使用Egregor勒索軟件的攻擊者在最初幾個(gè)月的活動中表現(xiàn)的非常的活躍。在針對被攻擊的美國零售商Kmart之后，Egregor團(tuán)伙還用勒索軟件攻擊擾亂了溫哥華地鐵系統(tǒng)。

加拿大城市公共交通網(wǎng)絡(luò)Translink周四其首席執(zhí)行官Kevin Desmond在Twitter上聲明證實(shí)，

我們的一些IT基礎(chǔ)設(shè)施成為了勒索軟件攻擊的目標(biāo)“，”包括通過打印與Translink進(jìn)行通信的信息。

據(jù)媒體報(bào)道，這次攻擊發(fā)生在12月1日，導(dǎo)致溫哥華的居民和其他公共交通服務(wù)的用戶無法使用他們的Compass地鐵卡，也無法通過該機(jī)構(gòu)的Compass售票亭購買新票。在被當(dāng)?shù)囟嗉倚侣剻C(jī)構(gòu)追問真實(shí)情況之前，Translink公司的官員兩天來一直避免承認(rèn)此次攻擊事件，將其說成是技術(shù)問題。

當(dāng)?shù)仉娕_新聞臺News 1130的高級新聞記者M(jìn)artin MacMahon在推特上說，

通過我和我的同事@pjimmyradio合作，我們可以確認(rèn)，TransLink已經(jīng)被黑客攻擊，我們的信息來自于交通局內(nèi)部的多個(gè)消息源，他們已經(jīng)與我們分享了勒索信。

雖然官方并沒有出來說Egregor要對這次攻擊負(fù)責(zé)，而且使用勒索軟件的黑客也沒有認(rèn)罪，但伴隨著攻擊而來的勒索說明卻指出了該組織是罪魁禍?zhǔn)住?/p>

另一家本地新聞媒體Global BC的記者喬丹-阿姆斯特朗（Jordan Armstrong）周五凌晨在推特上發(fā)布了一張勒索紙條的照片，稱它是“從TransLink的打印機(jī)上打印出來”的。

據(jù)消息，在這一問題上，TransLink并不打算支付贖金。但我們采訪的一位網(wǎng)絡(luò)安全專家說，這是一種復(fù)雜的新型勒索軟件攻擊，并且許多受害者確實(shí)都支付了贖金。

勒索說明的威脅信息是：黑客要向媒體以及客戶和合作伙伴公布從Translink盜取的數(shù)據(jù)，這樣此次攻擊就會被廣為人知，這也是Egregor的一個(gè)特點(diǎn)。該惡意軟件采用的策略是在加密所有文件之前，先將企業(yè)信息進(jìn)行竊取，并威脅其將會把數(shù)據(jù)進(jìn)行公布。

根據(jù)BleepingComputer的報(bào)道，該組織也是目前唯一已知的勒索軟件，它運(yùn)行后會導(dǎo)致企業(yè)的打印機(jī)不斷打印出勒索票據(jù)。同樣的事情也發(fā)生在11月中旬對南美零售商Cencosud的攻擊中，這一攻擊被記錄在Twitter上的視頻中。

Desmond表示，Translink將繼續(xù)調(diào)查此次攻擊，并減少攻擊造成的所有損失。同時(shí)，Compass自動售貨機(jī)和交通站的感應(yīng)支付門的服務(wù)已經(jīng)恢復(fù)。

Egregor這個(gè)名字指的是一個(gè)神秘的術(shù)語，意在表示一群人的集體能量或力量，自9月和10月首次在網(wǎng)絡(luò)上被發(fā)現(xiàn)以來一直活動很頻繁。本周早些時(shí)候，在Kmart的攻擊中對連接到公司網(wǎng)絡(luò)的設(shè)備和服務(wù)器進(jìn)行了加密，造成后端服務(wù)癱瘓。

10月，Egregor還聲稱攻擊了游戲巨頭育碧，竊取了10月29日發(fā)布的《看門狗：軍團(tuán)》的源代碼。它還單獨(dú)對游戲創(chuàng)作者Crytek進(jìn)行了攻擊，該作者與Arena of Fate和Warface等游戲作品的創(chuàng)作有關(guān)。

Egregor最近也成為頭條新聞，因?yàn)樗暦Q對10月15日首次發(fā)生的Barnes & Noble網(wǎng)絡(luò)攻擊事件負(fù)責(zé)。這家書店曾在發(fā)給客戶的電子郵件通知中警告說，它被黑客攻擊了，導(dǎo)致黑客未經(jīng)授權(quán)非法訪問了Barnes & Noble公司的某些系統(tǒng)。

本文翻譯自：https://threatpost.com/vancouver-metro-egregor-ransomware/161892
責(zé)編AJX