Forschung: Egregor-Ransomware zerlegt

Sophos News
Anzeige

Beitrag teilen

Sophos Forscher haben die Egregor-Ransomware unter der Lupe genommen. Ist die Ransomware die heimliche Erbin von Maze?

Der Bericht “Egregor ransomware: Maze’s heir apparent,” stützt sich auf mehrere Vorfälle, an denen Egregor seit September beteiligt war. Sophos-Forscher fanden dabei unter anderem:

Anzeige
  • Unterschiedliche Taktiken, Techniken und Prozeduren (TTPs) bei Angriffen verschiedener Urheber, die zeigen, wie sehr kriminelle RaaS-Kunden ihre Angriffsansätze variieren können und damit einen Abwehrschutz schwieriger machen
  • Ähnlichkeiten mit Maze Ransomware, wie z. B. die Verwendung der ChaCha- und RSA-Verschlüsselungsalgorithmen
  • Verbindungen zwischen Egregor und Sekhmet (Egregor ist eine Ableitung von Sekhmet)
  • Ähnlichkeiten mit Ryuk-Ransomware-Angriffen. In einem vom Sophos Rapid Response-Team untersuchten Vorfall stimmen die Verwendung von Cobalt Strike, das Kopieren von Dateien in das Verzeichnis C: \ perflogs sowie die Verwendung von SystemBC – einem böswilligen Tor-Netzwerk-Proxy – mit dem beobachteten Verhalten während einer Ryuk-Attacke im September 2020 überein

Sean Gallagher, leitender Sicherheitsforscher bei Sophos erläutert

„Die Ergebnisse zeigen, wie schwierig es für IT-Sicherheitsteams sein kann, sich gegen Ransomware-as-a-Service-Angriffe zu verteidigen, da Ransomware-Betreiber häufig auf mehrere Vertriebskanäle für Malware setzen, um ihre Opfer zu erreichen. Hierdurch entsteht ein vielfältigeres Angriffsprofil, das schwerer vorherzusagen ist.“

TTPs der Ransomware-Typen deutlich gestiegen

Die Anzahl der Taktiken, Techniken und Prozeduren (TTPs), die von jedem Ransomware-Typ verwendet werden sind den Forschern zufolge deutlich gestiegen. Eine durchdachte Verteidigungsstrategie ist daher unerlässlich. „Angesichts der Tatsache, dass die Gruppe hinter Egregor behauptet, gestohlene Daten zu verkaufen, wenn Lösegeld nicht gezahlt wird, reicht es nicht aus, nur eine gute Sicherung der Organisationsdaten zu haben, um Ransomware zu entschärfen,“ so Gallagher weiter. „Das Blockieren gängiger Exfiltrationsrouten für Daten – beispielsweise das Verhindern von Tor-Verbindungen – kann das Stehlen von Daten erschweren.“ Die beste Verteidigung bestehe jedoch darin, zu verhindern, dass Angreifer überhaupt im Netzwerk Fuß fassen: „Eine gute Aufklärung der Mitarbeiter ist dafür ebenso wichtig wie der Einsatz eines Threat-Hunting-Expertenteams.“

Anzeige

Mehr dazu bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

Verwundbarkeit durch Cloud Bursting

Als Technik zur Anwendungsbereitstellung ermöglicht Cloud Bursting die Vereinigung des Besten aus beiden Welten. Auf der einen Seite ermöglicht es ➡ Weiterlesen

Chrome dichtet 7 hochgefährliche Lücken ab

Das Bug-Bounty-Programm von Chrome lohnt sich: Programmierer und Spezialisten haben 7 hochgefährliche Sicherheitslücken an Google gemeldet und eine Belohnung erhalten. ➡ Weiterlesen

Outlook-Angriff funktioniert ohne einen Klick!

Selbst das BSI warnt vor der Schwachstelle CVE-2023-23397 in Outlook, da diese sogar ohne einen einzigen Klick eines Anwenders ausnutzbar ➡ Weiterlesen

USB-Wurm wandert über drei Kontinente

Die längst verstaubt geglaubte Masche eines USB-Sticks mit Schadsoftware wurde tatsächlich noch einmal aus der Cybercrime-Kiste geholt. Der bekannte Wurm ➡ Weiterlesen

Vulnerability Management erstellt Cyber Insurance Report

Nutzer eines Tenable Vulnerability Management-Konto können ab sofort einen Cyber Insurance Report für ihren Cyberversicherungsanbieter erstellen. Das erleichtert die Versicherbarkeit hilft ➡ Weiterlesen

Entwicklung 2022: Cyberkriminalität, Kriege, Ransomware

In seinem Bericht "2023 State of Malware" stellt Security-Experte Malwarebytes die Entwicklungen des Jahres 2022 zusammen: Geopolitische Cyberkriminalität, Ransomware und ➡ Weiterlesen

Sicherheitslücke in Outlook – Unternehmen in Gefahr

Ein Sicherheitslabor hat eine gravierende Sicherheitslücke in Microsoft Outlook entdeckt, die gegen europäische Regierungs-, Militär-, Energie- und Transportunternehmen genutzt wird. Die ➡ Weiterlesen

Zoom: Hochgefährliche Sicherheitslücken

Nutzer von Zoom-Clients wird auf verschiedenen Systemen ein Update empfohlen. Bei den aktuell gemeldeten Schwachstellen gelten zwei als Hochgefährlich, drei ➡ Weiterlesen