Grupo de ransomware rouba credenciais analisando a RAM: dentro da operação do Interlock e como se proteger
Um novo estudo da Sophos X-Ops lança luz sobre o grupo de ransomware Interlock (também rastreado como GOLD EMBRACE), que vem se destacando por um modelo operacional mais sofisticado que o tradicional esquema de Ransomware como Serviço (RaaS). Em vez de apenas alugar infraestrutura criminosa, o grupo atua como uma equipe altamente especializada: desenvolve suas próprias ferramentas, conduz seus próprios ataques ponta a ponta e explora, de maneira criativa, utilitários totalmente legítimos de TI e segurança.
Durante uma investigação de resposta a incidentes em março de 2026, analistas da Sophos observaram o Interlock utilizando o Volatility3 – um framework legítimo de análise de memória muito usado por peritos e equipes de DFIR – para vasculhar a RAM de endpoints e extrair credenciais sensíveis. Ao longo do ataque, os criminosos também recorreram ao WinPmem, outra ferramenta de aquisição de memória física comumente empregada em investigações forenses.
Cadeia de ataque reconstruída em 26 horas
O relatório da Sophos detalha minuciosamente a cadeia de ataque, desde o primeiro contato até o acionamento do ransomware. O ponto de partida foi um dispositivo apelidado de “Paciente Zero”, um endpoint com Windows 10 que, no momento do incidente, estava sem proteção ativa contra ameaças.
A linha do tempo do ataque pode ser resumida em cerca de 26 horas entre o acesso inicial e a movimentação lateral bem-sucedida até o controlador de domínio:
– Acesso inicial: poucas horas após o primeiro contato malicioso.
– Movimentação lateral: pouco mais de um dia depois, com acesso ao controlador de domínio.
– Impacto final: ransomware, exfiltração de dados e bloqueio de infraestrutura crítica, como hipervisores.
Essa rapidez mostra o quanto um ambiente desprotegido pode ser comprometido em um intervalo extremamente curto, especialmente quando o atacante domina técnicas de pós-exploração e abusa de ferramentas que muitas empresas consideram “normais” no dia a dia de TI.
Dia 1: engenharia social e RAT personalizado
O ataque começou de forma aparentemente inocente. Um usuário realizou uma busca no ChatGPT e, a partir dessa pesquisa, acessou um site legítimo que havia sido previamente comprometido pelos criminosos. Lá, foi induzido, por engenharia social, a executar um procedimento manual:
– Copiar um comando malicioso fornecido pelo site;
– Colar esse comando na caixa “Executar” do Windows (Win + R);
– Disparar, sem perceber, o download e a instalação de um RAT (Remote Access Trojan) personalizado, batizado de NodeSnake.
Esse é um ponto crítico: não houve exploit sofisticado de navegador, nem macros em documentos suspeitos. O próprio usuário foi convencido a executar o comando, acreditando que fazia parte de um procedimento legítimo – um exemplo claro de como a engenharia social continua sendo um vetor central em ataques modernos.
Com o NodeSnake instalado, o Interlock ganhou acesso remoto ao endpoint, podendo então iniciar a fase de reconhecimento e preparação para a escalada de privilégios.
Dia 2: mapeamento do domínio e escalada de privilégios
No segundo dia, já com um pé firme dentro da rede, o grupo começou a explorar o ambiente corporativo. Entre as ações observadas pelos analistas:
– Execução de consultas LDAP para mapear a estrutura do domínio, identificar controladores, grupos, contas privilegiadas e ativos críticos;
– Lançamento de ataques de Kerberoasting, técnica que explora a forma como credenciais de serviço são armazenadas no Kerberos, a fim de obter hashes de senhas que possam ser quebrados offline.
Esses passos são típicos de uma fase de “pós-comprometimento” bem planejada: antes de disparar qualquer payload destrutivo, os invasores garantem que têm privilégios suficientes, conhecem bem o ambiente e já sabem onde causar mais impacto.
Dia 3: persistência, roubo de credenciais em RAM e impacto
No terceiro dia, a situação já era de alto risco para a organização vítima. Usando uma conta de administrador de domínio previamente comprometida, os invasores:
– Criaram tarefas agendadas para garantir persistência utilizando Node.js, mantendo o acesso mesmo em caso de reinicializações ou tentativas parciais de limpeza;
– Passaram a usar ferramentas forenses, como Volatility3 e WinPmem, para capturar imagens da memória RAM dos endpoints e extrair dados extremamente sensíveis.
Foi nesse ponto que o Interlock demonstrou um diferencial perigoso. Em vez de confiar apenas em keyloggers ou malwares tradicionais para roubar senhas, eles analisaram diretamente o conteúdo da memória:
– Extraindo hashes NTLM e LM;
– Coletando informações sobre contas de usuário;
– Obtendo credenciais de serviços em nuvem, como contas da AWS;
– Identificando tokens e sessões em uso para se movimentar com mais liberdade.
Com as credenciais em mãos, o grupo realizou a exfiltração de dados confidenciais e, em seguida, bloqueou o acesso da vítima a recursos críticos, incluindo hipervisores, o que impactou diretamente a operação da infraestrutura virtualizada.
Uso agressivo de zero-days e ferramentas legítimas
O relatório ressalta que o Interlock não se limita a técnicas já consolidadas. Os pesquisadores identificaram que o grupo explorava a vulnerabilidade zero-day CVE-2026-20131, no Cisco Secure Firewall Management Center, semanas antes de a própria fabricante reconhecer oficialmente o problema.
