Ransomwaregroepen en -families

De familie is de malware: het versleutelingsprogramma en de bijbehorende tools, meestal genoemd naar de code of de losgeldbrief, zoals LockBit of Akira. De groep is de criminele organisatie die de malware ontwikkelt en beheert, inclusief de leksite, de betaalafhandeling en de onderhandelaars. Een affiliate is een apart crimineel team dat de malware van de groep huurt en de eigenlijke inbraken uitvoert, in ruil voor een deel van het losgeld, vaak het grootste deel. Voor verdedigers doet dit ertoe, omdat dezelfde familie via heel verschillende routes kan binnenkomen, afhankelijk van welke affiliate haar gebruikt, terwijl één affiliate van maand tot maand van familie kan wisselen. Overheidswaarschuwingen beschrijven daarom beide: de indicatoren van de familie en de technieken die bij haar affiliates zijn gezien. Als een rapport zegt dat een groep een bedrijf aanviel, betekent dat meestal dat een van haar affiliates het deed.

Ransomware as a service is een bedrijfsmodel waarbij ontwikkelaars hun ransomware verhuren aan affiliates, die de aanvallen uitvoeren en de opbrengst met hen delen. De ontwikkelaars leveren de versleutelingssoftware, een beheerpaneel, een leksite om gestolen data te publiceren, de betaalafhandeling en soms onderhandelaars en support. De affiliates brengen de toegang tot slachtoffers in, vaak gekocht bij initial access brokers, en doen het inbraakwerk. Het model verklaart een paar dingen die kleine bedrijven merken: ransomware is niet langer voorbehouden aan bekwame aanvallers, aanvallen zijn frequent en opportunistisch in plaats van alleen gericht op bekende namen, en hetzelfde merk kan met heel verschillende technieken opduiken. De meeste families in recente waarschuwingen van CISA en de FBI, waaronder LockBit, ALPHV, RansomHub en Medusa, worden zo beschreven. Wie de ontwikkelaars uitschakelt, raakt veel affiliates tegelijk, en daarom richt de politie zich vaak op het platform.

Dubbele afpersing betekent dat de aanvallers uw systemen versleutelen en ook een kopie van uw data stelen, en daarna betaling eisen voor twee dingen: de ontsleutelingssleutel en de belofte de data niet te publiceren. Het werd rond 2020 gangbaar en is nu de norm: waarschuwingen van CISA en de FBI beschrijven het voor de meeste huidige groepen, waaronder Black Basta, Akira, Play en Rhysida. Sommige groepen slaan versleuteling helemaal over en persen alleen af met gestolen data, zoals de waarschuwing over BianLian vanaf 2024 beschrijft. Praktisch betekent dit dat goede back-ups maar de helft van het probleem oplossen: ze krijgen u weer draaiende, maar doen niets aan de gestolen data, die een AVG-melding en verplichtingen tegenover klanten kan veroorzaken. Het betekent ook dat de diefstal vóór de versleuteling gebeurt, vaak verspreid over meerdere dagen, wat verdedigers een venster geeft. Grote uitgaande overdrachten naar onbekende bestemmingen zijn een van de signalen die NetSenX in elk abonnement markeert.

Een leksite is een website van een ransomwaregroep, meestal alleen bereikbaar via het Tor-netwerk, waarop de groep de bedrijven vermeldt die ze naar eigen zeggen heeft aangevallen en hun gestolen data publiceert als ze niet betalen. Een vermelding begint vaak met de bedrijfsnaam, een aftelklok en een steekproef van bestanden, als druk tijdens de onderhandelingen. Leksites zijn ook reclame: ze tonen potentiële affiliates het bereik van de groep. Een paar punten voor een bedrijf dat er zelf op staat. Een vermelding is een bewering, geen bewijs; groepen overdrijven soms of zetten oude data opnieuw online, dus controleer wat er werkelijk is meegenomen. Het is wel een sterke aanwijzing dat data het netwerk heeft verlaten, wat telt voor een AVG-melding. Bij politieacties worden leksites vaak vervangen door een inbeslagnamebanner, zoals bij LockBit in februari 2024 en BlackSuit in juli 2025. Monitoringdiensten en nationale CERT's volgen deze sites; bezoek ze niet vanaf bedrijfsapparaten.

