新闻中心

Hot News

你被“侠盗”的蟹钳夹伤了吗?漫谈GANDCRAB

还记得 2017 年 5 月,影响全球的 WannaCrypt 吗?在当时,全球超过 230,000 台计算机皆遭此病毒侵害,虽然此病毒要求支付价值等同于 300 美元的比特币才可解密所有遭加密的文档,但事实上,并无法通过付款的方式解密。 WannaCrypt 是通过 Windows 操作系统的漏洞,以蠕虫方式进行传播扩散,微软也因为这个事件,破例对当时已停止技术支持的 Windows XP 释出修补程序。这个事件是一个经典案例,也让许多人见识到了勒索软件的破坏力。
 
好一阵子,勒索软件的音量,似乎在各种流行的信息安全威胁中显得小了,勒索软件是否就此绝迹?抑或风险有趋缓的现象?观察 GandCrab 的演化史,或许能给出一些客观的答案。
 
 
GANDCRAB简史
 
GandCrab 第一次被大众关注是在 2018 年 1 月,由罗马尼亚的安全公司 Bitdefender、罗马尼亚警政署、欧洲刑警组织连手揭露了这个恶意勒索软件,并且很快地,就由 Bitdefender 安全工程师根据 GandCrab 的加密缺陷,破解并释出了免费解密工具,这是 GandCrab 1.0。
 
但这个勒索病毒的开发者十分积极,很快地在同年的 3 月 5 日、 5 月 3 日先后释出了 GandCrab 的 2.0 与 3.0 版本。 2.0 版本增加了 QR code 功能,而 3.0 在感染后将病毒加为开机执行项目,并强制关机,下一次开机时会造成操作系统变慢或进不了操作系统,成功进入操作系统后则出现黑屏,并提示受害者已遭勒索软件感染。 2018 年 7 月, GandCrab 进化至 4.0 版本,增加了许多提示受害人付钱的说明,以及 Tor 通道,并开始提供一个文档免费解密的验证服务。 9 月时, 5.0 版面世, GandCrab 开发团队与供应恶意软件加密工具(Crypter)的组织 NTCrypt 结盟,并举办折扣活动,提供购买解密 GandCrab 的客户。而 GandCrab 最新版是 2019 年 2 月 19 日左右所推出的 5.2 版。
 
GandCrab 在网络上还有一个轶闻,说是一个在叙利亚的父亲不幸感染了 GandCrab 后,再也不能看到他因战争而丧身的儿子照片,由于这个父亲在推特上发文说出了这个情况, GandCrab 的制造者看到随即发了道歉文,并释出解密密钥后,又更新了 GandCrab 版本,将叙利亚地区列为不受感染的白名单,因为这个事件,开始有人对此恶意软件心生好感,并称其为“侠盗”。事实上,该事件中的父亲本不该遭此一劫;而放过叙利亚,荼毒其他国家也非正义!去认同加害者的观点和想法,并不理性,这是典型的“斯德哥尔摩症候群”。
 
 
传播
 
事实上, GandCrab 每个版本间的变化并不是太大,但是它的传播渠道极为多元。在最初的版本, GandCrab 主要用 RIG ExploitKit 和 GandSoft ExploitKit 两个开发工具包进行分发,进行水坑式攻击( Watering hole )或路过式下载( Drive-by download ):攻击者尝试制作出网页乱码,以解决页面乱码之由,诱导受害者下载由 GandCrab 伪装的字体更新进行感染;或乔装成软件破解文件、正版商用软件之类,诱骗受害者执行 GandCrab。
 
后续版本则扩张到使用暴露于网络上的远程桌面、僵尸网络、渗透工具、经由木马程序挟带的做法。而 5.0.2 版,开始大量利用钓鱼邮件,触发后以 PowerShell 执行脚本,埋藏在内存内暗中运作,并会在受害者计算机中尝试利用 CVE-2018-8440 以及 CVE-2018-8120 漏洞进行提权。
 
(通过电子邮件发送 GandCrab v5.1 版的前导攻击恶意文件。)
 
