Egregor勒索病毒鎖定零售業者、書店、遊戲和人力資源行業

2020 / 12 / 23

編輯部

Egregor是一種複雜的勒索病毒 Ransomware (勒索軟體/綁架病毒)，在2020年9月首次出現，接著參與許多知名的攻擊，目標包括了大型零售業者及其他組織。

使用先進的混淆技術的Egregor
Egregor跟Maze一樣使用了「雙重勒索」技術，駭客不僅威脅受害者不支付贖金將會失去資料，而且還會公開其資料。

這隻勒索病毒通常會跟QAKBOT之類的遠端訪問木馬（RAT）一起派送。而QAKBOT之前也被發現跟MegaCortex和ProLock勒索病毒家族有關，這顯示QAKBOT和Egregor間可能存在合作關係，或者是QAKBOT組織的新病毒。

跟 Ryuk 等新型勒索病毒家族使用的雙重勒索技術類似，Egregor 威脅要公開被竊資料來迫使受害者付款。除了加密資料外，Egregor幕後駭客也威脅要通知媒體，來公開企業遭受入侵的消息。

從表面上看，Egregor似乎是Sekhmet勒索病毒的複製品，因為它共享了大多數程式碼和行為，其中最值得注意的是其混淆技術、功能及API呼叫和字串。此外，跟Sekhmet一樣，它也會給每個檔案加上隨機副檔名。不過考慮到兩者使用資料外洩網站間的不同，Egregor和Sekhmet 可能是由完全不同的團體操作。

儘管沒有Egregor一開始如何進入企業內部的具體資訊，但很可能是用跟其他針對性勒索病毒相似的技術，如RDP入侵，入侵網站或被竊帳號。

Egregor的特徵之一是使用先進的混淆技術，它需要用特定參數來解密有效負載，因此如果沒有該參數，很難對勒索病毒變種進行靜態或動態分析。

除了零售業者/書店,最近的還攻擊遊戲和人力資源行業
許多Egregor攻擊都是針對高知名度的目標，包括在10月攻擊一家知名書店和12月攻擊一家大型零售業者。在前者，Egregor勒索病毒組織聲稱收集了未加密的財務和稽核資料，儘管確切的被竊資料性質尚不清楚。

Egregor還會列印勒贖通知。根據趨勢科技的分析，並非是駭客有意去列印勒贖通知。這應該是勒索病毒加密動作所造成，它會枚舉任何類型的網路資源（包括印表機資源）。接著它會連接網路資源來加密檔案並植入勒贖通知。有可能是因為印表機和銷售端點（POS）機器連接受感染電腦，從而導致勒贖通知被列印。

Egregor最近的受害者還包括了遊戲和人力資源行業的主要企業。

如何最小化 Egregor 及其他勒索病毒的影響？
雖然目前仍沒有具體證據顯示Egregor一開始是如何進入內部系統，但重要的是企業需要修補和更新系統軟體來解決可能被利用的漏洞。此外也建議企業要保持電腦和系統更新，防止這類情況發生。

企業還應該定期對系統進行安全稽核來確保盡可能地受到安全防護。只要可以，公司資料應該定期進行備份，最好是遵循3-2-1 備份原則，也就是以兩種不同格式儲存三份副本，並且至少有一份儲存在異地。

同時，應該為員工進行適當的教育訓練，讓他們了解網路安全的最佳實作，尤其是關於勒索病毒常用來侵入企業的方法，如電子郵件相關攻擊和入侵網站。

本文轉載自趨勢部落格。

Sekhmet QAKBOT 3-2-1 備份原則 Ryuk MegaCortex ProLock