图片展示

GandCrab5.0.4勒索变种来袭,国内部分医疗机构业务瘫痪

发表时间: 2018-11-05 21:20:18

浏览:

近期,GandCrab勒索家族在国内呈现爆发趋势,其GandCrab5.0.4最新变种已造成国内部分医疗行业出现业务瘫痪,影响医院正常看病治疗。爱维科紧急预警,提醒广大用户做好防御措施,警惕GandCrab5.0.4。

病毒名称:GandCrab5.0.4变种

病毒性质:勒索病毒

影响范围:国内已有多个医疗机构接连受感染

危害等级:高危

传播方式:通过RDP爆破、邮件、漏洞、垃圾网站挂马等方式传播,不具备内网传播能力。



病毒分析


01

病毒描述

今年以来,GandCrab勒索家族持续活跃,爱维科第一时间预警了GandCrab4.0、GandCrab5.0、GandCrab5.0.3等变种,不久前刚发预警的GandCrab5.0.3,依然非常活跃,福建、浙江、山西、吉林、贵州、天津多省份均有感染案例。

近日,我们发现GandCrab5.0.3已经升级到版本GandCrab5.0.4,并有多家医疗机构因最新变种导致业务瘫痪。

该变种同样采用RSA+AES加密算法,将系统中的大部分文档文件加密为随机后缀名的文件,然后对用户进行勒索。

最新变种仍然主要通过RDP爆破、邮件、漏洞、垃圾网站挂马等方式进行传播,其自身不具备感染传播能力,不会主动对局域网的其他设备发起攻击,但会加密局域网共享目录文件夹下的文件。

02

样本分析


本次5.0.4变种,入侵行为与5.0.3变种相似,其功能流程图也仍然沿用了5.0.3的框架:

在5.0.4这个变种版本,硬编码了一张图片,并释放于被感染主机桌面

结束进程

遍历进程,然后结束相关的进程。首先结束安全软件,实现病毒隐匿:

然后,结束各种应用软件,包括数据库软件:

区域豁免

通过查询操作系统安装的输入法和操作系统语言版本,确定是否豁免主机,中国不在豁免范围内。

加密文件

遍历主机文件目录,生成随机后缀名的加密文件,如下所示:

删除卷影

加密完成之后,通过ShellExecuteW函数调用wmic.exe程序,删除磁盘卷影:

最后,生成勒索信息文件并在桌面进行勒索。

解决方案

针对已经出现勒索现象的用户,由于暂时没有解密工具,建议尽快对感染主机进行断网隔离。

 

爱维科提醒广大用户尽快做好病毒检测与防御措施,防范此次勒索攻击。

  

病毒查杀

自勒索病毒爆发以来,爱维科数据恢复中心已经掌握加密数据库修复方法,已成功修复多例,达康解密始终坚持能修复的原则,帮助客户解决问题,为客户挽回了巨大的损失(包括地方政府、医院、金融企业、股份公司及数不清的个人数据),得到了客户的高度评价。

病毒防御

1、及时给电脑打补丁,修复漏洞。

2、对重要的数据文件定期进行非本地备份。

3、不要点击来源不明的邮件附件,不从不明网站下载软件。

4、尽量关闭不必要的文件共享权限。

5、更改账户密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。

6、GandCrab勒索软件会利用RDP(远程桌面协议),如果业务上无需使用RDP的,建议关闭RDP。当出现此类事件时,推荐使用深信服防火墙,或者终端检测响应平台(EDR)的微隔离功能对3389等端口进行封堵,防止扩散!

咨询与服务


您可以通过以下方式联系我们,获取关于

GandCrab的免费咨询及支持服务:

1)拨打电话15611033457/15588889264(已开通勒索软件专线)

3)PC端访问

grit.com.cn选择右侧智能客服,进行咨询



GandCrab5.0.4勒索变种来袭,国内部分医疗机构业务瘫痪
长按图片保存/分享
0
资讯分类
近期爆发

—— 联系我们    Contact Us ——

24小时应急响应电话:15021662155 (微信同号)

 serve@grit.com.cn

样本提交 2012 - 2020 Copyright © 国瑞IT安全服务中心 沪ICP备09036178号 

添加微信好友,详细了解产品
使用企业微信
“扫一扫”加入群聊
复制成功
添加微信好友,详细了解产品
我知道了