关于GandCrab5.0.4勒索病毒的通知
发布人:张润泽  发布时间:2018-11-22   浏览次数:79

GandCrab5.0.4勒索变种来袭,国内部分医疗机构业务瘫痪

近期,GandCrab勒索家族在国内呈现爆发趋势,其GandCrab5.0.4最新变种已造成国内部分医疗行业出现业务瘫痪,影响医院正常看病治疗。学校紧急预警,提醒广大用户做好防御措施,警惕GandCrab5.0.4。

病毒名称:GandCrab5.0.4变种病毒性质:勒索病毒影响范围:国内已有多个医疗机构接连受感染危害等级:高危传播方式:通过RDP爆破、邮件、漏洞、垃圾网站挂马等方式传播,不具备内网传播能力。

病毒分析

病毒描述

今年以来,GandCrab勒索家族持续活跃,福建、浙江、山西、吉林、贵州、天津多省份均有感染案例。

近日发现GandCrab5.0.3已经升级到版本GandCrab5.0.4,并有多家医疗机构因最新变种导致业务瘫痪。

该变种同样采用RSA+AES加密算法,将系统中的大部分文档文件加密为随机后缀名的文件,然后对用户进行勒索。

最新变种仍然主要通过RDP爆破、邮件、漏洞、垃圾网站挂马等方式进行传播,其自身不具备感染传播能力,不会主动对局域网的其他设备发起攻击,但会加密局域网共享目录文件夹下的文件。

样本分析

本次5.0.4变种,入侵行为与5.0.3变种相似,具体可参考:紧急预警:流行勒索病毒GandCrab再爆V5.0.3变种!

其功能流程图也仍然沿用了5.0.3的框架:

在5.0.4这个变种版本,硬编码了一张图片,并释放于被感染主机桌面:

结束进程

遍历进程,然后结束相关的进程。首先结束安全软件,实现病毒隐匿:

然后,结束各种应用软件,包括数据库软件:

区域豁免

通过查询操作系统安装的输入法和操作系统语言版本,确定是否豁免主机,中国不在豁免范围内。

加密文件

遍历主机文件目录,生成随机后缀名的加密文件,如下所示:

删除卷影

加密完成之后,通过ShellExecuteW函数调用wmic.exe程序,删除磁盘卷影:

最后,生成勒索信息文件并在桌面进行勒索。

解决方案

针对已经出现勒索现象的用户,由于暂时没有解密工具,建议尽快对感染主机进行断网隔离。请广大用户尽快做好病毒检测与防御措施,防范此次勒索攻击。

病毒检测查杀

可下载如下工具,进行检测查杀。

http://edr.sangfor.com.cn/tool/SfabAntiBot.zip

病毒防御

1、及时给电脑打补丁,修复漏洞。

2、对重要的数据文件定期进行非本地备份。

3、不要点击来源不明的邮件附件,不从不明网站下载软件。

4、尽量关闭不必要的文件共享权限。

5、更改账户密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。