GandCrab er en ransomware-variant, der først blev set i cybersikkerhedslandskabet i begyndelsen af 2018. Ransomware-angreb involverer kryptering af filer på et offers system, hvilket tvinger dem til at betale en løsesum for dekrypteringsnøglen. Denne ransomware er kendt for sin brede målretning af filtyper, hvilket effektivt gør en bred vifte af filer utilgængelige for offeret. GandCrab har været impliceret i forskellige højprofilerede angreb, der påvirker enkeltpersoner, virksomheder og endda statslige organisationer. Som en dynamisk og udviklende trussel har GandCrab gennemgået flere versioner og opdateringer siden dens fremkomst. Disse opdateringer introducerer nye funktioner og unddragelsesteknikker, der viser udviklernes tilpasningsevne til sikkerhedsforanstaltninger. Denne konstante udvikling udgør en udfordring for cybersikkerhedsindsatsen, der sigter mod effektivt at bekæmpe ransomware.
SalvageData-eksperter anbefaler proaktive datasikkerhedsforanstaltninger, såsom regelmæssig sikkerhedskopiering, stærk cybersikkerhedspraksis og at holde software opdateret, for at beskytte mod ransomware-angreb. Og,i tilfælde af et ransomware-angreb, skal du straks kontakte vores ransomware-gendannelseseksperter.
Alt, hvad vi ved om GandCrab Ransomware
GandCrab har udviklet sig til flere versioner, herunder GandCrab V2.0, GandCrab 3, GandCrab V5.0, GandCrab 5.0.2, GandCrab V5.0.3, GandCrab 5.0.4, GandCrab 5.0.5, Gand.0.7, Gand.0.7, Gand.0. GandCrab 5.0.9, GandCrab 5.1.0, GandCrab 5.1.4, GandCrab 5.1.5 og GandCrab V5.1.6. På trods af mangfoldigheden i versioner forbliver deres grundlæggende adfærd konsekvent. De vigtigste forskelle omfatter filtypenavnet føjet til krypterede filer, indholdet af løsesum-beskeder, webstedsdesign, løsesum og den anvendte cryptocurrency-pung. Disse subtile forskelle hjælper med at identificere og skelne hver iteration inden for GandCrab ransomware-familien.Bekræftet navn
- GandCrab virus
Trusselstype
- Ransomware
- Krypto virus
- Filer skab
- Dobbelt afpresning
Er der en gratis decryptor tilgængelig?Der erdekrypteringsværktøjer til nogle GandCrab ransomware-varianter(V1, V4, V5). Du kan identificere disse varianter ved filtypenavnet:
- .GDCB
- .GDCB
- .KRABBE
- .KRAB
- .UKCZA
- .YIAQDG
- .CQXGPMKNR
- .HHFEHIOL
Fordelingsmetoder
- Phishing-e-mails
- Udnyttelse af sårbarheder
- Svage eller standardadgangskoder på Remote Desktop Protocol (RDP)
Konsekvenser
- Filer er krypteret og låst indtil løsesumsbetalingen
- Datalæk
- Dobbelt afpresning
Hvad er GandCrab ransomware IOC'er
Indikatorer for kompromis (IOC'er) er digitale spor, cybersikkerhedsprofessionelle bruger til at identificere systemkompromiser og ondsindede aktiviteter inden for et netværk eller it-miljø. Når en IOC opdages, evaluerer sikkerhedsteams mulige trusler eller validerer dens ægthed. IOC'er giver også bevis for, hvad en angriber havde adgang til, hvis de infiltrerede netværket. De er i det væsentlige digitale versioner af bevismateriale, der er efterladt på et gerningssted, og potentielle IOC'er omfatter usædvanlig netværkstrafik, privilegerede brugerlogin fra fremmede lande, mærkelige DNS-anmodninger, systemfilændringer og mere.GandCrab-specifikke IOC'er inkluderer: Filstier og navne
- %Application Data%Microsoft{6 random character}.exe
registrering i registreringsdatabasen:
- HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
- {11 random characters} = %Application Data%Microsoft{6 random character}.exe
URL'er/IP'er tilsluttet
- Ipv4bot.whatismyipaddress.com
- {IP Address of domain}/curl.php?token=1019
- {BLOCKED}ransom.bit, {BLOCKED}ngcomputer.bit, {BLOCKED}ft.bit, {BLOCKED}d32.bit, {BLOCKED}ab.bit
Løsebeløbsnotat
- Løsebeløbsnota blev slettet som {Encrypted folder}GDCB-DECRYPT.txt
GandCrab ransomware krypteret filtypenavn:
GandCrab-banden har mange versioner af deres malware, og hver version har sin egen udvidelse og system til at omdøbe de krypterede filer.Version 1:
- Filtypenavn: .GDCB
- Starter med: —= GANDCRAB =—