(日本地区常见的 GandCrab 恶意邮件攻击主题统计,除了图示外,还有许多女星的名字。引用自Twitter@gorimpthon。)
 
至于流行的地区,则可说全球都有其踪迹,亚洲地区受害者最多的国家是南韩,其次为中国。但某些操作系统虽触发了 GandCrab 这个勒索软件,但因为这个勒索软件内建操作系统语系白名单的缘故,只要是使用该白名单语系的操作系统,就不会进行后续的加密程序,这些白名单的操作系统语系分别为:俄罗斯、乌克兰、比利时、塔吉克、亚美尼亚、阿塞拜疆、乔治亚、吉尔吉斯坦、土库曼、乌兹别克、鞑靼斯坦、叙利亚、阿拉伯等。
 
 
感染的两三事
 
当 GandCrab 被触发后,首先它会将它自己复制到 %AppData%\Microsoft\[RANDOM NAME] ,接下来查找下列应用程序,并尝试将它们关闭:msftesql.exe、sqlagent.exe、sqlbrowser.exe、sqlservr.exe、sqlwriter.exe、oracle.exe、ocssd.exe、dbsnmp.exe、synctime.exe、mydesktopqos.exe、agntsvc.exeisqlplussvc.exe、xfssvccon.exe、mydesktopservice.exe、ocautoupds.exe、agntsvc.exeagntsvc.exe、agntsvc.exeencsvc.exe、firefoxconfig.exe、tbirdconfig.exe、ocomm.exe、mysqld.exe、mysqld-nt.exe、mysqld-opt.exe、dbeng50.exe、sqbcoreservice.exe、excel.exe、infopath.exe、msaccess.exe、mspub.exe、onenote.exe、outlook.exe、powerpnt.exe、steam.exe、thebat.exe、thebat64.exe、thunderbird.exe、visio.exe、winword.exe、wordpad.exe。接着,它会尝试向外联机至内建的上千个独立主机列表,联机成功后,它会开始进行感染主机的加密。
 
勒索软件的目标是取财,未避免受害人的计算机完全不能用或无法联机付钱解锁的网页, GandCrab 会避开这些文件夹不加密:All Users、Local Settings、Program Files、ProgramData、Tor Browser;会避开这些扩展名不加密:.bat、.cab、.cmd、.cpl、.cur、.diagcab、.diagpkg、.dll、.drv、.exe、.hlp、.icl、.icns、.ico、.ics、.idx、.key、.ldf、.lnk、.lock、.mod、.mpa.msc、.msp、.msstyles、.msu、.nomedia、.ocx、.prf、.rom、.rtp、.scr、.shs.spl、.sql、.sys、.theme、.themepack、autorun.inf、boot.ini、bootsect.bak、desktop.ini、iconcache.db、ntuser.dat、ntuser.dat.log、thumbs.db、.gandcrab;为避免受害人付了钱无法解密, GandCrab 也会避免再次加密过去已被它加密的文档,因此会避开遭到感染的扩展名如: .CRAB、 .KRAB。
 
完成加密后,会在每个遭到加密的数据,依不同的 GandCrab 版本,放置一个对应的说明文件,如: GDCB-DECRYPT.txt ,或是 KRAB-DECRYPT.txt ,文件的内容就是告诉受害者现在所遭遇的状况,以及提供可以付款解密的渠道。遭到加密的文档,依 GandCrab 版本的不同,有不一样的扩展名: 1.0 被加密的文档扩展名为 .GDCB;v2.0、3.0 扩展名为 .CRAB; 4.0 是.KRAB; 5.0 以后版本,其扩展名为 5-10 码随机字母。如同过去的勒索软件,勒索的有价目标多半是虚拟货币, GandCrab 也不例外,它要求的是 Bitcoin、DASH 或其他虚拟货币。
 
