Grupo de ransomware rouba credenciais analisando a RAM
A equipe de pesquisa Sophos X-Ops revelou novos detalhes sobre o grupo de ransomware Interlock (também conhecido como GOLD EMBRACE), que vem chamando atenção por romper com o modelo tradicional de Ransomware como Serviço (RaaS). Em vez de alugar infraestrutura ou kits prontos em fóruns clandestinos, o grupo atua como uma “boutique” do crime digital: desenvolve suas próprias ferramentas, conduz seus próprios ataques de ponta a ponta e explora, de forma criativa, utilitários legítimos de TI em todas as fases da invasão.
Um dos pontos mais inquietantes do estudo é o uso de ferramentas legítimas de análise de memória, como o Volatility3, para roubar credenciais diretamente da RAM dos sistemas comprometidos. Em um incidente investigado em março de 2026, os analistas acompanharam em tempo real como o grupo obteve acesso, se movimentou lateralmente pela rede e, em pouco mais de 26 horas, transformou um acesso inicial aparentemente inofensivo em um ataque de ransomware completo.
—
Como o ataque começa: engenharia social e ClickFix
O passo inicial da cadeia de ataque foi o comprometimento de um endpoint Windows 10, apelidado de “Paciente Zero”. Esse equipamento estava sem proteção ativa no momento do incidente, o que abriu espaço para a ação dos criminosos.
No primeiro dia, um usuário fez uma busca no ChatGPT, clicou em um resultado que o levou a um site legítimo previamente comprometido e, ao seguir instruções enganosas exibidas na página, foi persuadido a copiar e colar um comando malicioso na janela “Executar” do Windows. Essa técnica, conhecida como isca ClickFix, explora a confiança do usuário em orientações “passo a passo”, mascarando o comando perigoso como se fosse uma solução técnica inofensiva.
Ao executar o comando, o usuário, sem perceber, iniciou o download e a instalação de um trojan de acesso remoto (RAT) personalizado, batizado de NodeSnake. A partir desse momento, os atacantes passaram a ter controle remoto sobre o endpoint comprometido, podendo executar comandos, lançar novas ferramentas e iniciar o reconhecimento do ambiente interno.
—
Da infecção inicial à movimentação lateral em 26 horas
A cadeia de ataque reconstruída pela Sophos mostra um cronograma agressivo. Entre o primeiro acesso e a chegada ao controlador de domínio, o grupo levou pouco mais de 26 horas. Isso evidencia o quão preparado o Interlock está para explorar rapidamente qualquer brecha, reduzindo a janela de detecção e resposta das equipes de segurança.
No segundo dia da intrusão, já com o NodeSnake em operação, os atacantes iniciaram consultas LDAP ao controlador de domínio para mapear usuários, grupos e computadores, entendendo a estrutura da rede e identificando possíveis alvos de maior valor. Em seguida, realizaram ataques de Kerberoasting, técnica que explora requisições de tickets de serviço Kerberos com o objetivo de obter hashes de senhas de contas privilegiadas e tentar quebrá-los offline, escalando privilégios.
—
Uso do Volatility3 e WinPmem para roubo de credenciais na RAM
A partir do momento em que conquistam algum nível de privilégio elevado, o Interlock passa a utilizar ferramentas típicas de análise forense, mas com um propósito totalmente oposto: em vez de investigar um crime, cometem um.
Os analistas da Sophos observaram o grupo usando o Volatility3 – um framework legítimo de análise de memória – diretamente nos endpoints comprometidos. Por meio dele, os invasores conseguiram:
– Extrair hashes NTLM e hashes LM de senhas;
– Obter informações detalhadas sobre contas de usuários;
– Coletar outros artefatos sensíveis armazenados na memória.
