搜索

[16368] 2021-01-27_Egregor勒索软件简要分析报告

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-01-27_Egregor勒索软件简要分析报告 E g r e g o r 勒 索 软 件 简 要 分 析 报 告 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 2 7 E g r e g o r 是 什 么 ？ 是 什 么 ？ E g r e g o r 勒 索 软 件 是 一 款 相 对 较 新 的 勒 索 软 件 （ 最 早 出 现 在 2 0 2 0 年 9 月 ） ， 就 目 前 的 发 展 情 况 来 看 ， 它 似 乎 正 在 努 力 成 为 勒 索 软 件 界 的 T o p   1 。 从 使 用 的 代 码 混 淆 技 术 、 A P I 调 用 和 勒 索 信 息 来 看 ， E g r e g o r 被 认 为 是 R a n s o m . S e k h m e t 的 一 个 变 种 。 正 如 我 们 过 去 所 报 道 的 ， 其 实 在 M a z e 勒 索 软 件 背 后 的 攻 击 者 宣 布 他 们 要 退 出 “ 舞 台 ” 之 前 ， 那 些 之 前 使 用 M a z e 勒 索 软 件 的 网 络 犯 罪 团 伙 就 已 经 开 始 转 向 使 用 E g r e g o r 了 。 目 前 ， 受 到 E g r e g o r 攻 击 的 一 些 知 名 受 害 者 还 包 括 B a r n e s & N o b l e 、 K m a r t 和 U b i s o f t 等 等 。 E g r e g o r 如 何 传 播 ？ 如 何 传 播 ？ E g r e g o r 的 主 要 传 播 方 法 就 是 C o b a l t   S t r i k e 。 目 标 环 境 的 初 始 感 染 需 要 通 过 各 种 方 式 ， 比 如 说 R P D 探 测 和 网 络 钓 鱼 等 等 ， 当 C o b a l t   S t r i k e   B e a c o n   P a y l o a d 建 立 成 功 并 实 现 持 久 化 之 后 ， 它 就 可 以 被 网 络 犯 罪 分 子 用 来 传 播 和 启 动 E g r e g o r P a y l o a d 了 。 但 由 于 E g r e g o r 是 一 个 有 多 个 分 支 机 构 的 勒 索 软 件 即 服 务 （ R a a S ） 业 务 ， 因 此 不 同 攻 击 者 所 使 用 的 传 播 方 式 以 及 武 器 化 策 略 可 能 会 有 所 不 同 。 而 且 ， 我 们 最 近 还 观 察 到 有 通 过 网 络 钓 鱼 邮 件 来 传 播 E g r e g o r 的 情 况 。 攻 击 通 常 分 为 两 个 步 骤 ： 首 先 通 过 网 络 钓 鱼 邮 件 来 尝 试 感 染 Q a k b o t ， 然 后 再 安 装 实 际 的 E g r e g o r 勒 索 软 件 。 后 者 是 由 攻 击 者 手 动 部 署 的 ， 而 这 些 攻 击 者 首 先 需 要 通 过 初 始 化 入 侵 感 染 来 获 取 到 目 标 设 备 的 访 问 权 限 。
除 此 之 外 ， 也 有 一 些 关 于 E g r e g o r 利 用 C V E - 2 0 2 0 - 0 6 8 8 （ M i c r o s o f t   E x c h a n g e 中 的 远 程 代 码 执 行 漏 洞 ） 的 报 告 。 一 些 消 息 来 源 还 报 告 了 E g r e g o r 可 能 利 用 C V E - 2 0 1 8 - 8 1 7 4 （ V B S c r i p t 引 擎 ） 、 C V E - 2 0 1 8 - 4 8 7 8 （ A d o b e   F l a s h   P l a y e r ） 和 C V E - 2 0 1 8 - 1 5 9 8 2 （ A d o b e   F l a s h   P l a y e r ） 进 行 攻 击 的 情 况 。 在 最 常 见 的 攻 击 方 法 中 ， 攻 击 者 会 使 用 一 种 初 始 堆 喷 射 策 略 ， 然 后 再 选 择 可 用 的 入 侵 切 入 点 。 他 们 显 然 会 根 据 第 一 阶 段 攻 击 的 主 要 侦 察 数 据 ， 选 择 最 简 单 的 入 侵 点 。 