 
解密
 
第一版 GandCrab 的开发较为青涩,因此,在很短的时间,即有安全工程师破解其中加密缺陷,而释出免费的解密工具;随着 GandCrab 每一版的演进,解密工具也都顺利地通过找到其中缺陷而推出。 GandCrab 4.0 版几乎都可以被免费解密了,但 GandCrab 的开发者似乎也发现了这个问题,在安全工程师释出 5.0.4 及 5.1 的解密工具的 24 小时内, GandCrab 的开发者就修补了勒索软件的缺陷,造成修正后的 5.0.4、5.1 及最新的 5.2 版,目前还是无解的情况。
 
 
观点
 
根据 ASRC 与 Softnext 守内安安全团队观察,不仅是 GandCrab 这款勒索软件,所有的勒索软件的感染入侵渠道大约可分为下面几种:
 
  1. 通过暴露在防火墙外的服务,尤其是带有未修补漏洞,或可被滥用尝试登入的服务。
  2. 通过浏览器未修补漏洞入侵。
  3. 通过电子邮件寄送夹带前导攻击程序的恶意链接或文档,再以社交手段诱使受害人开启。
  4. 伪装为破解文件程序、修补软件、网页字体,诱使受害人执行安装。
 
 
知道了入侵的渠道与手段,我们建议可先盘点并以防火墙管控、封闭不必要暴露在网络上的服务,或至少,对于尝试登入失败的次数做限制并监控。再者,以安全的浏览器,并时时保持更新,尽可能减少浏览器的外挂的使用,以降低上网浏览及遭到入侵的风险,还有,别忽视搜索引擎或浏览器发出的安全警示。架构一个安全的邮件过滤机制,已是基本的信息安全防护措施,毕竟电子邮件是数年来黑客入侵的首选渠道!后,操作系统本身会避免外来程序自动执行,但却无法避免人为允许的操作,社交手段主要攻击的对象是人,除了尽可能地隔离恶意程序与人接触外,基本的信息安全意识是必须的。
 
除了做好上述风险的控制措施外,面对勒索软件的侵害,建议您还是应该有定期脱机备份的策略。万一因意外造成重要数据被加密时,您还有从备份文件数据还原的选择。我们并不建议任何向黑客付赎以取回文档的行为,因为这样的行为,等于是变相鼓励了攻击者,支持他们的不义之举。
 
信息安全不是一个简单的单一层面的问题,也从未有单一特定产品可解决所有的安全问题。在依赖信息科技的时代,面对信息安全问题,没有谁能置身事外。信息安全防护是一个动态、持续建构与改善的防御工程,若能有好的产品、优秀的协防顾问团队,例如: Softnext 守内安旗下的邮件网关系统 SPAM SQR,将使您面对信息安全问题能事半功倍。
 
 
关于 SPAM SQR 与 ADM 高级防御模块
 
Softnext 守内安 SPAM SQR 内置多种引擎 (恶意文档分析引擎、威胁感知引擎、智能诈骗引擎) 、恶意网址数据库,并可整合防毒与动态沙盒等机制,以多层式的运行过滤方式,对抗恶意威胁邮件的入侵。
 
SPAM SQR 的 ADM 高级防御模块 (Advanced Defense Module),可防御鱼叉式攻击、 APT 等新型进阶攻击手法邮件。研究团队经长时间的追踪黑客攻击行为,模拟产出静态特征。程序自动解封装文档进行扫描,可发掘潜在代码、隐藏的逻辑路径及反组译代码,以利进行进阶恶意程序分析比对。可提高拦截夹带零时差 (Zero-day) 恶意程序、APT 攻击工具及含有文件漏洞的攻击附件等攻击手法邮件的能力。
 
 
关于 ASRC 垃圾信息研究中心
 
ASRC 垃圾信息研究中心 (Asia Spam-message Research Center),长期与 Softnext 守内安合作,致力于全球垃圾邮件、恶意邮件、网络攻击事件等相关研究事宜,并运用相关数据统计、调查、趋势分析、学术研究、跨业交流、研讨活动等方式,促成产政学界共同致力于净化网络之电子邮件使用环境。更多信息请参考 www.asrc-global.cn
 
 
 
(封面用图来源:摄图网)
 
 
 
 
 
 
购物车

登入

登入成功