Egregor ransomware leírás

2020. november 2. 13:03

Felfedezés dátuma

2020.11.02.

Súlyosság

Összefoglaló

A Sekhmet kártevő családba tartozó Egregor egy friss ransomware, amelyről nyilvánosan először 2020. szeptember 18-án, egy Twitteren közzétett bejegyzésben esik szó. A ransomware-t terjesztő kiberbűnözők elsődleges célja az adatlopás, a fájlok titkosítása csak ezután kerül végrehajtásra.

Leírás

Az Egregor ransomware-ről az első elemzés 2020 októberében készült az Appgate Labs által. Ennek során a cég szakemberei több hasonlóságot is felfedeztek a Sekhmet ransomware családtagjaival, mint például a káros kód elrejtésére szolgáló technikák vagy az alkalmazott különböző API hívások és sztringek. A kód elemzését ugyanakkor lényegesen megnehezíti, hogy egyes kódrészletek csak akkor dekódolhatóak, ha az adott folyamat parancssorában szerepel a megfelelő kulcs, azaz a fájl nem elemezhető, ha a támadók által használt, teljesen megegyező parancssor nem biztosított. A vizsgálat során mindazonáltal fény derült az Egregor azon képességére, amely szerint parancssoron keresztül további, kiegészítő utasítások fogadására is képes, pl.: ‘nomimikatz,’ ‘killrdp,’ ‘norename’.

Az Egregor ransomware támadások kapcsán jelenleg nincs adat a kiindulási vektor tekintetében.

Az Egregor ransomware terjesztését végző kiberbűnözők elsődleges célja az érzékeny adatokhoz való hozzáférés, illetve azok exportálása, a tényleges titkosítás csak ezután történik meg. Az egyes titkosított fájlok kiterjesztése egy véletlenszerűen kiválasztott karaktersorral bővül („1.jpg” helyett „1.jpg.JhWeA„).

Az eddigi támadások során a fenyegetés szerint a váltságdíj kifizetésére 3 nap áll rendelkezésre, nem fizetés esetén pedig megkezdődik a publikus adatszivárogtatás. Az Appgate elemzésének elkészítéséig ilyen jellegű adatszivárogtatás nem történt, azonban valóban létrehozásra került egy dedikált weboldal a darkweben, ahol már 13 különböző vállalat (Pl.: GEFCO, Barnes&Noble, Ubisoft, Crytek) szerepel az áldozatként.

A zsaroló üzenet (ransomnote) szerint (lásd: 1. ábra) a támadók a váltságdíjat kifizetőknek felajánlják a segítségüket az adott vállalat kiberbiztonságának fejlesztésében, a hasonló támadások megelőzése érdekében.

A váltságdíj összege nem jelenik meg a ransomnote-ban, annak megismerésére csak a kapcsolatfelvétel céljából egy külön weboldalon keresztül biztosított chaten van lehetőség. Ennek oka elsősorban az lehet, hogy a váltságdíj összege minden esetben más, azonban az eddigi ismert esetek alapján meghaladhatja az egymillió USD-t is.

Jelenleg nem áll rendelkezésre olyan eszköz, amellyel feloldhatóvá válna a titkosítás.

Megoldás

Javaslatok

Megoldásként javasolt a hálózatok jelszóházirendjének szigorítása.
Az operációs rendszeren és a telepített alkalmazásokon mindig telepíteni kell a legújabb frissítéseket.
Az alkalmazott vírusvédelmi eszközhöz mindig telepíteni kell a legújabb frissítéseket.
Legyen elővigyázatos a gyanús csatolmányt tartalmazó e-mailekkel szemben, azokat lehetőség szerint ne nyissa meg. Az ismeretlen fájlokat és gyanús e-mail csatolmányokat ellenőrizheti a Virustotal oldalra feltöltve.
Blokkolja az összes URL- és IP-alapú IoC-t a tűzfalon, az IDS-en, a web-átjáróknál, az útválasztóknál.
A zsarolóvírus támadások megelőzéséhez az NBSZ NKI javasolja az intézet weboldalán innen elérhető segédlet megtekintését.