Begin bij overheidsbronnen: die zijn gratis, gedateerd en voorzichtig in wat ze beweren. Het Amerikaanse agentschap CISA publiceert samen met de FBI en partnerorganisaties de reeks gezamenlijke StopRansomware-waarschuwingen; elke waarschuwing behandelt één groep met haar bekende technieken, indicatoren van compromittering en aanbevolen maatregelen, en heeft een kenmerk zoals AA24-131A en een datum. Kijk in Europa bij uw nationale CERT of cybersecurityautoriteit, die waarschuwingen in uw taal publiceert, in het jaarlijkse ENISA Threat Landscape-rapport voor trends en bij Europol voor ontmantelingen en arrestaties. Het project No More Ransom verzamelt gratis ontsleutelingstools. Rapporten van beveiligingsleveranciers voegen detail toe, maar ook marketing, dus vergelijk hun cijfers met een officiële bron. Kijk bij het lezen van een waarschuwing eerst naar de datum en de wijzigingsgeschiedenis: groepen wisselen van tools en oudere indicatoren verliezen snel hun waarde, terwijl de beschreven technieken meestal veel langer relevant blijven.

No More Ransom is een gratis website die in juli 2016 is gestart door het Europese Cybercrimecentrum van Europol, de Nederlandse politie en beveiligingsbedrijven, en die ontsleutelingstools voor ransomware verzamelt. Bij het zesjarig bestaan, in juli 2022, meldde Europol 136 gratis tools voor 165 ransomwarevarianten. Op de pagina Crypto Sheriff kunt u een losgeldbrief of twee versleutelde bestanden uploaden om te zien of er een tool bestaat. Het loont om te kijken, maar blijf realistisch: tools bestaan vooral voor oudere families, voor families waarvan de politie de sleutels in beslag nam en voor families met fouten in de versleuteling. Voor de meeste huidige professionele groepen bestaat geen gratis ontsleutelaar. Upload geen bestanden met gevoelige persoonsgegevens zonder uw AVG-verplichtingen te overwegen, bewaar kopieën van de versleutelde bestanden voor het geval er later een tool verschijnt, en vraag advies voordat u een ontsleutelaar op productiesystemen draait.

Soms veel, vaak minder dan de koppen doen vermoeden. Als de politie de servers van een groep in beslag neemt, kan ze ontsleutelingssleutels vinden: bij de in januari 2023 aangekondigde actie tegen Hive zei de FBI sleutels te hebben gegeven aan meer dan 300 slachtoffers tijdens een lopende aanval en aan ruim 1.000 eerdere slachtoffers, en Operatie Cronos tegen LockBit leverde in februari 2024 meer dan 1.000 sleutels op. Slachtoffers kunnen bij hun nationale politie navragen of er sleutels voor hun zaak zijn, en No More Ransom publiceert daarna vaak tools. In beslag genomen data kan ook verdere lekken voorkomen. Maar een ontmanteling haalt zelden de mensen weg: affiliates stappen over naar andere platforms, en in meerdere gevallen doken leden binnen enkele maanden onder een nieuwe naam weer op. Voor bedrijven die nog niet zijn aangevallen verandert er weinig. Dezelfde technieken gaan onder andere merken door, dus de maatregelen uit de waarschuwingen blijven de juiste.

