Gruppi e famiglie di ransomware

La famiglia è il malware: il programma di cifratura e i suoi strumenti, di solito chiamati come il codice o la nota di riscatto, per esempio LockBit o Akira. Il gruppo è l'organizzazione criminale che lo sviluppa e lo gestisce, compresi il sito dei leak, il processo di pagamento e i negoziatori. Un affiliato è una squadra criminale distinta che prende in affitto il malware dal gruppo e compie le intrusioni vere e proprie, in cambio di una quota del riscatto, spesso la maggiore. Per chi si difende conta perché la stessa famiglia può arrivare per vie molto diverse a seconda dell'affiliato che la usa, mentre un affiliato può cambiare famiglia da un mese all'altro. Gli avvisi governativi descrivono quindi entrambe le cose: gli indicatori della famiglia e le tecniche osservate nei suoi affiliati. Quando un rapporto dice che un gruppo ha attaccato un'azienda, di solito significa che lo ha fatto uno dei suoi affiliati.

Il ransomware as a service è un modello di business in cui gli sviluppatori danno in affitto il loro ransomware ad affiliati, che compiono gli attacchi e dividono con loro i proventi. Gli sviluppatori forniscono il software di cifratura, un pannello di controllo, un sito dei leak per pubblicare i dati rubati, la gestione dei pagamenti e talvolta negoziatori e assistenza. Gli affiliati portano l'accesso alle vittime, spesso comprato da broker di accesso iniziale, e svolgono il lavoro di intrusione. Il modello spiega diverse cose che le piccole aziende notano: il ransomware non è più riservato ad attaccanti esperti, gli attacchi sono frequenti e opportunistici anziché rivolti solo a nomi famosi, e lo stesso marchio può comparire con tecniche molto diverse. La maggior parte delle famiglie negli avvisi recenti di CISA e FBI, tra cui LockBit, ALPHV, RansomHub e Medusa, è descritta come organizzata così. Smantellare gli sviluppatori colpisce molti affiliati in una volta, ed è per questo che le forze dell'ordine puntano spesso alla piattaforma.

La doppia estorsione significa che gli attaccanti cifrano i suoi sistemi e rubano anche una copia dei dati, poi chiedono un pagamento per due cose: la chiave di decifratura e la promessa di non pubblicare i dati. Si è diffusa intorno al 2020 e oggi è la norma: gli avvisi di CISA e FBI la descrivono per la maggior parte dei gruppi attuali, tra cui Black Basta, Akira, Play e Rhysida. Alcuni gruppi rinunciano del tutto alla cifratura ed estorcono solo con i dati rubati, come descrive l'avviso su BianLian dal 2024. La conseguenza pratica è che buoni backup risolvono solo metà del problema: permettono di ripartire, ma non cambiano nulla per i dati rubati, che possono far scattare la notifica GDPR e obblighi verso i clienti. Significa anche che il furto avviene prima della cifratura, spesso nell'arco di diversi giorni, il che lascia ai difensori un margine. I grandi trasferimenti in uscita verso destinazioni sconosciute sono uno dei segnali che NetSenX evidenzia in ogni piano.

Un sito dei leak è un sito web gestito da un gruppo ransomware, di solito raggiungibile solo tramite la rete Tor, dove il gruppo elenca le aziende che afferma di aver attaccato e pubblica i loro dati rubati se non pagano. Una scheda inizia spesso con il nome dell'azienda, un conto alla rovescia e un campione di file, come pressione durante le trattative. Questi siti sono anche pubblicità: mostrano la portata del gruppo ai potenziali affiliati. Alcuni punti per un'azienda che si trova elencata. Una scheda è un'affermazione, non una prova; i gruppi a volte esagerano o ripubblicano dati vecchi, quindi verifichi che cosa è stato davvero sottratto. È però un forte indizio che i dati siano usciti dalla rete, il che conta per la notifica GDPR. Le operazioni delle forze dell'ordine sostituiscono spesso questi siti con un banner di sequestro, come è successo con LockBit a febbraio 2024 e con BlackSuit a luglio 2025. I servizi di monitoraggio e i CERT nazionali seguono questi siti; non li visiti dai dispositivi aziendali.

