如何保护自己免受 Interlock 和 Warlock 勒索软件的侵害：实用策略指南

信息技术数字 » 资源 » 如何保护自己免受 Interlock 和 Warlock 勒索软件的侵害：实用策略指南

勒索软件仍然是网络安全领域的一大威胁，其中有两个组织尤为突出：Interlock 和 Warlock。这两个组织都在极短时间内迅速扩张，促使企业和机构紧急审查自身防御措施，并加强预防措施，以最大限度地降低业务中断、数据泄露和经济损失的风险。

这并非昙花一现：2025年上半年，网络攻击数量较上年同期增长了47%（3.627起对比2.472起）。这一增长不仅源于老牌犯罪团伙，也反映出一些新兴犯罪分子不断改进其战术、技术和程序（TTP），并精进其社会工程手段，从而能够更高效、更隐蔽地获取初始访问权限。

当前情况：为什么Interlock和Warlock感到担忧

Interlock、Warlock 和 SafePay 在短短几个月内就从“新名称”变成了具有实际影响的威胁。Interlock 于 2024 年底出现，迅速对医疗保健、公共管理和教育等敏感行业发动了 20 多起入侵；Warlock 于 2025 年 3 月以勒索软件即服务 (RaaS) 的形式出现，目前已造成 60 多名受害者；而 SafePay 则在 2025 年第一季度就发动了 200 多起攻击事件。

这种动态变化已引发正式警报。美国网络安全和基础设施安全局 (CISA) 与其他机构联合发布了一项针对 Interlock 攻击升级的专项警告（编号为 aa25-203a）。其核心信息很明确：攻击者正在加速创新周期，利用流程漏洞，并以极快的速度窃取凭证和利用安全漏洞，而如果不采用分层零信任安全方法，则很难与之匹敌。

受害者不仅限于大型企业，中小企业和重要的区域性实体也受到影响。例如，Warlock 对科技、金融和电信行业造成了沉重打击，其目标主要集中在美国、日本和英国。与此同时，SafePay 则特别偏爱美国的目标（已确诊 103 例，占总数的近 40%），其业务范围还包括德国、澳大利亚、英国和拉丁美洲（墨西哥、哥伦比亚和阿根廷）。

值得注意的是，双重勒索是此类攻击的共同特征：攻击者加密并窃取数据，以最大限度地施压。以 Interlock 为例，美国 DaVita 数据泄露事件就是一个典型的例子，该事件导致 1,5 TB 的数据（包括患者记录、临床信息、用户账户和财务数据）泄露，这充分说明了此类攻击活动的严重程度及其对声誉造成的损害。

另一个长期存在的问题：安全系统检测入侵的速度太慢。行业研究估计，入侵事件可能持续超过250天都无法被发现，平均损失近4,99万美元。如果将高质量的遥测技术、行为检测和完善的防御策略结合起来，就能大幅缩短犯罪分子作案的时间窗口。

Interlock：社交工程“ClickFix”、定制远程访问木马和隐蔽持久化

Interlock采用了非常规且高效的入侵手段。其标志性技术是ClickFix社交工程攻击，该技术诱骗受害者运行伪装成故障排除窗口或虚假验证码的脚本。在这种诱骗背后，一个经过混淆处理的PowerShell脚本（采用Base64编码）可以启动恶意程序、部署自身的远程访问木马（RAT）并发起横向移动。

2025年期间，人们发现ClickFix的一个变种被用于下载其PHP远程访问木马（RAT）的新版本，从而增强了其持久性和远程控制能力。该木马会在系统启动时自动安装自身，并通过修改Windows中的“Chrome Updater”注册表项将自身锚定在系统中，确保在系统重启后继续运行，并降低了通过常规方法清除的可能性。

一旦入侵成功，Interlock 通常会使用 Cobalt Strike、SystemBC、其自研的 Interlock RAT5 或 NodeSnake RAT 等工具收集系统信息和凭据。窃取密钥和击键的实用程序（例如“cht.exe”和“klg.dll”等组件）以及使用已知的窃取工具（例如 Lumma、Berserk）来提升权限的情况也并不少见。

为了窃取数据，该组织结合了云端和传统渠道：除了 WinSCP 之外，Azure Storage Explorer 和 AzCopy 也是他们常用的工具。他们通常使用 RDP、AnyDesk 和 PuTTY 进行横向移动，并且还观察到他们使用 Kerberoasting 等技术来捕获工单并获取高权限帐户的访问权限。