Vooral om aan druk te ontsnappen. Een bekende naam trekt politie, sancties en blokkeerlijsten aan, en veel verzekeraars en bedrijven weigeren groepen onder sancties te betalen, dus een nieuwe naam kan het voor de criminelen makkelijker maken om betaald te krijgen. Een naamswijziging kan ook volgen op een interne breuk, een lek van de chats van de groep of een politieactie. Officiële bronnen documenteren meerdere van zulke wisselingen: de update van augustus 2024 van de CISA-waarschuwing over Royal stelt dat BlackSuit een rebranding van Royal is, en de CISA-waarschuwing over RansomHub van augustus 2024 vermeldt dat de operatie eerder bekendstond als Cyclops en Knight. Na het lek van de interne chats van Conti in 2022 verspreidden de leden zich over andere operaties. De les voor verdedigers is eenvoudig: de naam op de losgeldbrief verandert sneller dan de technieken erachter. Volg de technieken, die elke waarschuwing met verwijzingen naar MITRE ATT&CK opsomt, niet alleen de merknamen.

Lees hem als een checklist, niet als nieuws. Elke StopRansomware-waarschuwing van CISA eindigt met een sectie met maatregelen, en die herhaalt grotendeels hetzelfde handjevol punten: systemen die aan internet hangen snel patchen, vooral VPN en toegang op afstand; meervoudige authenticatie eisen voor toegang op afstand, e-mail en beheerdersaccounts; offline, geteste back-ups bewaren; het netwerk segmenteren zodat één besmette machine niet overal bij kan; beheerdersrechten en het gebruik van extern bureaublad beperken; en ongebruikelijk intern en uitgaand verkeer bewaken. Vink af wat u al doet en pak eerst het zwakste punt aan. Lees daarna de sectie over de eerste toegang: is de groep bekend met misbruik van een product dat u gebruikt, controleer dan vandaag nog het patchniveau ervan. De indicatoren van compromittering, zoals IP-adressen en bestandshashes, zijn nuttig voor uw IT-leverancier of beveiligingstools, maar verouderen snel. U hoeft niet elk technisch detail te begrijpen om de maatregelen uit te voeren.

LockBit is een ransomware-as-a-serviceoperatie die in 2019 opdook en in 2022 wereldwijd de meest ingezette ransomwarevariant was, volgens de gezamenlijke waarschuwing AA23-165A die CISA, de FBI en internationale partners op 14 juni 2023 publiceerden. De affiliates kwamen binnen via openstaande extern-bureaubladdiensten, phishing, gestolen inloggegevens en kwetsbaarheden in systemen die aan internet hangen; een aparte waarschuwing, AA23-325A van november 2023, beschreef misbruik van het lek Citrix Bleed. Op 20 februari 2024 nam Operatie Cronos, geleid door de Britse National Crime Agency met de FBI en Europol, de infrastructuur en leksite van LockBit over en verkreeg meer dan 1.000 ontsleutelingssleutels. Het merk probeerde daarna door te gaan, met veel minder bereik. De lessen uit de waarschuwingen blijven gelden: randapparatuur snel patchen, MFA eisen voor toegang op afstand en vóór de versleuteling letten op laterale beweging en grote uitgaande overdrachten.

ALPHV, ook bekend als BlackCat, was een ransomware-as-a-serviceoperatie die vanaf eind 2021 actief was en opviel omdat ze in de programmeertaal Rust was geschreven en zowel gewone servers als virtualisatiehosts versleutelde. CISA en de FBI beschreven haar in waarschuwing AA23-353A, gepubliceerd op 19 december 2023 en bijgewerkt in februari 2024: tegen die tijd hadden de affiliates wereldwijd meer dan 1.000 organisaties gecompromitteerd, vaak nadat ze helpdesks en IT-personeel hadden misleid om inloggegevens af te geven. In december 2023 maakte de FBI bekend dat ze de groep had verstoord en meer dan 500 slachtoffers een ontsleutelingstool had gegeven. ALPHV ging kort door en stopte in maart 2024, wat veel onderzoekers beschreven als oplichting van de eigen affiliates. Die verdwenen niet; velen stapten over naar andere platforms. De belangrijkste les uit de waarschuwing voor kleine bedrijven: train helpdeskmedewerkers om de identiteit te controleren vóór elke reset van een wachtwoord of MFA.