- Udvidelsen: .GDCB
Version 2:
- Filtypenavn: .GDCB
- Starter med: —= GANDCRAB =—
- Udvidelsen: .GDCB
Version 3:
- Filtypenavn: .CRAB
- Starter med: —= GANDCRAB V3 =—
- Udvidelsen: .CRAB
Version 4:
- Filtypenavn: .KRAB
- Starter med: —= GANDCRAB V4 =—
- Tilbygningen: .KRAB
Version 5:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.0 =—
- Udvidelsen: .UKCZA
Version 5.0.1:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.0.1 =—
- Udvidelsen: .YIAQDG
Version 5.0.2:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.0.2 =—
- Udvidelsen: .CQXGPMKNR
Version 5.0.3:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.0.3 =—
- Udvidelsen: .HHFEHIOL
Version 5.0.4:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.0.4 =—
- Udvidelsen: .BYACZCZI
Version 5.0.5:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.0.5 =—
- Udvidelsen: .KZZXVWMLI
Version 5.1:
- Filtypenavn: .([A-Z]+)
- Starter med: —= GANDCRAB V5.1 =—
- Udvidelsen: .IJDHRQJD
GandCrab løsesum note
Bemærk venligst, at det faktiske indhold af løsesumsedlen kan variere mellem forskellige versioner af GandCrab, og angribere kan tilpasse beskederne. Den tabte seddel indeholder typisk instruktioner til offeret om, hvordan man betaler løsesummen og får dekrypteringsnøglen. Nedenfor er et eksempel på, hvordan en GandCrab løsesumseddel kan se ud:
Hvis du indser, at du er et ransomware-offer, kan du få en sikker datagendannelsestjeneste og ransomwarefjernelse efter et angreb ved at kontakte SalvageData ransomware-fjernelseseksperter.
Hvordan virker GandCrab ransomware
GandCrab ransomware fungerer gennem en række trin og udnytter forskellige teknikker til at infiltrere, kryptere filer og kræve løsesum. Her er en oversigt over, hvordan GandCrab typisk fungerer:
Infektion og levering
GandCrab leveres ofte gennem ondsindede vedhæftede filer i e-mails, udnyttelsessæt på kompromitterede websteder eller som en nyttelast, der falder af anden malware. En nyttelast refererer til den ondsindede komponent eller kode i et cyberangreb, der typisk er designet til at udføre skadelige handlinger på et målrettet system. Nyttelasten af GandCrab ransomware består af en ondsindet eksekverbar fil, ofte leveret via e-mail-vedhæftede filer eller udnyttede sårbarheder. Når et system er inficeret, kan GandCrab skabe kopier af sig selv på bestemte steder på ofrets maskine.
Mere læsning:LockBit Green Ransomware: Den komplette guide
Autostart og vedholdenhed
For at sikre, at det kører, hver gang systemet starter, ændrer GandCrab Windows-registreringsdatabasen og tilføjer poster, der aktiverer automatisk udførelse.
Omgåelse
GandCrab anvender forskellige unddragelsesteknikker for at undgå opdagelse af sikkerhedssoftware og analyser af forskere. Det kan afslutte specifikke processer relateret til antivirus- og sikkerhedssoftware, der kører på ofrets system.
Kommunikation med Command and Control (C2) servere
GandCrab kommunikerer med fjernservere styret af angriberne. Denne kommunikation bruges til at sende information om det inficerede system og i nogle tilfælde til at modtage yderligere instruktioner.
Filkryptering
GandCrab identificerer og krypterer en lang række filer på offerets system ved hjælp af en stærk krypteringsalgoritme, såsom RSA og Salsa20, til at kryptere filer på offerets system. Den tilføjer en specifik filtypenavn (f.eks. GDCB) til de krypterede filer, hvilket indikerer, at de nu er utilgængelige.
Dråben af løsesumsedlen
Efter at have fuldført krypteringsprocessen, dropper GandCrab en løsesumseddel i hver berørt mappe. Sedlen indeholder typisk instruktioner om, hvordan man betaler løsesummen for at få dekrypteringsnøglen. Løsesedlen kan også indeholde detaljer såsom løsesummen, en deadline for betaling og cryptocurrency wallet-adressen for betaling. Ofre instrueres i at betale en løsesum i cryptocurrency (almindeligvis bitcoinnøgle) for at udvikle truslen og dekrypteres ofte permanent. dekrypteringsnøgle eller øge løsesummen, hvis ofrene forsinker betalingen.
