Onderzoekers hebben een nieuwe versie ontdekt van de remote access trojan (RAT) die door Interlock voor ransomware-aanvallen wordt gebruikt. De malware is een doorontwikkeling van de JavaScript-gebaseerde Interlock RAT, die ook bekend staat als NodeSnake. De nieuwe tool is geschreven in PHP en wordt momenteel ingezet in een brede aanvalscampagne.

De nieuwe RAT is ontdekt door onderzoekers van The DFIR Report in samenwerking met Proofpoint. De onderzoekers melden sinds mei 2025 activiteit te zien gerelateerd aan de Interlock RAT. De aanvallers injecteren gecompromitteerde websites met een eenvoudig script dat verstopt zit in de HTML-code van een webpagina. In veel gevallen weten de website-eigenaren zelf niet dat hun site wordt misbruikt.

Het script zet IP-filtering in bij het serveren van de payload. Met deze payload wordt een valse CAPTCHA-melding getoond aan slachtoffers, waarna een opdracht in hun clipboard wordt geladen. Slachtoffers krijgen vervolgens stapsgewijze instructies die ertoe leiden dat ze zonder het te beseffen een kwaadaardig PowerShell-commando uitvoeren, en uiteindelijk de Interlock RAT laden.

De Interlock-groep eiste eerder de verantwoordelijkheid op voor een aanval in mei op diverse Amerikaanse ziekenhuizen die onderdeel zijn van Kettering Health. Zij stellen daarbij 941 gigabyte aan data te hebben buitgemaakt.