Black Basta is een ransomware-as-a-serviceoperatie die voor het eerst in april 2022 werd gezien. In de gezamenlijke waarschuwing AA24-131A, gepubliceerd op 10 mei 2024, meldden CISA, de FBI en partnerdiensten dat de affiliates wereldwijd meer dan 500 organisaties hadden getroffen, waaronder in 12 van de 16 Amerikaanse sectoren van vitale infrastructuur, met dubbele afpersing: systemen versleutelen en data stelen. De eerste toegang kwam meestal via spear phishing en misbruik van bekende kwetsbaarheden; de waarschuwing beschrijft ook affiliates die legitieme tools voor toegang op afstand en bestandsoverdracht, gestolen inloggegevens en extern bureaublad gebruikten om zich tussen machines te verplaatsen. Onderzoekers meldden op grote schaal dat de interne chatlogs van de groep in februari 2025 uitlekten, waarna de activiteit afnam. De aanbevelingen uit de waarschuwing vormen een goede basis voor elk bedrijf: systemen gepatcht houden, phishingbestendige MFA eisen, medewerkers leren phishing te herkennen, offline back-ups bewaren en bepalen welke software voor toegang op afstand is toegestaan.

Akira is een ransomwareoperatie die voor het eerst in maart 2023 werd gezien en bedrijven en vitale infrastructuur in Noord-Amerika, Europa en Australië aanvalt. CISA, de FBI, het cybercrimecentrum van Europol en het Nederlandse NCSC beschreven haar in de gezamenlijke waarschuwing AA24-109A van 18 april 2024: op 1 januari 2024 had ze meer dan 250 organisaties getroffen en ongeveer 42 miljoen dollar aan opbrengst geclaimd. Een update van 13 november 2025 verhoogde dat bedrag tot ongeveer 244 miljoen dollar per eind september 2025 en noemde maakindustrie, onderwijs, IT, zorg, financiële dienstverlening en voedsel en landbouw onder de vaakst getroffen sectoren. Akira-affiliates komen meestal binnen via VPN-accounts zonder meervoudige authenticatie en via bekende lekken in VPN- en firewallproducten, waaronder de update een kwetsbaarheid bij SonicWall noemt, en ze stelen data vóór het versleutelen. Het advies volgt daar direct uit: MFA op elk VPN-account, randapparatuur snel patchen en offline back-ups.

Play, ook Playcrypt genoemd, is een ransomwaregroep die sinds juni 2022 actief is. CISA, de FBI en het Australian Cyber Security Centre beschreven haar in de gezamenlijke waarschuwing AA23-352A van 18 december 2023, toen met ongeveer 300 getroffen organisaties; een update van juni 2025 meldde dat de FBI er per mei 2025 ongeveer 900 kende. Play gebruikt dubbele afpersing, maar de losgeldbrief noemt geen bedrag: slachtoffers moeten per e-mail contact opnemen, en de update vermeldt dat sommigen ook telefonisch werden bedreigd. De eerste toegang komt meestal via geldige, gestolen of gekochte accounts en via kwetsbaarheden in systemen die aan internet hangen, zoals extern-bureaubladdiensten en firewalls. De groep compileert haar malware voor elke aanval opnieuw, dus bestandshashes helpen weinig. Gedrag is betrouwbaarder: diefstal van inloggegevens, verplaatsing tussen interne machines en data die vóór de versleuteling wordt verzameld en verstuurd, wat netwerkmonitoring kan zien.

Royal was een ransomwareoperatie die ongeveer vanaf september 2022 actief was, en BlackSuit is de opvolger. CISA en de FBI beschreven Royal voor het eerst in waarschuwing AA23-061A van 2 maart 2023; een update van november 2023 telde sinds september 2022 meer dan 350 bekende slachtoffers, en een update van augustus 2024 stelt dat BlackSuit een rebranding van Royal is en dat de losgeldeisen samen meer dan 500 miljoen dollar bedroegen, met 60 miljoen als hoogste afzonderlijke eis. Phishing was de meest gebruikte weg naar binnen, gevolgd door extern bureaublad, misbruik van publiek bereikbare applicaties en bij brokers gekochte toegang. In juli 2025 nam een internationale operatie, gecoördineerd via Europol en geleid door de Amerikaanse Homeland Security Investigations, de servers en domeinen van BlackSuit in beslag, zoals het Amerikaanse ministerie van Justitie in augustus 2025 bekendmaakte. Er werden geen arrestaties gemeld, en onderzoekers zagen leden overstappen naar nieuwe operaties. De maatregelen uit de waarschuwing blijven relevant, welk merk het ook is.