Parta dalle fonti governative, che sono gratuite, datate e prudenti in ciò che affermano. L'agenzia statunitense CISA, con l'FBI e agenzie partner, pubblica la serie di avvisi congiunti StopRansomware, ciascuno dedicato a un gruppo con le sue tecniche note, gli indicatori di compromissione e le difese raccomandate; ogni avviso ha un identificativo come AA24-131A e una data. In Europa guardi al CERT nazionale o all'agenzia per la cybersicurezza, che pubblica avvisi nella sua lingua, al rapporto annuale Threat Landscape dell'ENISA per le tendenze e a Europol per smantellamenti e arresti. Il progetto No More Ransom raccoglie strumenti di decifratura gratuiti. I rapporti dei fornitori di sicurezza aggiungono dettagli ma anche marketing, quindi confronti le loro cifre con una fonte ufficiale. Leggendo un avviso, guardi prima la data e la cronologia degli aggiornamenti: i gruppi cambiano strumenti e gli indicatori più vecchi perdono valore in fretta, mentre le tecniche descritte restano di solito valide molto più a lungo.

No More Ransom è un sito gratuito lanciato nel luglio 2016 dal Centro europeo per la lotta alla criminalità informatica di Europol, dalla polizia olandese e da aziende di sicurezza, che raccoglie strumenti di decifratura per il ransomware. Al sesto anniversario, nel luglio 2022, Europol ha indicato 136 strumenti gratuiti per 165 varianti di ransomware. La pagina Crypto Sheriff permette di caricare una nota di riscatto o due file cifrati per verificare se esiste uno strumento. Vale la pena controllare, ma con aspettative realistiche: gli strumenti esistono soprattutto per famiglie più vecchie, per famiglie le cui chiavi sono state sequestrate dalla polizia e per famiglie con difetti nella cifratura. Per la maggior parte dei gruppi professionali attuali non esiste un decifratore gratuito. Non carichi file con dati personali sensibili senza considerare i suoi obblighi GDPR, conservi copie dei file cifrati nel caso in cui uno strumento compaia più avanti e chieda consiglio prima di eseguire qualsiasi decifratore su sistemi di produzione.

A volte molto, spesso meno di quanto suggeriscano i titoli. Quando la polizia sequestra i server di un gruppo, può recuperare chiavi di decifratura: nell'operazione contro Hive annunciata a gennaio 2023, l'FBI ha dichiarato di aver fornito chiavi a oltre 300 vittime sotto attacco e a più di 1.000 vittime precedenti, e l'operazione Cronos contro LockBit, a febbraio 2024, ha portato a oltre 1.000 chiavi. Le vittime possono chiedere alla polizia nazionale se esistono chiavi per il loro caso, e No More Ransom pubblica spesso strumenti in seguito. I dati sequestrati possono anche fermare nuove fughe. Ma uno smantellamento raramente elimina le persone: gli affiliati passano ad altre piattaforme e in diversi casi i membri sono ricomparsi con un nuovo nome nel giro di pochi mesi. Per le aziende non ancora attaccate cambia poco. Le stesse tecniche continuano sotto altri marchi, quindi le difese raccomandate negli avvisi restano quelle da applicare.

Soprattutto per sfuggire alla pressione. Un nome noto attira forze dell'ordine, sanzioni e liste di blocco, e molti assicuratori e aziende rifiutano di pagare gruppi sotto sanzione, quindi un nuovo nome può rendere il pagamento più facile per i criminali. Un cambio di nome può anche seguire una scissione interna, una fuga delle chat del gruppo o un'operazione di polizia. Le fonti ufficiali documentano diversi casi: l'aggiornamento di agosto 2024 dell'avviso CISA su Royal afferma che BlackSuit è un rebranding di Royal, e l'avviso CISA di agosto 2024 su RansomHub nota che l'operazione era nota in precedenza come Cyclops e Knight. Dopo la fuga delle chat interne di Conti nel 2022, i suoi membri si sono dispersi in altre operazioni. Per chi si difende la lezione è semplice: il nome sulla nota di riscatto cambia più in fretta delle tecniche che ci stanno dietro. Segua le tecniche, che ogni avviso elenca con riferimenti MITRE ATT&CK, non solo i nomi dei marchi.

