FBI警告企业Egregor勒索软件来袭

美国联邦调查局(FBI)昨(7)日发出公告,要企业当心勒索软件Egregor正在网络扩散以入侵企业网络。

Egregor是在去年Maze宣布退出江湖后,接手其攻击程序等资产而兴起。FBI发出的TLP:White“私人企业通知”(Private Industry Notification,PIN)指出,从2020年9月FBI首度观测到Egregor以来,全球已经有超过150家企业遭到Egregor变种攻击的消息。

FBI观测到Egregor是一种“勒索软件即服务”的服务模式,供歹徒订阅发动攻击。Egregor使用多种不同机制黑入企业,包括发送具恶意附件的钓鱼信件到员工个人账号,或是开采远程桌面协议(RDP)或VPN漏洞黑入企业网络。而进入公司网络后,攻击者也可能利用Egregor的RDP开采能力。

当Egregor成功访问企业网络后,会使用常见的渗透测试法及工具,像是CobaltStrike、Qakbot/Qbot、IP扫描工具和AdFind等,以扩张权限并在内部网络横向移动。加密企业重要文件的同时,Egregor也会利用同步软件Rclone及7zip等工具,有时也会伪装成svchost行程将资料窃取发送出去。而且它还经常利用受害者机器的打印功能,把勒索消息打印出来。

FBI要求,企业不论拒绝或同意支付赎金,都务必通报警方。FBI也提供了防范Egregor的指引,包括修补对外的远程访问应用的相关漏洞,尤其是RDP漏洞,包括CVE-2020-0609、CVE-2020-0610、CVE-2020-16896、CVE-2019- 1489、CVE-2019-1225、CVE-2019-1224、CVE-2019-1108。

此外,企业除了资料备份、定期更新杀毒软件、要求员工不得点击来路不明的邮件附件或连接等基本知识外,IT管理员也应限制RDP访问权限,并检查公司网络上是否有可疑的.bat、dll档,.log档,或是对外连接程序等。

发表评论