https://www.informationsecurity.com.tw/seminar/2021twcert/
https://www.informationsecurity.com.tw/seminar/2021twcert/

新聞

Egregor勒索病毒鎖定零售業者、書店、遊戲和人力資源行業

2020 / 12 / 23
編輯部
Egregor勒索病毒鎖定零售業者、書店、遊戲和人力資源行業
Egregor是一種複雜的勒索病毒 Ransomware (勒索軟體/綁架病毒),在2020年9月首次出現,接著參與許多知名的攻擊,目標包括了大型零售業者及其他組織。
 
使用先進的混淆技術 的Egregor 
Egregor跟Maze一樣使用了「雙重勒索」技術,駭客不僅威脅受害者不支付贖金將會失去資料,而且還會公開其資料。
 
這隻勒索病毒通常會跟QAKBOT之類的遠端訪問木馬(RAT)一起派送。而QAKBOT之前也被發現跟MegaCortex和ProLock勒索病毒家族有關,這顯示QAKBOT和Egregor間可能存在合作關係,或者是QAKBOT組織的新病毒。

跟 Ryuk 等新型勒索病毒家族使用的雙重勒索技術類似,Egregor 威脅要公開被竊資料來迫使受害者付款。除了加密資料外,Egregor幕後駭客也威脅要通知媒體,來公開企業遭受入侵的消息。

從表面上看,Egregor似乎是Sekhmet勒索病毒的複製品,因為它共享了大多數程式碼和行為,其中最值得注意的是其混淆技術、功能及API呼叫和字串。此外,跟Sekhmet一樣,它也會給每個檔案加上隨機副檔名。不過考慮到兩者使用資料外洩網站間的不同,Egregor和Sekhmet 可能是由完全不同的團體操作。

儘管沒有Egregor一開始如何進入企業內部的具體資訊,但很可能是用跟其他針對性勒索病毒相似的技術,如RDP入侵,入侵網站或被竊帳號。

Egregor的特徵之一是使用先進的混淆技術,它需要用特定參數來解密有效負載,因此如果沒有該參數,很難對勒索病毒變種進行靜態或動態分析。

除了零售業者/書店,最近的還攻擊遊戲和人力資源行業
許多Egregor攻擊都是針對高知名度的目標,包括在10月攻擊一家知名書店和12月攻擊一家大型零售業者。在前者,Egregor勒索病毒組織聲稱收集了未加密的財務和稽核資料,儘管確切的被竊資料性質尚不清楚。

Egregor還會列印勒贖通知。根據趨勢科技的分析,並非是駭客有意去列印勒贖通知。這應該是勒索病毒加密動作所造成,它會枚舉任何類型的網路資源(包括印表機資源)。接著它會連接網路資源來加密檔案並植入勒贖通知。有可能是因為印表機和銷售端點(POS)機器連接受感染電腦,從而導致勒贖通知被列印。

Egregor最近的受害者還包括了遊戲和人力資源行業的主要企業。

如何最小化 Egregor 及其他勒索病毒的影響?
雖然目前仍沒有具體證據顯示Egregor一開始是如何進入內部系統,但重要的是企業需要修補和更新系統軟體來解決可能被利用的漏洞。此外也建議企業要保持電腦和系統更新,防止這類情況發生。

企業還應該定期對系統進行安全稽核來確保盡可能地受到安全防護。只要可以,公司資料應該定期進行備份,最好是遵循3-2-1 備份原則,也就是以兩種不同格式儲存三份副本,並且至少有一份儲存在異地。

同時,應該為員工進行適當的教育訓練,讓他們了解網路安全的最佳實作,尤其是關於勒索病毒常用來侵入企業的方法,如電子郵件相關攻擊和入侵網站。

 

本文轉載自趨勢部落格。