Para capturar o conteúdo bruto da memória física (RAM), os criminosos também recorreram ao WinPmem, outra ferramenta amplamente utilizada por peritos digitais para aquisição de memória em investigações. Essa combinação permitiu ao grupo construir um mapa preciso de credenciais ativas e, em alguns casos, recuperar dados de autenticação que não chegam a ser registrados em disco, dificultando ainda mais a detecção por soluções tradicionais.
—
Escalada de privilégios e persistência
No terceiro dia, com uma conta de administrador de domínio já comprometida graças às etapas anteriores, os atacantes consolidaram o controle da infraestrutura. Eles criaram tarefas agendadas em sistemas críticos, configuradas para manter a persistência por meio do Node.js e garantir a execução contínua de suas ferramentas mesmo diante de reinicializações ou tentativas básicas de mitigação.
A partir desse ponto, a operação criminosa se intensificou. Com privilégios de domínio, o Interlock:
– Automatizou a extração de credenciais adicionais, incluindo chaves e senhas relacionadas a serviços de nuvem como a AWS;
– Ampliou o movimento lateral para outros servidores e estações de trabalho estratégicas;
– Preparou o terreno para a exfiltração massiva de dados sensíveis.
—
Bloqueio da infraestrutura e impacto final
Após coletar e exfiltrar as informações consideradas valiosas – tanto credenciais quanto dados corporativos – o grupo avançou para a etapa final do ataque: o impacto com ransomware. Entre as ações identificadas, destaca-se o bloqueio do acesso da vítima aos seus próprios hipervisores, comprometendo a camada de virtualização que sustenta diversos serviços essenciais do ambiente.
Ao restringir a administração dos hipervisores, os criminosos dificultam enormemente a restauração rápida de servidores e sistemas a partir de snapshots ou backups recentes, aumentando o tempo de indisponibilidade e, com isso, a pressão pelo pagamento de resgate. Esse tipo de abordagem reforça a tendência de ataques mais direcionados, com foco em pontos críticos da infraestrutura, e não apenas na criptografia indiscriminada de estações de trabalho.
—
Adoção rápida de vulnerabilidades zero-day
Outro aspecto ressaltado no relatório é a capacidade do Interlock de incorporar rapidamente novas técnicas e vulnerabilidades às suas campanhas. O grupo já explorava a falha zero-day CVE-2026-20131, no Cisco Secure Firewall Management Center, semanas antes de a própria fabricante reconhecer publicamente o problema.
Essa agilidade na adoção de exploração zero-day indica que o Interlock tem acesso consistente a informações privilegiadas ou a um ecossistema de pesquisa criminosa avançada, capaz de descobrir e transformar brechas inéditas em armas práticas com grande velocidade. Para as empresas, isso significa que confiar apenas em atualizações de segurança após o anúncio oficial das falhas é insuficiente: é preciso partir do princípio de que vulnerabilidades desconhecidas já podem estar sendo exploradas.
—
Abuso de ferramentas legítimas: o desafio do “living off the land”
O caso do Interlock é um exemplo claro do chamado “living off the land”: o uso de ferramentas legítimas, muitas delas já presentes nos ambientes corporativos, para executar ações maliciosas. Volatility3, WinPmem, utilitários de linha de comando, scripts de automação e recursos internos de sistemas operacionais tornam-se peças de ataque, justamente porque não são, à primeira vista, suspeitos.
Esse cenário cria um desafio adicional para equipes de segurança: bloquear de forma indiscriminada essas ferramentas pode prejudicar operações de TI e atividades de suporte; por outro lado, deixá-las livres e sem monitoramento fornece aos invasores um arsenal pronto para uso. O equilíbrio passa por controles de aplicação mais granulares, monitoramento comportamental e políticas que definam claramente quem pode usar o quê, quando e em que contexto.