一个重要的区别在于，该勒索软件最初专注于加密虚拟机，而忽略了物理主机或服务器。这种模式可能会演变，但已在近期发生的几起入侵事件中得到证实。此外，该勒索软件与 Rhysida 等勒索软件家族存在相似之处，但其勒索方式也存在一些特殊之处：勒索信可能包含一个独特的代码，并通过 Tor 网络进行联系，而并非一开始就要求提供具体的赎金信息。

Warlock：针对 SharePoint 的 RaaS 和 ToolShell 漏洞利用链

Warlock，又名 Gold Salem 或 Storm-2603，采用勒索软件即服务 (RaaS) 模式。其最显著的特点是利用Microsoft SharePoint 中的零日漏洞进行初始攻击，这些漏洞被整合到一个被社区称为 ToolShell 的攻击工具中。相关的 CVE 编号包括 CVE-2025-49706、CVE-2025-49704、CVE-2025-53770 和 CVE-2025-53771。

在最初的入侵之后，攻击的重点是窃取财务数据、内部记录以及客户或员工名单，最终目标是加密数据并进行双重勒索。短短几个月内，受害者就超过了60人，其中科技、金融服务和电信行业受到的影响尤为严重，美国、日本和英国在风险评估中被列为最高风险国家。

操作层面的教训很简单：如果您的组织公开了 SharePoint 或关键 Web 服务，那么补丁管理和攻击面加固至关重要。限制暴露范围、审查身份验证、完整记录访问日志以及部署针对 SharePoint 异常行为的定向检测，都能显著减少攻击途径。

实施多因素身份验证 (MFA) 并结合上下文策略（设备、位置、风险）来限制访问权限，可以显著降低攻击者在凭证或 Cookie 泄露时所获得的战术优势。此外，添加网络分段和严格的访问控制列表，能够进一步缩小攻击者在安全环境中的回旋余地。

SafePay：交易量、全球覆盖范围以及与 LockBit 3.0 的相似之处

SafePay于2024年下半年推出，但直到2025年才成为最活跃的加密程序之一。仅在第​​一季度，它就处理了200多起安全事件。由于其功能和模块化设计，它经常被拿来与LockBit 3.0比较。

他们的攻击目标遍布全球，但美国占已确认受害者的绝大多数。受影响最严重的行业包括制造业、科技、教育、专业服务和医疗保健。攻击者通过多种手段获得初始访问权限，包括窃取凭证、利用暴露的远程服务（VPN 等）以及利用未及时修复的已知 CVE 漏洞。

一旦成功入侵，该恶意软件便会通过横向移动和窃取密码来扩大控制范围，并执行两阶段勒索策略（泄露信息+加密）以最大化其影响力。建议：采用强密码策略并启用多因素身份验证 (MFA)、定期进行外部暴露审查、强化 VPN 以及微隔离来遏制其跨域和网络传播。

早期检测和威胁搜寻：从理论到实践

Interlock 和 Warlock 的案例表明，可见性至关重要。通过 SIEM、EDR和IPS 系统进行实时监控，并结合威胁搜寻，可以缩短攻击者潜伏时间，防止入侵演变成重大事件。

该社区提供了一系列规则，这些规则映射到 MITRE ATT&CK 框架，并利用 CTI 技术进行了增强，以涵盖 Interlock 和其他运营商的 TTP（战术、技术和程序）。这些检测结果可直接集成到多个 SIEM、EDR 和数据湖中，并包含元数据、参考资料、时间线和分类指南，从而加快了假设验证和响应速度。

为了更好地组织战术内容，建议使用“Interlock勒索软件”或“aa25-203a”等术语标记搜索和规则，并创建专注于关键活动的仪表板（例如，使用Base64编码的PowerShell、对启动项的可疑注册表修改、异常的RDP/AnyDesk使用情况、Kerberoasting模式和数据泄露工具）。人工智能辅助检测IDE有助于将威胁报告转换为跨平台、可移植的查询。

真正有效的预防措施

预防是第一道防线，必须按照ISO 27001标准在所有部门全面实施。应培训所有员工识别网络钓鱼、欺骗性链接和恶意附件，最好通过定期演练来实现。安全意识并非 IT 部门的专属：我们每个人都是防御体系的一部分，而只需一次点击，就可能打开安全之门。

