Egregor ransomware: becoming increasingly dangerous following in the footsteps of Maze

Οι εμπειρογνώμονες ασφαλείας προειδοποιούν ότι μια νέα ransomware ομάδα κλιμακώνει ταχέως την απειλητική της δραστηριότητα, διενεργώντας διπλές attacks εκβιασμού σε πολυάριθμα victims από όλο τον κόσμο. Πρόκειται για τη συμμορία του Egregor ransomware που έγινε γνωστή αφότου πραγματοποίησε επίθεση εναντίον της Barnes & Noble και των προγραμματιστών παιχνιδιών Ubisoft και Crytek τον Οκτώβριο, όπως αναφέρει η Digital Shadows. Η συμμορία του Egregor εκτιμάται ότι είναι η “διάδοχος” τη συμμορίας του Maze ransomware.

Ωστόσο, η ομάδα αναπτύσσει δραστηριότητα στο τοπίο των απειλών από τον Σεπτέμβριο, οπότε πραγματοποίησε επιθέσεις με στόχο 15 διαφορετικά θύματα. Στη συνέχεια, ήρθε μια αύξηση 240%, με πάνω από 50 οργανισμούς να προστίθενται στη λίστα των θυμάτων της. Αξίζει να σημειωθεί ότι από τις 17 Νοεμβρίου, έχουν προστεθεί 21 ακόμη θύματα.

Σύμφωνα με την Digital Shadows, μεταξύ των θυμάτων του Egregor ransomware συγκαταλέγονται οργανισμοί που δραστηριοποιούνται στον κλάδο των βιομηχανικών αγαθών και υπηρεσιών (38%), με την πλειοψηφία αυτών (83%) να βρίσκεται στις USA.

Επιπλέον, το συγκεκριμένο malware έχει σχεδιαστεί με πολλαπλά build-in μέτρα κατά της ανάλυσης, όπως η απόκρυψη code και packed payloads. Πιο συγκεκριμένα, η Digital Shadows επεσήμανε ότι οι διεπαφές προγραμματισμού εφαρμογών των Windows (API) αξιοποιούνται για την κρυπτογράφηση των payload data. Αν οι ομάδες ασφαλείας δεν μπορούν να παρουσιάσουν το σωστό όρισμα της γραμμής εντολών, τότε τα δεδομένα δεν μπορούν να αποκρυπτογραφηθούν και το malware δεν μπορεί να αναλυθεί.

SecNewsTV

Περισσότερα... Subscribe!

Η εταιρεία πρόσθεσε ακόμη ότι όταν παρουσιαστεί το σωστό όρισμα γραμμής εντολών, το malware εκτελείται εισάγοντας τη διαδικασία iexplore.exe, κρυπτογραφώντας όλα τα αρχεία κειμένου και τα έγγραφα και επισυνάπτοντας ένα σημείωμα λύτρων σε κάθε φάκελο που έχει κρυπτογραφημένο αρχείο. Αυτή η διαδικασία περιλαμβάνει Archives σε απομακρυσμένους υπολογιστές και servers μέσω ελέγχων στα αρχεία καταγραφής συμβάντων LogMeIn.

The hackers του Egregor ransomware, όπως και άλλες συμμορίες, διατηρούν dark site στο οποίο δημοσιεύουν τα δεδομένα που κλέβουν από τα εκάστοτε θύματά τους, ώστε τα δεύτερα να αναγκαστούν να πληρώσουν ransom. Όπως αναφέρει το Infosecurity Magazine, η συμμορία του Egregor φαίνεται να ακολουθεί τα χνάρια της συμμορίας του Maze ransomware, που σταμάτησε την δράση της τον Οκτώβριο.

Για παράδειγμα, δημοσίευσε 200MB δεδομένων που αφορούν παιχνίδια της Ubisoft, ισχυριζόμενη πως είχε στην κατοχή της τον πηγαίο κώδικα του ακυκλοφόρητου παιχνιδιού Watchdogs: Legion. Παράλληλα, κλάπηκαν 400MB δεδομένων σχετικά με τα παιχνίδια Warface και Arena of Fate της Crytek.