Essa combinação – adoção antecipada de zero-days e abuso de ferramentas legítimas – transforma o Interlock em um adversário particularmente perigoso. Enquanto muitos times de segurança focam em bloquear malwares conhecidos ou assinaturas de ransomware, o grupo se aproveita de:
– Softwares amplamente aceitos em ambientes corporativos (caso do Volatility3);
– Ferramentas de administração de sistemas e PowerShell;
– Utilitários de coleta de memória e de diagnóstico que, em tese, deveriam ajudar na segurança, mas podem ser facilmente convertidos em armas quando caem nas mãos erradas.
Por que a análise de RAM é tão vantajosa para o atacante?
A memória RAM é um dos pontos mais sensíveis de qualquer sistema moderno. Quando um usuário faz login, executa aplicativos, acessa sistemas em nuvem ou abre um painel administrativo, diversas informações transitam e permanecem temporariamente na memória:
– Tokens de sessão e cookies;
– Credenciais em texto claro ou parcialmente ofuscadas;
– Chaves de criptografia em uso;
– Conteúdos de aplicativos que manipulam dados sensíveis.
Ao capturar uma imagem de memória e analisá-la com ferramentas como o Volatility3, um invasor pode:
– Recuperar senhas ou hashes que não necessariamente foram salvas em disco;
– Identificar quais aplicações estão em execução e quais usuários as utilizam;
– Descobrir rapidamente onde estão as “chaves do reino”, como sessões administrativas de nuvem, consoles de virtualização, sistemas financeiros, entre outros.
Essa abordagem contorna várias camadas de proteção que se concentram apenas em arquivos, downloads ou tráfego de rede, reforçando a importância de monitorar também o uso de ferramentas de memória em estações e servidores.
Lições de segurança: o que as empresas precisam fazer agora
As descobertas sobre o Interlock evidenciam que dependência exclusiva de tecnologias tradicionais de antivírus ou de bloqueio de arquivos maliciosos não é suficiente. Algumas medidas se tornam essenciais:
1. Cobertura completa de endpoint
Soluções de EDR e XDR, capazes de monitorar comportamento, processos, scripts e uso de ferramentas, são fundamentais para detectar anomalias mesmo quando não há “malware” clássico envolvido.
2. Políticas rígidas de controle de aplicações
Ferramentas como Volatility, WinPmem e outros utilitários de diagnóstico devem ser tratadas como de alto risco. O ideal é:
– Restringir severamente quem pode instalá-las e executá-las;
– Exigir justificativa e registro de uso;
– Monitorar logs sempre que forem acionadas.
3. Monitoramento contínuo de ferramentas legítimas de TI
Atividades suspeitas envolvendo PowerShell, tarefas agendadas, scripts de automação e utilitários administrativos precisam acionar alertas automáticos. Não basta confiar no fato de serem “ferramentas corporativas”.
4. Gestão de vulnerabilidades e zero-days
Adoção rápida de patches, priorização de correções em produtos expostos à internet e estratégias de mitigação para falhas ainda sem correção reduzem a janela de oportunidade para grupos como o Interlock.
O papel da conscientização de usuários
Este caso deixa claro que o ponto de partida foi um único usuário seguindo instruções enganosas em um site comprometido. Isso reforça a necessidade de:
– Treinamentos periódicos de conscientização sobre phishing, engenharia social e boas práticas;
– Orientações claras sobre nunca executar comandos recebidos de fontes não verificadas;
– Simulações de ataques internos para testar a maturidade dos colaboradores frente a tentativas de persuasão.
Mesmo ambientes tecnicamente maduros podem ruir quando um único clique ou comando compromete toda a rede.
Como revisar sua estratégia à luz desse ataque
Organizações que desejam reduzir o risco de ataques semelhantes devem:
– Revisar as listas de softwares permitidos (allowlist) e bloquear, por padrão, ferramentas de aquisição de memória, salvo quando estritamente necessárias;
– Implementar segmentação de rede, minimizando o impacto da movimentação lateral;
– Reforçar autenticação multifator em contas administrativas, reduzindo a efetividade do roubo de credenciais;
– Estabelecer processos formais de resposta a incidentes, com playbooks específicos para casos de possível roubo de credenciais através de RAM.
Além disso, é prudente simular cenários como o reportado: um endpoint comprometido sem proteção, seguido de tentativa de escalar privilégios até o controlador de domínio em menos de 48 horas. Isso ajuda a medir o tempo de detecção e resposta da equipe.
Da “pandemia” da fraude digital à proteção do mundo físico
Ataques como o do Interlock ilustram um cenário em que a fraude digital se tornou endêmica. O uso de inteligência artificial por atacantes e defensores, a exploração de zero-days e a criatividade no uso de ferramentas legítimas elevam o nível da disputa.
Ao mesmo tempo, a convergência entre segurança digital e física é cada vez maior: o bloqueio de hipervisores, por exemplo, pode interromper sistemas que controlam processos industriais, serviços de saúde, logística e infraestrutura crítica. Assim, investir em governança de segurança, certificações, centros de operação de segurança (SOC) maduros e estratégias proativas de detecção não é mais opcional – é um requisito de continuidade de negócios.
O caso do Interlock não é apenas mais um relato de ransomware, mas um alerta concreto de como os atacantes estão um passo à frente ao transformar ferramentas de segurança em armas. Empresas que desejam sobreviver nesse ambiente precisam, obrigatoriamente, rever seus controles, seus processos e, principalmente, a forma como enxergam o risco associado ao uso de softwares “legítimos” dentro da própria rede.