优先打补丁至关重要。操作系统、浏览器、Java/旧版运行时环境、Microsoft Office 以及关键组件都必须保持最新状态。大多数攻击活动都会利用已知或新披露的漏洞，因此，制定并执行持续更新计划是您最好的保障。

加强身份验证。在所有敏感账户上启用多因素身份验证 (MFA)可显著降低密码重用和会话劫持的风险。遵循最小权限原则，并持续审查管理员权限、服务账户和遗留访问权限。

分段和控制列表。隔离网络、域和环境可以最大限度地减少风险范围。隔离管理服务器，保护数据中心，强制执行严格的访问控制列表 (ACL)，并禁用未使用的服务。在适当情况下，将高风险工作负载迁移到容器或虚拟桌面基础架构 (VDI) 中，以限制风险范围。

电子邮件和网站安全加固。反钓鱼过滤和内容分析可减少用户接收到的干扰信息。添加 DMARC、SPF、DKIM 策略和沙盒网关，以便在邮件送达前检查附件和 URL。

执行控制和宏。默认情况下，Office 中不需要宏的用户应禁用宏。应用应用程序白名单、基于文件夹的规则（例如，浏览器临时文件）以及限制哪些二进制文件可以访问敏感文件类型的策略（例如，只有 Word 可以编辑 .docx 文件）。

端点检测。EDR /反勒索软件，具备行为检测、阻止可疑执行和文件回滚功能。结合受限的 PowerShell 策略、脚本阻止和 AMSI 审计。

确保远程访问安全。如果使用 VPN 或远程桌面，请启用多因素身份验证 (MFA)、按 IP 地址/国家/地区限制访问、审查访问模式并禁用不安全的隧道。尽可能使用证书替换凭据，并审核 AnyDesk 或 PuTTY 等工具的使用情况。

如果您已经参与，请参考以下行动指南

首要任务是控制疫情蔓延。将受影响的设备和网络段与网络断开连接，以减缓疫情扩散。在事件发生期间禁用自动备份，以防止加密数据污染快照。

识别勒索软件类型。分析勒索信、扩展程序和相关痕迹。勒索软件识别平台可以帮助确定勒索软件家族，从而指导应对措施并找到潜在的免费解密工具。

根除并恢复。使用防病毒/EDR 工具进行清理，确认没有遗留问题，如果您有完整的备份，请根据优先级计划（业务和技术依赖关系）恢复服务和数据。

进行取证分析。审查日志、入侵指标 (IOC)、横向移动路径、使用的账户以及潜在的数据泄露途径。这不仅可以堵住漏洞，而且对于合规性和与利益相关者的沟通也至关重要。

修复并报告问题。打补丁、加固配置、轮换凭证，并总结经验教训。根据您所在的管辖范围和行业，通知相关部门；透明度有助于协调应对。

支付赎金值得吗？

当局和专家建议不要支付赎金。即使你屈服于对方的要求，也无法保证一定能解密；这可能会让你成为犯罪团伙的下一个目标，而且如果该团伙受到制裁，你还可能面临法律后果。此外，支付赎金还会资助他们未来的犯罪活动。

另一种方法是加强防范，避免走到那一步：完善备份、进行恢复演练、主动检测，并在必要时寻求专家建议。付费并非安全策略，而只是另一种风险。

有帮助的工具和服务

为了提升防御水平，可以考虑采用涵盖端点、网络和云的全面防护套件，以及顶级防火墙。端点保护、EDR 和 MDR 解决方案能够实现快速检测、遏制和响应，并可进行协调的取证分析和缓解。

一些供应商提供专门的勒索软件防护组件，包括行为检测、进程隔离和文件恢复。另一些供应商则集成了清单管理、补丁管理、权限控制和审计功能，从而简化管理并减少工具之间的差距。

如果您的组织需要市场参考资料，我们提供主题中心和规则目录，用于高级检测，这些内容已映射到 MITRE ATT&CK 框架，并与各种 SIEM/EDR/数据湖兼容，同时提供可操作的 CTI、元数据和分类建议。此类内容能够加速防御行动和基于假设的威胁搜寻。

