Подразделение Amazon по анализу угроз обнаружило активную кампанию вымогателей, связанную с уязвимостью CVE-2026-20131 в Cisco Secure Firewall Management Center. Ошибка позволяет удалённо выполнять Java-код с максимальными правами без авторизации – Interlock начала её эксплуатировать ещё 26 января, тогда как Cisco раскрыла проблему лишь 4 марта.
Один из серверов группировки оказался плохо настроен и раскрыл всю инфраструктуру атакующих. Это позволило исследователям увидеть полный арсенал Interlock: RAT на JavaScript и Java, бесфайловую веб-оболочку, скрипты разведки на PowerShell и легальные инструменты ScreenConnect, Volatility и Certify.
Анализ временных меток с вероятностью 75–80% указывает на часовой пояс UTC+3 с пиком активности с 12:00 до 18:00. После взлома группировка собирает данные о системе, упаковывает их и отправляет на внешний ресурс – явная подготовка к атаке на всю инфраструктуру жертвы.