Interlock RAT, ook bekend als NodeSnake, was tot nu toe JavaScript-gebaseerd, maar de nieuwste variant is volledig in PHP geschreven. Deze malware wordt ingezet in een brede campagne waarbij gecompromitteerde websites worden geïnjecteerd met een verborgen script in de HTML. Onwetende bezoekers krijgen valse CAPTCHA-meldingen te zien, waarna een kwaadaardig PowerShell-commando ongemerkt hun opdrachtclipboard overschrijft, wat uiteindelijk leidt tot de installatie van de Interlock RAT.

De ontdekking werd gedaan door The DFIR Report en Proofpoint, die de activiteiten sinds mei 2025 volgen. De Interlock-groep staat bekend om ransomware-aanvallen, waaronder een recente aanslag op Amerikaanse ziekenhuizen waarbij 941 gigabyte aan data werd gestolen.