Lo legga come una lista di controllo, non come una notizia. Ogni avviso StopRansomware della CISA si chiude con una sezione di mitigazioni, che ripete per lo più la stessa manciata di misure: applicare rapidamente le patch ai sistemi esposti su internet, soprattutto VPN e accesso remoto; richiedere l'autenticazione a più fattori per accesso remoto, posta e account amministrativi; tenere backup offline e verificati; segmentare la rete perché una macchina infetta non raggiunga tutto; limitare i diritti di amministratore e l'uso del desktop remoto; monitorare il traffico interno e in uscita insolito. Spunti ciò che già fa e sistemi per primo il punto più debole. Poi legga la sezione sull'accesso iniziale: se il gruppo sfrutta un prodotto che usa, controlli oggi stesso il suo livello di patch. Gli indicatori di compromissione, come indirizzi IP e hash dei file, sono utili al suo fornitore IT o agli strumenti di sicurezza ma invecchiano in fretta. Non serve capire ogni dettaglio tecnico per applicare le mitigazioni.

LockBit è un'operazione di ransomware as a service comparsa nel 2019 e diventata la variante di ransomware più diffusa al mondo nel 2022, secondo l'avviso congiunto AA23-165A pubblicato da CISA, FBI e partner internazionali il 14 giugno 2023. I suoi affiliati entravano tramite servizi di desktop remoto esposti, phishing, credenziali rubate e vulnerabilità nei sistemi esposti su internet; un avviso distinto, AA23-325A di novembre 2023, descriveva lo sfruttamento della falla Citrix Bleed. Il 20 febbraio 2024 l'operazione Cronos, guidata dalla National Crime Agency britannica con FBI ed Europol, ha preso il controllo dell'infrastruttura e del sito dei leak di LockBit e ha ottenuto oltre 1.000 chiavi di decifratura. Il marchio ha poi tentato di ripartire, con una portata molto minore. Le lezioni degli avvisi restano valide: applicare presto le patch ai dispositivi perimetrali, richiedere la MFA per l'accesso remoto e osservare movimento laterale e grandi trasferimenti in uscita prima della cifratura.

ALPHV, noto anche come BlackCat, era un'operazione di ransomware as a service attiva dalla fine del 2021, nota perché scritta nel linguaggio Rust e capace di cifrare sia server normali sia host di virtualizzazione. CISA e FBI l'hanno descritta nell'avviso AA23-353A, pubblicato il 19 dicembre 2023 e aggiornato a febbraio 2024: a quel punto i suoi affiliati avevano compromesso oltre 1.000 organizzazioni nel mondo, spesso dopo aver indotto help desk e personale IT a consegnare credenziali. A dicembre 2023 l'FBI ha annunciato di aver colpito il gruppo e fornito uno strumento di decifratura a più di 500 vittime. ALPHV ha ripreso brevemente e poi ha chiuso a marzo 2024, in quella che molti ricercatori hanno descritto come una truffa ai danni dei propri affiliati. Gli affiliati non sono spariti; molti sono passati ad altre piattaforme. La lezione chiave dell'avviso per le piccole aziende: formare l'help desk a verificare l'identità prima di ogni reimpostazione di password o MFA.

Black Basta è un'operazione di ransomware as a service osservata per la prima volta ad aprile 2022. Nell'avviso congiunto AA24-131A, pubblicato il 10 maggio 2024, CISA, FBI e agenzie partner hanno riferito che i suoi affiliati avevano colpito oltre 500 organizzazioni nel mondo, tra cui 12 dei 16 settori di infrastrutture critiche statunitensi, con la doppia estorsione: cifratura dei sistemi e furto di dati. L'accesso iniziale avveniva di solito tramite spear phishing e lo sfruttamento di vulnerabilità note; l'avviso descrive anche affiliati che usavano strumenti legittimi di accesso remoto e trasferimento file, credenziali rubate e desktop remoto per spostarsi tra le macchine. I ricercatori hanno ampiamente riportato che le chat interne del gruppo sono trapelate a febbraio 2025, dopo di che la sua attività è calata. Le raccomandazioni dell'avviso sono una buona base per qualsiasi azienda: sistemi aggiornati, MFA resistente al phishing, formazione del personale a riconoscere il phishing, backup offline e controllo dei software di accesso remoto consentiti.

Akira è un'operazione ransomware osservata per la prima volta a marzo 2023 che colpisce aziende e infrastrutture critiche in Nord America, Europa e Australia. CISA, FBI, il centro per la criminalità informatica di Europol e l'NCSC olandese l'hanno descritta nell'avviso congiunto AA24-109A del 18 aprile 2024: al 1° gennaio 2024 aveva colpito oltre 250 organizzazioni e ottenuto circa 42 milioni di dollari. Un aggiornamento del 13 novembre 2025 ha portato la cifra a circa 244 milioni di dollari a fine settembre 2025 e ha indicato manifattura, istruzione, IT, sanità, servizi finanziari e agroalimentare tra i settori più colpiti. Gli affiliati di Akira entrano di solito tramite account VPN senza autenticazione a più fattori e falle note in prodotti VPN e firewall, tra cui l'aggiornamento cita una vulnerabilità SonicWall, e rubano i dati prima di cifrare. Il consiglio ne deriva direttamente: MFA su ogni account VPN, patch tempestive dei dispositivi perimetrali e backup offline.