Rhysida is een ransomware-as-a-servicegroep die in mei 2023 verscheen. CISA, de FBI en het MS-ISAC beschreven haar in de gezamenlijke waarschuwing AA23-319A van 15 november 2023 en stelden dat ze opportunistisch aanviel in onderwijs, zorg, maakindustrie, IT en overheid, met dubbele afpersing. Volgens de waarschuwing kwamen de daders vooral binnen via externe diensten op afstand zoals VPN's, vaak met gestolen inloggegevens waar geen meervoudige authenticatie werd afgedwongen, via phishing en in sommige gevallen door misbruik van de Zerologon-kwetsbaarheid in domeincontrollers. Eenmaal binnen gebruikten ze ingebouwde beheertools en extern bureaublad om zich te verplaatsen, het living-off-the-landpatroon van veel groepen. Voor een klein bedrijf is de boodschap van de waarschuwing bekend maar belangrijk: eis MFA op elke route voor toegang op afstand, patch domeincontrollers, beperk extern bureaublad en segmenteer het netwerk zodat één voet tussen de deur niet alles blootlegt.

Medusa is een ransomware-as-a-serviceoperatie die voor het eerst in juni 2021 werd geïdentificeerd, niet te verwarren met de ongerelateerde familie MedusaLocker of met mobiele malware die ook Medusa heet. CISA, de FBI en het MS-ISAC beschreven haar in de gezamenlijke waarschuwing AA25-071A van 12 maart 2025, met meer dan 300 slachtoffers tot februari 2025 in sectoren van vitale infrastructuur, waaronder medisch, onderwijs, juridisch, verzekeringen, technologie en maakindustrie; een update van augustus 2026 noemt meer dan 500 slachtoffers per april 2026. De ontwikkelaars en affiliates komen binnen via phishing om inloggegevens te stelen en via ongepatchte kwetsbaarheden, en de waarschuwing beschrijft veel gebruik van legitieme software voor toegang op afstand en ingebouwde beheertools. Medusa heeft een leksite met aftelklokken en biedt aan publicatie tegen betaling uit te stellen. De maatregelen zijn de bekende: besturingssystemen, software en firmware patchen; meervoudige authenticatie voor alle diensten; netwerksegmentatie; offline back-ups; en tools voor extern bureaublad en toegang op afstand beperken tot de tools die u echt gebruikt.

RansomHub was een ransomware-as-a-serviceoperatie die in februari 2024 verscheen en snel groeide door affiliates van andere platforms te werven, ook na de ineenstorting van ALPHV en de ontmanteling van LockBit. CISA, de FBI, het MS-ISAC en het Amerikaanse ministerie van Volksgezondheid beschreven haar in de gezamenlijke waarschuwing AA24-242A van 29 augustus 2024: tegen die tijd had ze data van minstens 210 slachtoffers versleuteld en gestolen, in sectoren zoals water, IT, overheidsdiensten, zorg, hulpdiensten, voedsel, financiële dienstverlening en communicatie. De waarschuwing vermeldt dat de operatie eerder bekendstond als Cyclops en Knight en dubbele afpersing gebruikt. Affiliates kwamen meestal binnen via phishing, password spraying en misbruik van bekende kwetsbaarheden in systemen die aan internet hangen. Onderzoekers meldden dat de infrastructuur in april 2025 offline ging en dat veel affiliates elders heen gingen. Het patroon is de les: merken komen en gaan snel, terwijl de toegangstechnieken en de aanbevolen maatregelen hetzelfde blijven.

