使用Egregor勒索軟件的攻擊者在最初幾個月的活動中表現(xiàn)的非常的活躍。在針對被攻擊的美國零售商Kmart之后，Egregor團伙還用勒索軟件攻擊擾亂了溫哥華地鐵系統(tǒng)。

加拿大城市公共交通網(wǎng)絡(luò)Translink周四其首席執(zhí)行官Kevin Desmond在Twitter上聲明證實，

我們的一些IT基礎(chǔ)設(shè)施成為了勒索軟件攻擊的目標“，”包括通過打印與Translink進行通信的信息。

據(jù)媒體報道，這次攻擊發(fā)生在12月1日，導致溫哥華的居民和其他公共交通服務(wù)的用戶無法使用他們的Compass地鐵卡，也無法通過該機構(gòu)的Compass售票亭購買新票。在被當?shù)囟嗉倚侣剻C構(gòu)追問真實情況之前，Translink公司的官員兩天來一直避免承認此次攻擊事件，將其說成是技術(shù)問題。

當?shù)仉娕_新聞臺News 1130的高級新聞記者Martin MacMahon在推特上說，

通過我和我的同事@pjimmyradio合作，我們可以確認，TransLink已經(jīng)被黑客攻擊，我們的信息來自于交通局內(nèi)部的多個消息源，他們已經(jīng)與我們分享了勒索信。

雖然官方并沒有出來說Egregor要對這次攻擊負責，而且使用勒索軟件的黑客也沒有認罪，但伴隨著攻擊而來的勒索說明卻指出了該組織是罪魁禍首。

另一家本地新聞媒體Global BC的記者喬丹-阿姆斯特朗（Jordan Armstrong）周五凌晨在推特上發(fā)布了一張勒索紙條的照片，稱它是“從TransLink的打印機上打印出來”的。

據(jù)消息，在這一問題上，TransLink并不打算支付贖金。但我們采訪的一位網(wǎng)絡(luò)安全專家說，這是一種復雜的新型勒索軟件攻擊，并且許多受害者確實都支付了贖金。

勒索說明的威脅信息是：黑客要向媒體以及客戶和合作伙伴公布從Translink盜取的數(shù)據(jù)，這樣此次攻擊就會被廣為人知，這也是Egregor的一個特點。該惡意軟件采用的策略是在加密所有文件之前，先將企業(yè)信息進行竊取，并威脅其將會把數(shù)據(jù)進行公布。

根據(jù)BleepingComputer的報道，該組織也是目前唯一已知的勒索軟件，它運行后會導致企業(yè)的打印機不斷打印出勒索票據(jù)。同樣的事情也發(fā)生在11月中旬對南美零售商Cencosud的攻擊中，這一攻擊被記錄在Twitter上的視頻中。

Desmond表示，Translink將繼續(xù)調(diào)查此次攻擊，并減少攻擊造成的所有損失。同時，Compass自動售貨機和交通站的感應(yīng)支付門的服務(wù)已經(jīng)恢復。

Egregor這個名字指的是一個神秘的術(shù)語，意在表示一群人的集體能量或力量，自9月和10月首次在網(wǎng)絡(luò)上被發(fā)現(xiàn)以來一直活動很頻繁。本周早些時候，在Kmart的攻擊中對連接到公司網(wǎng)絡(luò)的設(shè)備和服務(wù)器進行了加密，造成后端服務(wù)癱瘓。

10月，Egregor還聲稱攻擊了游戲巨頭育碧，竊取了10月29日發(fā)布的《看門狗：軍團》的源代碼。它還單獨對游戲創(chuàng)作者Crytek進行了攻擊，該作者與Arena of Fate和Warface等游戲作品的創(chuàng)作有關(guān)。

Egregor最近也成為頭條新聞，因為它聲稱對10月15日首次發(fā)生的Barnes & Noble網(wǎng)絡(luò)攻擊事件負責。這家書店曾在發(fā)給客戶的電子郵件通知中警告說，它被黑客攻擊了，導致黑客未經(jīng)授權(quán)非法訪問了Barnes & Noble公司的某些系統(tǒng)。

本文翻譯自：https://threatpost.com/vancouver-metro-egregor-ransomware/161892
責編AJX