Play, detto anche Playcrypt, è un gruppo ransomware attivo da giugno 2022. CISA, FBI e Australian Cyber Security Centre lo hanno descritto nell'avviso congiunto AA23-352A del 18 dicembre 2023, che contava allora circa 300 organizzazioni colpite; un aggiornamento di giugno 2025 ha indicato che all'FBI ne risultavano circa 900 a maggio 2025. Play usa la doppia estorsione, ma la nota di riscatto non indica alcun importo: le vittime devono prendere contatto via e-mail, e l'aggiornamento segnala che alcune sono state anche minacciate per telefono. L'accesso iniziale avviene di solito tramite account validi rubati o acquistati e vulnerabilità di sistemi esposti su internet, come servizi di desktop remoto e firewall. Il gruppo ricompila il malware per ogni attacco, quindi gli hash dei file servono a poco. Il comportamento è più affidabile: furto di credenziali, spostamenti tra macchine interne e dati raccolti e inviati all'esterno prima della cifratura, cose che il monitoraggio di rete può vedere.

Royal era un'operazione ransomware attiva da circa settembre 2022, e BlackSuit ne è il successore. CISA e FBI hanno descritto Royal per la prima volta nell'avviso AA23-061A del 2 marzo 2023; un aggiornamento di novembre 2023 contava oltre 350 vittime note da settembre 2022, e un aggiornamento di agosto 2024 afferma che BlackSuit è un rebranding di Royal e che le richieste di riscatto superavano complessivamente i 500 milioni di dollari, con una richiesta massima di 60 milioni. Il phishing era la via d'ingresso più comune, seguito da desktop remoto, sfruttamento di applicazioni esposte e accessi comprati da broker. A luglio 2025 un'operazione internazionale coordinata tramite Europol e guidata dalle Homeland Security Investigations statunitensi ha sequestrato server e domini di BlackSuit, come annunciato dal Dipartimento di Giustizia americano ad agosto 2025. Non sono stati segnalati arresti e i ricercatori hanno osservato membri passare a nuove operazioni. Le difese dell'avviso restano valide, qualunque sia il marchio.

Rhysida è un gruppo di ransomware as a service comparso a maggio 2023. CISA, FBI e MS-ISAC lo hanno descritto nell'avviso congiunto AA23-319A del 15 novembre 2023, osservando che attaccava in modo opportunistico istruzione, sanità, manifattura, IT e pubblica amministrazione, con la doppia estorsione. Secondo l'avviso, gli autori entravano soprattutto tramite servizi remoti esterni come le VPN, spesso con credenziali rubate dove l'autenticazione a più fattori non era imposta, tramite phishing e in alcuni casi sfruttando la vulnerabilità Zerologon nei domain controller. Una volta dentro, usavano strumenti di amministrazione integrati e desktop remoto per muoversi, lo schema living off the land visto in molti gruppi. Per una piccola azienda il messaggio dell'avviso è noto ma importante: richiedere la MFA su ogni via di accesso remoto, aggiornare i domain controller, limitare il desktop remoto e segmentare la rete perché un singolo punto d'appoggio non esponga tutto.

Medusa è un'operazione di ransomware as a service identificata per la prima volta a giugno 2021, da non confondere con la famiglia MedusaLocker, che non c'entra, né con un malware per dispositivi mobili chiamato anch'esso Medusa. CISA, FBI e MS-ISAC l'hanno descritta nell'avviso congiunto AA25-071A del 12 marzo 2025, che contava oltre 300 vittime a febbraio 2025 in settori delle infrastrutture critiche tra cui sanità, istruzione, servizi legali, assicurazioni, tecnologia e manifattura; un aggiornamento di agosto 2026 porta il conteggio a oltre 500 vittime ad aprile 2026. Sviluppatori e affiliati entrano con il phishing per rubare credenziali e sfruttando vulnerabilità non corrette, e l'avviso descrive un uso intenso di software legittimi di accesso remoto e strumenti di amministrazione integrati. Medusa gestisce un sito dei leak con conti alla rovescia e offre di rinviare la pubblicazione a pagamento. Le mitigazioni sono quelle note: aggiornare sistemi operativi, software e firmware; MFA per tutti i servizi; segmentazione della rete; backup offline; e limitare gli strumenti di desktop e accesso remoto a quelli che usa davvero.