政策和习惯：行之有效的“应该做”和“不应该做”的事情

定期进行可验证的备份。可靠的备份可以避免被勒索，并缩短恢复时间。积极主动：现在就制定响应策略，明确角色分工，并通过桌面演练进行实践。

在电子邮件和网页中使用内容分析和过滤功能。在恶意附件和 URL 到达用户之前将其拦截，可以大幅降低风险。保持所有系统更新：及时打补丁可以修复漏洞，防止他人利用。

培训您的团队，使其能够识别欺诈行为并负责任地管理密码。切勿与未经核实的来源共享凭证或个人信息，并对紧急要求或流程中的异常变更保持警惕。

不要支付赎金，也不要让损失继续扩大。如果遭受攻击，请迅速隔离，停止自动备份，并防止加密感染更多资产。优先进行数据清除和完全恢复。

增强安全性的其他控制措施

专业的补丁管理。自动检测和部署更新，优先考虑关键性和风险，确保运营不中断。这包括操作系统、中间件、浏览器和第三方组件。

面向数据的访问控制。定义规则以阻止未经授权的进程修改敏感文件类型（例如，仅允许 Word 访问 .docx 文件）。这样，即使恶意二进制文件执行，也无法加密重要数据。

软件规则按文件夹和上下文进行划分。限制对关键位置（临时文件夹、下载文件夹）的执行/读取/写入操作，并包含旨在避免干扰合法工作流程（安装程序、压缩程序）的例外情况。

除非绝对必要，否则请禁用宏。许多感染链仍然在混淆文档中使用宏；默认情况下禁用宏可以切断攻击者一条传统的、收益极高的攻击途径。

白名单和容器。仅允许受信任的应用程序运行，并将风险活动隔离在虚拟化或封闭的环境中，从而限制意外运行造成的影响。

人与领导力：无需“正式权威”也能发挥影响力

单靠技术是不够的，还需要合理的决策和协调。在安全领域，成功很大程度上取决于信誉、信任和影响力，而非权力地位。梳理相互依存关系（谁需要合作，谁可以阻止访问）并建立透明的关系，能够显著提升变革的实施能力。

组织本质上具有政治性：不同的优先事项、压力和激励机制并存且相互冲突。有效的网络安全领导力依赖于同理心、清晰的思路和一致性，建立能够创造共同价值的共识，而不是随意地强加控制措施。

一个寓言故事，用来记住这个教训

想象一下像 Cipherlock 这样的威胁，它会锁定并屏蔽数据。英雄们并非依靠蛮力取胜，而是通过遏制、分析以及在发起反击之前切断传播路径来取得胜利。教训是：勒索软件惩罚的不是技术本身，而是管理上的疏忽。

正确的战术组合显而易见：持续支持、智能分段、严格的补丁更新和持续培训。每个用户都是防御体系中的重要一环，每一个组织良好的流程都意味着攻击者少了一道防线。

数字卫生必备技巧

避免点击未经核实的链接和从可疑网站下载文件；来路不明的U盘也是一种安全隐患，应予以清除。在公共Wi-Fi网络上使用启用多因素身份验证（MFA）的VPN，并采取现代安全措施加强终端安全。

利用自动化分析和反欺骗规则增强您的电子邮件安全。维护备份并进行恢复演练。减少您共享的个人数据：您泄露的信息越少，被利用的可能性就越小。

如果贵公司使用 SharePoint 或其他暴露的服务，请务必仔细检查配置、身份验证和补丁程序。Warlock 利用的 ToolShell 链提醒我们，零日漏洞虽然存在，但配置错误和补丁延迟更为常见。

人类行为统计数据也无济于事：相当一部分用户会打开钓鱼邮件，有些人甚至会运行恶意附件。因此，除了培训之外，还必须实施技术保障措施，将人为错误视为系统固有的组成部分。

预防和有效应对并非终点，而是一种实践。投资于多层防御、自动化和可视性，可以缩短攻击者的潜伏时间，并在他们突破第一道防线后减轻其影响。

综上所述，要防范 Interlock、Warlock 和其他新兴勒索软件团伙，需要技术、方法和文化：完善的现代技术集成、可重复的流程以及能够快速检测、遏制、根除和恢复的协同团队。此外，还要具备强大的备份能力、无处不在的多因素身份验证 (MFA)、严格的网络分段和持续监控，这样就能大大降低勒索软件对企业造成破坏的风险。