Campanha KongTuke leva a nova variante em PHP do RAT do grupo de ransomware Interlock
O DFIR Report, em parceria com a Proofpoint, documentou desde maio de 2025 uma campanha ligada ao Interlock que compromete sites legítimos para exibir um falso CAPTCHA e induzir a vítima a colar e executar um comando PowerShell (padrão FileFix/ClickFix). A partir de junho de 2025 os autores identificaram uma nova variante do RAT Interlock reescrita em PHP, abandonando a base anterior em JavaScript (NodeSnake), com canal de comando e controle escondido atrás de túneis Cloudflare. O relatório traz a cadeia de execução completa, TTPs mapeados no MITRE ATT&CK e indicadores de comprometimento.
Desde maio de 2025, pesquisadores do DFIR Report e da Proofpoint rastreiam uma campanha associada ao cluster KongTuke/LandUpdate808, ligado ao grupo de ransomware Interlock. A técnica de acesso inicial injeta scripts maliciosos de uma linha em sites legítimos comprometidos, muitas vezes sem que os administradores percebam. A vítima é levada a uma falsa etapa de verificação humana ("verification steps") que, na prática, faz o navegador colar e executar um comando PowerShell via área de transferência — o padrão conhecido como FileFix/ClickFix, hoje um dos vetores de acesso inicial mais usados para contornar filtros de e-mail e URL, já que é a própria vítima quem dispara a execução manualmente. A partir de junho de 2025, o grupo passou a distribuir uma variante do RAT Interlock inteiramente reescrita em PHP, deixando de lado a base anterior em JavaScript conhecida como NodeSnake.
A cadeia de execução baixa um interpretador PHP portátil para %AppData%\Roaming\php\php.exe, carregado com a extensão zip e um arquivo de configuração .cfg que define o comportamento do implante. A comunicação com o C2 é escondida atrás de subdomínios efêmeros do Cloudflare Tunnel (trycloudflare.com), com IPs de fallback fixados no binário para manter resiliência caso um túnel seja derrubado. Uma vez ativo, o RAT primeiro roda uma fase automatizada de reconhecimento (systeminfo, tasklist, serviços, discos, vizinhos de rede, nível de privilégio), formatando tudo em JSON, e depois abre uma fase interativa em que o operador humano enumera o Active Directory via ADSI, procura por sistemas de backup Veeam, lista controladores de domínio com nltest e garante persistência por meio de uma chave Run no registro. O implante ainda aceita comandos remotos para baixar e rodar executáveis, carregar DLLs via rundll32, abrir shell interativo ou se autodesativar.
O abuso de um serviço confiável como o Cloudflare Tunnel para hospedar C2 dificulta o bloqueio por reputação de domínio, já que os subdomínios são gerados dinamicamente e expiram rapidamente; e a mudança de JavaScript para PHP em um diretório de usuário atípico tende a escapar de assinaturas e regras de detecção já calibradas para a variante anterior. Para equipes de defesa, o relatório reforça a necessidade de monitorar execuções de php.exe fora de caminhos esperados, padrões de "cole e execute" via PowerShell originados do navegador, conexões de saída para *.trycloudflare.com e criação de chaves de persistência no registro — junto com a lista de hashes e domínios publicada pelos pesquisadores para caça a ameaças.