El objetivo principal de Egregor es la extorsión financiera. Sus tácticas se centran en maximizar la presión sobre las víctimas para forzar el pago de un rescate. Esto se logra mediante un modelo de doble extorsión en el que primero roban datos corporativos sensibles y luego cifran la red. Si la víctima duda en pagar, el grupo publica los datos robados en un sitio público de filtración, añadiendo una capa de humillación pública y riesgo regulatorio al incidente.

Estos actores son expertos en todo tipo de técnicas para entrar a una red. A menudo obtienen acceso inicial mediante credenciales comprometidas para el protocolo de escritorio remoto (RDP) o VPN. Los correos de phishing con archivos adjuntos maliciosos son otro punto de entrada común. Una vez dentro, usan herramientas populares de pruebas de penetración como Cobalt Strike y escáneres de red para mapear el entorno, escalar privilegios y moverse lateralmente para comprometer la mayor parte posible de la red.

Los procedimientos de Egregor muestran un enfoque claro y metódico. Después del acceso inicial, despliegan malware como QakBot o IcedID para establecer un punto de apoyo persistente. Luego usan herramientas como Rclone (a menudo disfrazada como svchost) y 7zip para exfiltrar grandes volúmenes de datos. Una vez asegurados los datos, ejecutan el payload del ransomware, que cifra los archivos e incluso usa las propias impresoras de la víctima para imprimir copias de la nota de rescate, titulada "RECOVER-FILES.txt", asegurando que el mensaje se reciba alto y claro.