Cl0p, ook geschreven als Clop, is een ransomware- en afpersingsoperatie die beveiligingsdiensten koppelen aan een criminele groep die als TA505 wordt gevolgd. Ze is vooral bekend van massale datadiefstal via lekken in software voor bestandsoverdracht, minder van klassieke versleuteling. CISA en de FBI beschreven in de gezamenlijke waarschuwing AA23-158A van 7 juni 2023 hoe ze een zerodaykwetsbaarheid, CVE-2023-34362, in het product MOVEit Transfer misbruikte: vanaf eind mei 2023 stal de groep via dat ene product data van een groot aantal organisaties en eiste daarna betaling om die niet te publiceren. Eerdere campagnes hadden vergelijkbare lekken in andere managed-file-transferproducten gebruikt. Voor een klein bedrijf zijn de lessen concreet: weet welke applicaties voor bestandsoverdracht en andere internetgerichte applicaties u draait, ook die een leverancier voor u beheert, patch ze zodra er een waarschuwing verschijnt en let op ongebruikelijke hoeveelheden data die deze servers verlaten. Voor ernstige schade is geen versleuteling nodig.

BianLian is een criminele groep die in juni 2022 begon als ransomwareoperatie en is overgestapt op afpersing met alleen gestolen data. CISA, de FBI en het Australian Cyber Security Centre beschreven haar in de gezamenlijke waarschuwing AA23-136A van 16 mei 2023; volgens de waarschuwing stapte de groep rond januari 2023 over op voornamelijk afpersing via exfiltratie, en een update van november 2024 zegt dat ze daar rond januari 2024 volledig op overging. De daders komen meestal binnen met geldige inloggegevens voor extern bureaublad, vaak gekocht bij initial access brokers of verkregen via phishing, en gebruiken daarna ingebouwde tools en software voor toegang op afstand om het netwerk te verkennen en data naar buiten te kopiëren voordat ze betaling eisen. Omdat er niets wordt versleuteld, hoort een slachtoffer mogelijk pas via het afpersingsbericht van de aanval. Daarom is bewaking van uitgaande data hier extra relevant: de diefstal is de aanval. De waarschuwing raadt aan extern bureaublad strikt te beperken, tools voor toegang op afstand te controleren en beheerdersaccounts streng te bewaken.

Hive was een ransomware-as-a-serviceoperatie die actief was van juni 2021 tot begin 2023. In de gezamenlijke waarschuwing AA22-321A van 17 november 2022 meldden CISA, de FBI en het Amerikaanse ministerie van Volksgezondheid dat ze wereldwijd meer dan 1.300 bedrijven had getroffen en ongeveer 100 miljoen dollar aan losgeld had ontvangen, met bijzondere gevolgen voor de zorg. De affiliates kwamen binnen via extern-bureaublad- en VPN-accounts zonder MFA, via phishing en via bekende kwetsbaarheden in servers die aan internet hangen. Op 26 januari 2023 maakte het Amerikaanse ministerie van Justitie bekend dat de FBI sinds juli 2022 heimelijk in het netwerk van Hive zat en ontsleutelingssleutels had gegeven aan meer dan 300 slachtoffers tijdens een lopende aanval en ruim 1.000 eerdere slachtoffers, waarna de servers in beslag werden genomen met steun van de Duitse en Nederlandse politie en Europol. Hive laat zien wat een ontmanteling voor slachtoffers kan doen, en ook de grenzen ervan: onderzoekers meldden later dat Hive-code werd hergebruikt in een nieuw ransomwaremerk.

Conti was een van de actiefste ransomwareoperaties van 2020 tot 2022. In de gezamenlijke waarschuwing AA21-265A van 22 september 2021 meldden CISA, de FBI en de NSA meer dan 400 aanvallen op Amerikaanse en internationale organisaties, waarbij affiliates binnenkwamen via spear phishing, gestolen of zwakke inloggegevens voor extern bureaublad, nepdownloads van software en bekende kwetsbaarheden; de waarschuwing werd later aangevuld met meer indicatoren. Conti werkte meer als een bedrijf dan als een los netwerk, met betaald personeel, wat zichtbaar werd in februari 2022 toen tienduizenden interne chatberichten uitlekten. Het merk stopte rond medio 2022 en de leden verspreidden zich over andere ransomware- en afpersingsoperaties. Voor verdedigers bevestigde het uitgelekte materiaal wat de waarschuwingen zeiden: de meeste inbraken leunden op gewone zwakke plekken zoals ontbrekende MFA, openstaande toegang op afstand en traag patchen, niet op exotische exploits.

