FBI警告企業Egregor勒索軟體來襲

美國聯邦調查局（FBI）昨（7）日發出公告，要企業當心勒索軟體Egregor正在網路擴散以入侵企業網路。

Egregor是在去年Maze宣佈退出江湖後，接手其攻擊程式等資產而興起。FBI發出的TLP:White「私人企業通知」（Private Industry Notification，PIN）指出，從2020年9月FBI首度觀測到Egregor以來，全球已經有超過150家企業遭到Egregor變種攻擊的消息。

FBI觀測到Egregor是一種「勒索軟體即服務」的服務模式，供歹徒訂閱發動攻擊。Egregor使用多種不同機制駭入企業，包括發送具惡意附件的釣魚信件到員工個人帳號，或是開採遠端桌面協定（RDP）或VPN漏洞駭入企業網路。而進入公司網路後，攻擊者也可能利用Egregor的RDP開採能力。

當Egregor成功存取企業網路後，會使用常見的滲透測試法及工具，像是CobaltStrike、Qakbot/Qbot、IP 掃瞄工具和AdFind等，以擴張權限並在內部網路橫向移動。加密企業重要檔案的同時，Egregor也會利用同步軟體Rclone及7zip等工具，有時也會偽裝成svchost行程將資料竊取傳送出去。而且它還經常利用受害者機器的列印功能，把勒索訊息列印出來。

FBI要求，企業不論拒絕或同意支付贖金，都務必通報警方。FBI也提供了防範Egregor的指引，包括修補對外的遠端存取應用的相關漏洞，尤其是RDP漏洞，包括CVE-2020-0609、CVE-2020-0610、CVE-2020-16896、 CVE-2019-1489、CVE-2019-1225、CVE-2019-1224、CVE-2019-1108。

此外，企業除了資料備份、定期更新防毒軟體、要求員工不得點選來路不明的郵件附件或連結等基本知識外，IT管理員也應限制RDP存取權限，並檢查公司網路上是否有可疑的.bat、dll檔，.log檔，或是對外連線程式等。