只有已被打掉的 Hive 做过 FreeBSD 加密器。

执行与清理：加密完成后通过辅助 DLL 删除加密程序自身，减少取证线索；同时清理事件日志，削弱终端防护。

破坏恢复能力：删除卷影副本、停止数据库与备份相关服务，尽可能覆盖网络共享与可直连的备份位置。

双重勒索：数据在加密前经 Azure Storage Explorer / AzCopy 外传至云存储，未付款则在 Interlock 泄露站公开。勒索信中不给出金额，要求受害者先联系——这是刻意设计的谈判策略，用于按受害者规模临时定价。