RansomHub era un'operazione di ransomware as a service comparsa a febbraio 2024 e cresciuta rapidamente reclutando affiliati da altre piattaforme, anche dopo il crollo di ALPHV e lo smantellamento di LockBit. CISA, FBI, MS-ISAC e il dipartimento della salute statunitense l'hanno descritta nell'avviso congiunto AA24-242A del 29 agosto 2024: a quel punto aveva cifrato e rubato dati di almeno 210 vittime, in settori come acqua, IT, servizi pubblici, sanità, servizi di emergenza, alimentare, servizi finanziari e comunicazioni. L'avviso nota che l'operazione era nota in precedenza come Cyclops e Knight e usa la doppia estorsione. Gli affiliati entravano di solito tramite phishing, password spraying e lo sfruttamento di vulnerabilità note in sistemi esposti su internet. I ricercatori hanno riferito che la sua infrastruttura è andata offline ad aprile 2025 e che molti affiliati sono passati altrove. Lo schema è la lezione: i marchi vanno e vengono in fretta, mentre le tecniche d'ingresso e le difese raccomandate restano le stesse.

Cl0p, scritto anche Clop, è un'operazione di ransomware ed estorsione che le agenzie di sicurezza associano a un gruppo criminale tracciato come TA505. È nota soprattutto per furti di dati su larga scala attraverso falle nei software di trasferimento file, più che per la cifratura classica. CISA e FBI hanno descritto il suo sfruttamento di una vulnerabilità zero-day, CVE-2023-34362, nel prodotto MOVEit Transfer nell'avviso congiunto AA23-158A del 7 giugno 2023: da fine maggio 2023 il gruppo ha rubato dati a moltissime organizzazioni tramite quel solo prodotto, chiedendo poi un pagamento per non pubblicarli. Campagne precedenti avevano usato falle simili in altri prodotti di trasferimento file gestito. Per una piccola azienda le lezioni sono precise: sapere quali applicazioni di trasferimento file e altre applicazioni esposte su internet usa, comprese quelle gestite per suo conto dai fornitori, aggiornarle appena esce un avviso e osservare volumi insoliti di dati in uscita da quei server. Per fare danni gravi non serve la cifratura.

BianLian è un gruppo criminale nato come operazione ransomware a giugno 2022 e passato a un'estorsione basata solo sul furto di dati. CISA, FBI e Australian Cyber Security Centre lo hanno descritto nell'avviso congiunto AA23-136A del 16 maggio 2023; l'avviso indica che il gruppo è passato a un'estorsione prevalentemente basata sull'esfiltrazione verso gennaio 2023, e un aggiornamento di novembre 2024 afferma che vi è passato in modo esclusivo verso gennaio 2024. Gli autori entrano di solito con credenziali valide di desktop remoto, spesso acquistate da broker di accesso iniziale o ottenute con il phishing, poi usano strumenti integrati e software di accesso remoto per esplorare la rete e copiare i dati all'esterno prima di chiedere un pagamento. Poiché nulla viene cifrato, una vittima può venire a sapere dell'attacco solo dal messaggio di estorsione. Per questo il monitoraggio dei dati in uscita è particolarmente importante: il furto è l'attacco. L'avviso raccomanda di limitare rigorosamente il desktop remoto, verificare gli strumenti di accesso remoto e tenere sotto stretto controllo gli account amministrativi.

Hive era un'operazione di ransomware as a service attiva da giugno 2021 all'inizio del 2023. Nell'avviso congiunto AA22-321A del 17 novembre 2022, CISA, FBI e dipartimento della salute statunitense hanno riferito che aveva colpito oltre 1.300 aziende nel mondo e ricevuto circa 100 milioni di dollari di riscatti, con un impatto particolare sulla sanità. Gli affiliati entravano tramite account di desktop remoto e VPN senza MFA, tramite phishing e sfruttando vulnerabilità note di server esposti su internet. Il 26 gennaio 2023 il Dipartimento di Giustizia statunitense ha annunciato che l'FBI si era infiltrato segretamente nella rete di Hive da luglio 2022, fornendo chiavi di decifratura a oltre 300 vittime sotto attacco e a più di 1.000 vittime precedenti, prima di sequestrarne i server con il supporto della polizia tedesca e olandese e di Europol. Hive mostra che cosa uno smantellamento può dare alle vittime e anche i suoi limiti: i ricercatori hanno poi segnalato il riuso di codice di Hive in un nuovo marchio di ransomware.

