Egregor勒索病毒鎖定零售業、書店、遊戲和人力資源行業

Egregor勒索病毒鎖定零售業、書店、遊戲和人力資源行業

今年9月首次出現的Egregor勒索病毒使用了複雜的「雙重勒索」技術,駭客不僅威脅要公開被竊資料來迫使受害者付款,也威脅要通知媒體公開企業遭受入侵的消息。除了已攻擊知名書店和大型零售業者,最近的受害者還包括了遊戲和人力資源行業。


Egregor是一種複雜的勒索病毒Ransomware(勒索軟體/綁架病毒),在2020年9月首次出現,接著參與許多知名的攻擊,目標包括了大型零售業者及其他組織。
 
使用先進混淆技術的Egregor 

Egregor跟Maze一樣使用了「雙重勒索」技術,駭客不僅威脅受害者不支付贖金將會失去資料,而且還會公開其資料。
 
這隻勒索病毒通常會跟QAKBOT之類的遠端訪問木馬(RAT)一起派送,而QAKBOT之前也被發現跟MegaCortex和ProLock勒索病毒家族有關,這顯示QAKBOT和Egregor間可能存在合作關係,或者是QAKBOT組織的新病毒。

跟Ryuk等新型勒索病毒家族使用的雙重勒索技術類似,Egregor威脅要公開被竊資料來迫使受害者付款。除了加密資料外,Egregor幕後駭客也威脅要通知媒體,來公開企業遭受入侵的消息。

從表面上看,Egregor似乎是Sekhmet勒索病毒的複製品,因為它共享了大多數程式碼和行為,其中最值得注意的是其混淆技術、功能及API呼叫和字串。此外,跟Sekhmet一樣,它也會給每個檔案加上隨機副檔名。不過考慮到兩者使用資料外洩網站間的不同,Egregor和Sekhmet可能是由完全不同的團體操作。

儘管沒有Egregor一開始如何進入企業內部的具體資訊,但很可能是用跟其他針對性勒索病毒相似的技術,如RDP入侵,入侵網站或被竊帳號。

Egregor的特徵之一是使用先進的混淆技術,它需要用特定參數來解密有效負載,因此如果沒有該參數,很難對勒索病毒變種進行靜態或動態分析。

除了零售業、書店,最近還攻擊遊戲和人力資源行業

許多Egregor攻擊都是針對高知名度的目標,包括在10月攻擊一家知名書店和12月攻擊一家大型零售業者。在前者,Egregor勒索病毒組織聲稱收集了未加密的財務和稽核資料,儘管確切的被竊資料性質尚不清楚。

Egregor還會列印勒贖通知。根據趨勢科技的分析,並非是駭客有意去列印勒贖通知。這應該是勒索病毒加密動作所造成,它會枚舉任何類型的網路資源(包括印表機資源)。接著它會連接網路資源來加密檔案並植入勒贖通知。有可能是因為印表機和銷售端點(POS)機器連接受感染電腦,從而導致勒贖通知被列印。Egregor最近的受害者還包括了遊戲和人力資源行業的主要企業。

 如何最小化Egregor及其他勒索病毒的影響? 

雖然目前仍沒有具體證據顯示Egregor一開始是如何進入內部系統,但重要的是企業需要修補和更新系統軟體來解決可能被利用的漏洞。此外也建議企業要保持電腦和系統更新,防止這類情況發生。

企業還應該定期對系統進行安全稽核來確保盡可能地受到安全防護。只要可以,公司資料應該定期進行備份,最好是遵循3-2-1備份原則,也就是以2種不同格式儲存3份副本,並且至少有1份儲存在異地。

同時,應該為員工進行適當的教育訓練,讓他們了解網路安全的最佳實作,尤其是關於勒索病毒常用來侵入企業的方法,如電子郵件相關攻擊和入侵網站。

【本文轉載自趨勢部落格】
 
分享文章:
 

a&s全球安防科技網於每周/月,分別提供訂戶有關AIoT安全、防火防災最新資訊,包括:技術趨勢、產業動態、產品訊息、解決方案、行業應用、網路安全…等,讓您一手掌握機先、處處無往不利。

  • 智慧安全焦點報
  • 智慧行業應用報
  • 智慧防火防災趨勢報
立即前往