—
Recomendações de proteção e lições do incidente
As descobertas sobre o Interlock reforçam algumas prioridades essenciais para organizações que desejam reduzir o risco de ataques semelhantes:
1. Cobertura completa de endpoint
Endpoints críticos, especialmente estações de trabalho administrativas e servidores, não podem ficar sem proteção ativa nem por janelas curtas de tempo. Soluções de EDR/XDR com capacidades de detecção comportamental aumentam as chances de identificar o uso anômalo de ferramentas como o Volatility3.
2. Políticas rigorosas de controle de aplicações
Ferramentas de análise de memória, utilitários de administração remota e frameworks de desenvolvimento devem ser avaliados e controlados. Isso inclui restringir sua instalação, execução e, quando necessário, exigir aprovação ou monitoramento extra.
3. Monitoramento contínuo e correlação de eventos
Consultas LDAP fora do padrão, atividades suspeitas de Kerberos, criação massiva de tarefas agendadas e acesso incomum a hipervisores são sinais que, quando correlacionados, podem indicar uma intrusão em andamento. Monitoramento em tempo real e alertas bem calibrados são fundamentais.
4. Treinamento de usuários contra engenharia social
A cadeia começou com um simples comando colado no “Executar” do Windows a partir de orientações maliciosas. Programas de conscientização devem incluir exemplos práticos desse tipo de engano, enfatizando que orientações técnicas recebidas por fontes não verificadas podem ser extremamente perigosas.
5. Segmentação de rede e princípio do menor privilégio
Limitar o alcance de contas e reduzir a superfície de ataque interna dificulta a movimentação lateral rápida. Usuários comuns não devem ter caminhos diretos a sistemas de alto valor, e contas privilegiadas precisam ser usadas apenas quando estritamente necessário.
6. Plano de resposta a incidentes e testes regulares
Ter um plano não basta: é preciso exercitá-lo com simulações que incluam cenários de comprometimento de hipervisores, exfiltração de dados e indisponibilidade de serviços essenciais. Quanto mais realista o teste, melhor preparada estará a organização.
—
Por que o ataque à RAM é tão perigoso?
A extração de credenciais diretamente da RAM representa um salto de complexidade para as defesas. Muitas soluções de segurança estão focadas em arquivos em disco, processos suspeitos e tráfego de rede. Entretanto, quando um atacante captura um dump de memória e o analisa com ferramentas como o Volatility3, ele pode recuperar:
– Senhas e tokens de sessão que nunca foram gravados em disco;
– Chaves e segredos temporários usados em integrações com serviços de nuvem;
– Fragmentos de dados sensíveis de aplicações em execução.
Isso torna mais difícil detectar o roubo de credenciais e aumenta a capacidade do invasor de se mover silenciosamente, assumindo identidades legítimas dentro do ambiente. Para mitigar esse risco, além de controles técnicos, é crucial reduzir a quantidade de credenciais privilegiadas ativas em uma mesma máquina e adotar autenticação forte, com múltiplos fatores, sempre que possível.
—
Preparando-se para uma nova geração de ataques
O caso do Interlock mostra que o ransomware evoluiu para muito além da simples criptografia de arquivos. Hoje, trata-se de campanhas sofisticadas que combinam:
– Engenharia social refinada;
– Ferramentas personalizadas como o NodeSnake;
– Exploração de vulnerabilidades zero-day;
– Abuso criativo de utilitários legítimos;
– Roubo de credenciais em memória;
– Golpes de extorsão baseados em exfiltração de dados e bloqueio de infraestrutura crítica.
Organizações que ainda tratam ransomware apenas como um problema de “backup” correm um risco significativo. A proteção passa por uma visão integrada de segurança: desde a camada de treinamento de usuários até práticas avançadas de monitoramento, resposta a incidentes e governança de identidades e acessos.
Investir em visibilidade, automatizar respostas para comportamentos anômalos e revisar continuamente políticas de uso de ferramentas administrativas são passos essenciais para enfrentar grupos como o Interlock, que demonstram capacidade técnica, velocidade de adaptação e disposição para explorar qualquer brecha – inclusive na própria memória dos sistemas.