Conti è stata una delle operazioni ransomware più attive tra il 2020 e il 2022. Nell'avviso congiunto AA21-265A del 22 settembre 2021, CISA, FBI e NSA riportavano oltre 400 attacchi contro organizzazioni statunitensi e internazionali, con affiliati che entravano tramite spear phishing, credenziali di desktop remoto rubate o deboli, falsi download di software e vulnerabilità note; l'avviso è stato poi aggiornato con altri indicatori. Conti funzionava più come un'azienda che come una rete informale, con personale pagato, cosa emersa a febbraio 2022 quando sono trapelate decine di migliaia di sue chat interne. Il marchio ha chiuso verso la metà del 2022 e i suoi membri si sono sparsi in altre operazioni di ransomware ed estorsione. Per chi si difende, il materiale trapelato ha confermato ciò che dicevano gli avvisi: la maggior parte delle intrusioni si basava su debolezze comuni come MFA assente, accessi remoti esposti e patch lente, non su exploit esotici.

Phobos è una famiglia di ransomware as a service attiva più o meno dal 2019, e 8Base era uno dei gruppi che usavano una variante di Phobos. CISA, FBI e MS-ISAC hanno descritto Phobos nell'avviso congiunto AA24-060A del 29 febbraio 2024: i suoi affiliati colpivano amministrazioni locali, servizi di emergenza, istruzione, sanità e altre infrastrutture critiche, entrando di solito tramite servizi di desktop remoto con password deboli o rubate, oppure con il phishing. I ricercatori di sicurezza osservano che Phobos è stato usato soprattutto contro organizzazioni piccole e medie anziché grandi imprese. L'11 febbraio 2025 Europol ha annunciato un'operazione internazionale coordinata, in cui sono state arrestate quattro persone sospettate di guidare 8Base; secondo il Dipartimento di Giustizia degli Stati Uniti sono stati interrotti oltre 100 server legati alla rete. Il consiglio per le piccole aziende è semplice: non esporre il desktop remoto su internet, imporre password robuste e MFA per l'accesso remoto e tenere backup offline.

Ghost, noto anche come Cring e con diversi altri nomi, è un'operazione ransomware a scopo di lucro che CISA, FBI e MS-ISAC hanno descritto nell'avviso congiunto AA25-050A del 19 febbraio 2025. Secondo l'avviso, gli autori hanno iniziato gli attacchi intorno all'inizio del 2021 e hanno compromesso organizzazioni in oltre 70 paesi, in settori che comprendono infrastrutture critiche, scuole e università, sanità, pubblica amministrazione, manifattura e molte piccole e medie imprese. Ottengono l'accesso soprattutto sfruttando vulnerabilità note, spesso vecchie di anni, in software esposti su internet come firewall, server web e server di posta, per cui le patch erano disponibili da tempo. Cambiano anche spesso i nomi dei file del ransomware e le note di riscatto, il che rende il marchio difficile da seguire. La lezione è netta: aggiornare i sistemi esposti contro le vulnerabilità note e sostituire i dispositivi che non ricevono più aggiornamenti è la difesa principale raccomandata dall'avviso.

Interlock è un'operazione ransomware osservata per la prima volta a settembre 2024, che colpisce aziende e infrastrutture critiche in Nord America ed Europa. CISA, FBI, dipartimento della salute statunitense e MS-ISAC l'hanno descritta nell'avviso congiunto AA25-203A del 22 luglio 2025. A differenza di molti gruppi, Interlock entra spesso tramite drive-by download da siti legittimi compromessi, compresi falsi aggiornamenti del browser, e tramite la tecnica ClickFix, in cui un falso CAPTCHA o messaggio di errore convince l'utente a incollare ed eseguire un comando. Usa la doppia estorsione e cifra sia i normali computer sia le macchine virtuali. Le difese raccomandate rispecchiano questa via d'ingresso: filtro DNS e web per bloccare i siti malevoli, browser e protezione degli endpoint aggiornati e personale che sa che nessun sito vero chiede di incollare comandi, oltre ai consueti aggiornamenti, MFA e segmentazione della rete. Dopo l'accesso iniziale, il traffico di controllo remoto e il movimento laterale sono le fasi che il monitoraggio di rete può vedere.