はじめに

Egregorと言うランサムウェアは、最初の出現が2020年、悪意のある添付がついたフィッシングメールで配布されました。
Egregorランサムウェアに関わる攻撃は頻繁で、米国、日本、英国など、多くの国の中規模から大規模な組織を標的にしていると記録されています。
Egregorランサムウェアのアクティブな亜種・変異型には復号プログラムはなく、平均身代金要求額は70万ドルで、ランサムウェアノートに提示されたTorチャットアドレス経由で支払うことが可能です。

手口

1. 初期アクセス

脅威アクターは、悪意のあるマクロスクリプトを含むMicrosoft Officeのワード文書ファイルを添付したフィッシングメールを使います。添付が開かれるとすぐに、マクロがPowerShellコードを実行し、このコードがQbot、IcedIDもしくはUrsnifのようなバンキング型トロイの木馬をダンロードします。こうしたバンキング型トロイの木馬は、脅威アクターがCobalt Strikeビーコンをインストールできるようにするもので、そうするとシステムとやり取りをして、他のペイロードをダウンロードし、クレデンシャルを収集し、セキュリティ対策を無効化し、情報を採取しますが、全ては水平移動と権限昇格のためです。
次にEgregorはC＆Cと交信し、追加のペイロードをダウンロードします。ダウンロードされる２つのファイルの内、1つはバッチファイルでBitsadminとRundllを実行してEgregorのペイロードをダウンロードし、実行するために使うもの、もう1つはZipファイルで、「svchost」と名前が変更されるRCloneクライアントと、抽出に必要なRCloneコンフィグファイルが含まれています。Egregorのインストール中の検知と阻止とを回避するため、脅威アクターはグループポリシーオブジェクト（GPO）を作成し、Windows Defenderを無効化して、他にサードパーティのウィルス対策ソフトウエアがあれば削除します。