首页|必读|视频|专访|运营|制造|监管|大数据|物联网|量子|元宇宙|博客|特约记者
手机|互联网|IT|5G|光通信|人工智能|云计算|芯片报告|智慧城市|移动互联网|会展
首页 >> 移动互联网旧 >> 正文

超强勒索病毒GandCrab再现新版5.3 躲避警方出新招

2019年4月25日 13:51  CCTIME飞象网  

  近日,瑞星安全专家捕获到最新勒索病毒GandCrab 5.3变种,此版本延续了5.2版本的主要技术,用户一旦中毒文件将无法打开,同时桌面背景图片会被修改为勒索信息,需要交纳赎金才可解密。而此次5.3版本与之前最大的不同之处在于,攻击者将暗网缴纳赎金方式改为通过邮件联系缴纳赎金,这极有可能是为了躲避警方的追查。

  图:勒索信息支付赎金方式改为邮件

  瑞星安全专家分析攻击者此次修改的原因有两种可能,第一种是部分受害者不知道如何访问病毒作者留下的暗网地址,所以无法与病毒作者取得联系,导致无法缴纳赎金;另一种情况是GandCrab 5.2之前版本的解密密钥托管在暗网服务器中,被欧洲多国警方合作追踪到了控制服务器,从而获取到了托管在服务器中的解密密钥,因此攻击者要求通过邮箱联系,可能是躲避追查。

  瑞星公司提醒广大用户切勿点击陌生邮件,安装有效杀毒软件,以防被勒索病毒攻击。目前,瑞星所有个人及企业级产品均可对GandCrab 5.3勒索病毒进行查杀,瑞星之剑(下载地址:http://www.rising.com.cn/j/)可以有效拦截该勒索病毒。

  图:瑞星ESM与瑞星之剑拦截查杀截图

  技术分析

  勒索病毒GandCrab 5.3运行后获取当前计算机语言,与病毒内置语言列表中的语言进行对比,如果本机语言在列表中则退出,不执行加密操作。

  图:判断计算机语言

  病毒会结束指定进程,防止文件被占用无法加密,主要是针对数据库和办公软件的进程。

  图:查找指定进程

  解密出RSA公钥,此公钥和之前捕获的V5.2版本的公钥相同。

  图:解密出RSA公钥

  获取本机用户名、操作系统版本、计算机语言、磁盘剩余空间等信息,追加上勒索版本V5.3。

  图:获取的本机信息

  使用RC4算法将获取到的本机信息加密,发送给控制服务器用于统计感染量。

  图:加密后的本机信息

  在做好准备工作之后,病毒会创建线程开始加密文件。

  图:创建线程加密

  遍历磁盘中的文件。

  图:遍历文件

  加密时排除一些文件和文件夹,防止系统无法正常运行。

  图:排除指定文件

  文件的内容被Salsa20算法加密,文件名被追加上随机后缀。

  图:被加密文件

  删除系统自带的卷影备份。

  图:删除卷影备份

  修改桌面背景图片,显示勒索信息。

  图:修改桌面背景

  图:修改后的桌面背景

  加密完成后退出,并调用cmd删除自身文件。

  图:删除自身文件

  防范措施:

  1、不打开陌生或可疑邮件,不下载邮件附件。

  2、浏览网页时不下载运行可疑程序。

  3、及时更新系统、漏洞补丁。

  4、不使用弱口令密码。

  5、多台机器不使用相同密码。

  6、安装杀毒软件及时更新病毒库。

  7、安装防勒索软件,防止未知病毒变种加密文件。

编 辑:T01
声明:刊载本文目的在于传播更多行业信息,本站只提供参考并不构成任何投资及应用建议。如网站内容涉及作品版权和其它问题,请在30日内与本网联系,我们将在第一时间删除内容。本站联系电话为86-010-87765777,邮件后缀为#cctime.com,冒充本站员工以任何其他联系方式,进行的“内容核实”、“商务联系”等行为,均不能代表本站。本站拥有对此声明的最终解释权。
相关新闻              
 
人物
工信部张云明:大部分国家新划分了中频段6G频谱资源
精彩专题
专题丨“汛”速出动 共筑信息保障堤坝
2023MWC上海世界移动通信大会
中国5G商用四周年
2023年中国国际信息通信展览会
CCTIME推荐
关于我们 | 广告报价 | 联系我们 | 隐私声明 | 本站地图
CCTIME飞象网 CopyRight © 2007-2024 By CCTIME.COM
京ICP备08004280号-1  电信与信息服务业务经营许可证080234号 京公网安备110105000771号
公司名称: 北京飞象互动文化传媒有限公司
未经书面许可,禁止转载、摘编、复制、镜像