接 下 来 ， 他 们 将 试 图 扩 大 在 被 入 侵 网 络 上 的 感 染 点 ， 寻 找 对 受 害 者 来 说 最 关 键 的 数 据 和 服 务 器 。 这 将 给 攻 击 者 额 外 的 筹 码 和 更 大 的 机 会 去 要 求 目 标 用 户 兑 现 他 们 的 赎 金 要 求 。 E g r e g o r 似 乎 在 目 标 用 户 的 地 理 位 置 上 并 没 有 额 外 的 偏 好 ， 尽 管 在 过 去 的 七 个 礼 拜 时 间 里 ， S e k h m e t 似 乎 把 重 点 放 在 了 美 国 地 区 ， 这 可 真 是 “ 趁 火 打 劫 ” 。 E g r e g o r 还 威 胁 称 要 泄 露 用 户 数 据 还 威 胁 称 要 泄 露 用 户 数 据 根 据 勒 索 信 息 ， 如 果 目 标 用 户 在 三 天 之 内 没 有 支 付 数 据 赎 金 的 话 ， 攻 击 者 除 了 将 会 泄 露 部 分 被 盗 数 据 之 外 ， 还 会 通 过 大 众 媒 体 选 拨 目 标 用 户 的 数 据 泄 露 情 况 ， 以 便 让 目 标 组 织 的 其 他 合 作 伙 伴 以 及 客 户 知 道 这 件 事 情 。 在 我 们 前 面 提 到 的 三 个 案 例 中 ， 攻 击 者 在 一 个 泄 密 网 站 上 发 布 了 信 息 ， 显 示 他 们 在 攻 击 过 程 中 访 问 了 文 件 ， 但 并 不 一 定 泄 露 源 代 码 或 任 何 特 别 敏 感 的 内 容 。
来 自 来 自 E g r e g o r 的 善 意 提 醒 的 善 意 提 醒 E g r e g o r 勒 索 软 件 的 一 个 非 常 典 型 的 特 点 是 ， 攻 击 者 还 会 给 目 标 用 户 提 供 网 络 安 全 相 关 的 教 育 “ 服 务 ” ， 以 帮 助 他 们 躲 避 未 来 的 攻 击 。 这 些 网 络 安 全 建 议 只 会 提 供 给 那 些 支 付 了 额 外 数 据 赎 金 的 目 标 用 户 ， 不 过 具 体 这 些 建 议 到 底 是 什 么 内 容 ， 我 们 现 在 还 不 得 而 知 。 E g r e g o r 的 目 标 用 户 的 目 标 用 户 - R a n d s t a d E g r e g o r 勒 索 软 件 最 新 的 目 标 用 户 之 一 是 总 部 设 在 荷 兰 的 R a n d s t a d 公 司 ， 它 是 世 界 上 最 大 的 招 聘 和 猎 头 机 构 之 一 。 在 其 新 闻 稿 中 ， R a n d s t a d 专 门 提 到 了 E g r e g o r 就 是 他 们 所 感 染 的 恶 意 软 件 。 R a n d s t a d 的 一 位 发 言 人 在 一 封 电 子 邮 件 中 提 到 ： “ 我 们 相 信 这 起 事 件 是 由 一 封 网 络 钓 鱼 邮 件 引 发 的 ， 该 邮 件 导 致 我 们 的 计 算 机 系 统 感 染 了 E g r e g o r 恶 意 软 件 。 ”
为 此 ， R a n d s t a d 还 专 门 聘 请 了 第 三 方 网 络 安 全 和 信 息 取 证 专 家 协 助 调 查 此 次 事 件 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C T o r   O n i o n   U R L s ： ： e g r e g o r w i k i . t o p   w i k i e g r e g o r . t o p   s e k h m e t . t o p   s e k h m e t l e a k s . t o p S H A 2 5 6 哈 希 ： 哈 希 ： 4 c 9 e 3 f f d a 0 e 6 6 3 2 1 7 6 3 8 e 6 1 9 2 a 0 9 3 b b c 2 3 c d 9 e b f b d f 6 d 2 f c 6 8 3 f 3 3 1 b e a e e 0 3 2 1 a e e 1 3 1 b a 1 b f c 4 b 6 f a 1 9 6 1 a 7 3 3 6 e 4 3 d 6 6 7 0 8 6 e b d 2 c 7 f f 8 1 0 2 9 e 1 4 b 2 b f 4 7 d 9 f 3 a 7 勒 索 信 息 ： 勒 索 信 息 ： R E C O V E R - F I L E S . t x t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理