什么是 Egregor 勒索软件？2020 年最严重的威胁之一

自 2020 年 9 月踏入网络犯罪领域以来，Egregor 集团已渗透到全球超过 71 家企业，包括招聘巨头 Randstad 和美国零售商 Kmart。

但是，Egregor 集团是谁，他们是如何在短短几个月内崛起为重大网络威胁的呢？

Egregor 是谁？

Egregor 是一个网络犯罪组织，专门从事勒索软件攻击的一个独特分支。Egregor 是 Western Magic 中的一个术语，指的是一群为了共同目标而团结在一起的人的集体能量。

据推测，臭名昭著的网络犯罪组织 Maze 的勒索软件运营商在 2020 年 10 月关闭业务后成立了 Egregor。

Maze 的勒索软件攻击工作影响深远，为新成立的 Egregor 组织提供了一个重要的跳板平台。

在2020年10月，该组织成功攻破了Barnes & Noble以及视频游戏开发商Crytek和Ubisoft后，Egregor赢得了其破坏性的声誉。

在Barnes & Noble的网络攻击中，Egregor声称已经获取了财务和审计信息。在给客户的一封内部电子邮件中，巴恩斯&诺布尔表示客户的财务数据并未被盗。这次攻击还导致Barnes & Noble的Nook电子阅读器暂时中断。

在 Crytek 和 Ubisoft 网络攻击中，勒索软件团伙声称已经泄露了即将发布的版本的源代码，包括 Watchdogs： Legion 和 Arena of Fate。Egregor 在其网站上的暗网上发布了被盗数据的子集，但源代码泄露的合法性尚无定论。

Egregor 是利用大流行病带来的对数字基础设施的突然大规模依赖的众多网络威胁之一。其中一些威胁甚至专门针对医疗保健行业，这可能会对 Covid-19 患者造成毁灭性的后果。

Egregor 在勒索软件即服务模式下运行。

什么是勒索软件即服务 （Raas）？

勒索软件即服务 （RaaS） 是软件即服务模型 （SaaS） 的一种采用。型。犯罪分子订阅了勒索软件软件，即使是最新颖的黑客也能发动毁灭性和高度复杂的勒索软件攻击。

由于勒索软件附属公司因每次成功的网络攻击而获得丰厚的回报，因此他们有动力传播恶意软件，在短时间内快速扩展勒索软件作。Egregor 的快速全球扩张证明了这一成功的增长战略。

什么是 Egregor 勒索软件？

Egregor 勒索软件是一种恶意软件，是 Sekhmet 勒索软件和 Maze 勒索软件的变体。 所有三种勒索软件变体都存在代码相似性，它们似乎也都针对相同的受害者群体。

Egregor 勒索软件攻击的特点是其残酷但高效的双重勒索策略。网络犯罪团伙破坏敏感数据，对其进行加密，使受害者无法访问。然后，他们在暗网上发布受感染数据的子集，作为成功泄露的证据。

然后，赎金票据指示受害者在 3 天内支付固定价格，以防止更多个人数据在犯罪侵扰的网络上发布。如果在最后通牒之前支付赎金，则会对扣押的数据进行完全解密。

Egregor Ransomware 如何运作？

与所有勒索软件一样，Egregor 勒索软件是通过加载程序注入受害者体内的。此加载程序和随后安装的勒索软件经过了广泛的代码混淆，以减轻静态分析和解密的可能性。只能通过输入用于运行有效负载的相同命令行来分析 Egregor 有效负载。

成功入侵后，Egregor 勒索软件会纵受害者的防火墙设置以启用远程桌面协议 （RDP）。该软件小心翼翼地在整个受害者的网络中移动，秘密识别和禁用所有防病毒软件。

解除所有防御措施后，Egregor 勒索软件会加密所有泄露的数据，并将名为“RECOVER-FILES.txt”的赎金票据插入所有受感染的文件夹中。

受害者被指示下载暗网浏览器，以通过暗网上的专用登录页面与威胁行为者进行通信。

Egregor 勒索软件威胁缓解

由于 Egregor 勒索软件是一种新型威胁，因此网络安全专家仍在了解威胁的确切运作方式。以下缓解建议是从迄今为止对安全团队的分析中摘取的。

• 监控 Qakbot、Ursnif 和 IceID 恶意软件感染已
  观察到 Qakbot、Ursnif 和 IceID 等商品恶意软件将 Egregor 勒索软件作为辅助有效载荷注入。 如果您在内部或供应商网络中发现这些威胁，则立即补救至关重要。
• 教育所有员工了解网络钓鱼攻击的迹象。
  网络钓鱼攻击是注入勒索软件的常见攻击媒介。他们可以为 Egregor 勒索软件或其任何姊妹有效载荷 - QakBot、Uesnif 和 IceID 恶意软件创建网关。
  您应该确保您的员工了解网络钓鱼攻击和点击劫持攻击的所有迹象。
• 设置所有防病毒配置文件以阻止除 POP3 和 IMAP 之外的所有解码器。
• 禁用所有远程访问功能
• 持续监控您的安全状况以增强所有漏洞。
• 将防病毒配置文件附加到所有安全策略
• 为所有区域实施区域保护策略
• 对来自不受信任来源的所有流量实施信息安全策略。
• 应删除允许包含 “Service setting of ANY” 的流量的所有安全策略

您的企业是否有遭受 Egregor 勒索软件攻击的风险？

Egregor 仍然只是网络犯罪领域的一个新参与者。他们最初的攻击已经是毁灭性的，而且有这样一群老练的威胁行为者在进行黑暗行动，最糟糕的情况还没有到来。

在 UpGuard，我们可以帮助您加强安全态势，以有效防御勒索软件攻击。我们的专利网络安全技术还持续监控整个供应商网络中的漏洞，以防止来自受损第三方的网络攻击。

继续了解网络威胁

• 您是如何被勒索软件感染的？
• 什么是商业电子邮件泄露 （BEC）？
• 防止勒索软件攻击的最佳实践
• 什么是 Cyber Threat Intelligence？
• 什么是 Cyber Risk Quantification？
• 您需要了解的有关 Apache Log4j 漏洞的信息
• 什么是威胁情报？
• 什么是威胁建模？
• 什么是 Netwalker 勒索软件？
• 什么是网络威胁？
• 什么是 Cyber Resilience？
• 什么是内部威胁？
• 什么是恶意软件？
• 什么是 OWASP Top 10？
• 常见的恶意软件类型以及如何识别它们