Phobos is een ransomware-as-a-servicefamilie die ongeveer sinds 2019 actief is, en 8Base was een van de groepen die een Phobos-variant gebruikten. CISA, de FBI en het MS-ISAC beschreven Phobos in de gezamenlijke waarschuwing AA24-060A van 29 februari 2024: de affiliates vielen gemeenten en regionale overheden, hulpdiensten, onderwijs, zorg en andere vitale infrastructuur aan, meestal via extern-bureaubladdiensten met zwakke of gestolen wachtwoorden, of via phishing. Beveiligingsonderzoekers merken op dat Phobos vooral is ingezet tegen kleine en middelgrote organisaties, niet tegen grote ondernemingen. Op 11 februari 2025 maakte Europol een internationaal gecoördineerde operatie bekend, waarbij vier vermoedelijke leiders van 8Base werden gearresteerd; volgens het Amerikaanse ministerie van Justitie werden meer dan 100 servers van het netwerk verstoord. Het advies voor kleine bedrijven is helder: zet extern bureaublad niet open naar internet, dwing sterke wachtwoorden en MFA af voor toegang op afstand en bewaar offline back-ups.

Ghost, ook bekend als Cring en onder verschillende andere namen, is een financieel gemotiveerde ransomwareoperatie die CISA, de FBI en het MS-ISAC beschreven in de gezamenlijke waarschuwing AA25-050A van 19 februari 2025. Volgens de waarschuwing begonnen de daders rond begin 2021 met hun aanvallen en hebben ze organisaties in meer dan 70 landen gecompromitteerd, in sectoren waaronder vitale infrastructuur, scholen en universiteiten, zorg, overheid, maakindustrie en veel kleine en middelgrote bedrijven. Ze komen vooral binnen via bekende, vaak jaren oude kwetsbaarheden in internetgerichte software zoals firewalls, webservers en mailservers, waarvoor al lang patches bestonden. Ook wisselen ze vaak de bestandsnamen van hun ransomware en de losgeldbrieven, waardoor het merk moeilijk te volgen is. De les is ronduit: publiek bereikbare systemen patchen tegen bekende kwetsbaarheden en apparaten vervangen die geen updates meer krijgen, is de belangrijkste verdediging die de waarschuwing aanbeveelt.

Interlock is een ransomwareoperatie die voor het eerst in september 2024 werd gezien en bedrijven en vitale infrastructuur in Noord-Amerika en Europa aanvalt. CISA, de FBI, het Amerikaanse ministerie van Volksgezondheid en het MS-ISAC beschreven haar in de gezamenlijke waarschuwing AA25-203A van 22 juli 2025. Anders dan veel groepen komt Interlock vaak binnen via drive-by-downloads van gecompromitteerde legitieme websites, waaronder nep-browserupdates, en via de ClickFix-techniek, waarbij een nep-CAPTCHA of foutmelding de gebruiker overhaalt een opdracht te plakken en uit te voeren. Ze gebruikt dubbele afpersing en versleutelt zowel gewone computers als virtuele machines. De aanbevolen maatregelen sluiten aan op die route naar binnen: DNS- en webfiltering om kwaadaardige sites te blokkeren, actuele browsers en endpointbeveiliging, en medewerkers die weten dat geen echte website vraagt om opdrachten te plakken, plus het gebruikelijke patchen, MFA en netwerksegmentatie. Na de eerste toegang zijn het verkeer voor besturing op afstand en de laterale beweging de fasen die netwerkmonitoring kan zien.