Sådan håndteres et GandCrab ransomware-angreb
Det første skridt til at komme sig efter et GandCrab-angreb er at isolere den inficerede computer ved at afbryde den fra internettet og fjerne enhver tilsluttet enhed. Derefter skal du kontakte de lokale myndigheder. I tilfælde af amerikanske indbyggere og virksomheder er detFBIog denInternet Crime Complaint Center (IC3).For at rapportere et ransomware-angreb skal du indsamle alle de oplysninger, du kan om det, herunder:
- Skærmbilleder af løsesumsedlen
- Kommunikation med trusselsaktører (hvis du har dem)
- Et eksempel på en krypteret fil
Men hvis du foretrækker detkontakte fagfolk, så gør ingenting.Lad enhver inficeret maskine være som den erog bede om ennødhjælpstjeneste til fjernelse af ransomware. Genstart eller lukning af systemet kan kompromittere gendannelsestjenesten. Indfangning af RAM i et live-system kan hjælpe med at få krypteringsnøglen, og at fange en dropper-fil, dvs. fil, der udfører den ondsindede nyttelast (en softwarekode eller programmer, der udfører uautoriserede handlinger på et målsystem), kan blive omvendt og føre til dekryptering af data eller forståelse af, hvordan det fungerer.ikke slette ransomwaren, og gem alle beviser for angrebet. Det er vigtigt fordigital retsmedicinså eksperter kan spore tilbage til hackergruppen og identificere dem. Det er ved at bruge dataene på dit inficerede system, at myndigheder kanefterforske angrebet og finde den ansvarlige.En efterforskning af cyberangreb adskiller sig ikke fra enhver anden kriminel efterforskning: den kræver beviser for at finde angriberne.
1. Kontakt din Incident Response-udbyder
En cyberhændelsesreaktion er processen med at reagere på og håndtere en cybersikkerhedshændelse. An Incident Response Retainer er en serviceaftale med en cybersikkerhedsudbyder, der giver organisationer mulighed for at få ekstern hjælp til cybersikkerhedshændelser. Det giver organisationer struktureret ekspertise og support gennem en sikkerhedspartner, hvilket gør dem i stand til at reagere hurtigt og effektivt under en cyberhændelse. En hændelsesretainer giver organisationer ro i sindet og tilbyder ekspertsupport før og efter en cybersikkerhedshændelse. En hændelsesberedskabsholders specifikke karakter og struktur vil variere afhængigt af udbyderen og organisationens krav. En god hændelsesretainer bør være robust, men fleksibel, og levere dokumenterede tjenester til at forbedre en organisations langsigtede sikkerhedsposition.Hvis du kontakter din IR-tjenesteudbyder, kan de tage over med det samme og guide dig gennem hvert trin i gendannelsen af ransomware.Men hvis du beslutter dig for selv at fjerne ransomwaren og gendanne filerne med dit it-team, så kan du følge de næste trin.
2. Identificer ransomware-infektionen
At identificere, hvilken ransomware, der inficerede din maskine, kan gøres ved at kontrollere filtypenavnet (nogle ransomware bruger filtypenavnet som deres navn),ved hjælp af et ransomware-id-værktøj, eller det vil stå på løsesummen. Med disse oplysninger kan du lede efter en offentlig dekrypteringsnøgle. Du kan også tjekke ransomware-typen ved dens IOC'er.
3. Fjern ransomware og eliminer udnyttelsessæt
Før du gendanner dine data, skal du garantere, at din enhed er ransomware-fri, og at angriberne ikke kan foretage et nyt angreb gennem udnyttelsessæt eller andre sårbarheder. En tjeneste til fjernelse af ransomware kan slette ransomwaren, oprette et retsmedicinsk dokument til undersøgelse, fjerne sårbarheder og gendanne dine data.
4. Brug en sikkerhedskopi til at gendanne dataene
Betydningen af sikkerhedskopiering til datagendannelse kan ikke overvurderes, især i forbindelse med forskellige potentielle risici og trusler mod dataintegriteten. Sikkerhedskopier er en kritisk komponent i en omfattende databeskyttelsesstrategi. De giver et middel til at komme sig fra en række forskellige trusler, sikrer kontinuitet i operationer og bevarer værdifuld information. I lyset af ransomware-angreb, hvor ondsindet software krypterer dine data og kræver betaling for deres frigivelse, giver en sikkerhedskopi dig mulighed for at gendanne dine oplysninger uden at give efter for angriberens krav. Sørg for regelmæssigt at teste og opdatere dine sikkerhedskopieringsprocedurer for at forbedre deres effektivitet til at beskytte mod potentielle datatabsscenarier. Der er flere måder at lave en backup på, så du skal vælge det rigtige backup-medium og have mindst én kopi af dine data gemt offsite og offline.
5. Kontakt en ransomware-gendannelsestjeneste
Hvis du ikke har en sikkerhedskopi eller har brug for hjælp til at fjerne ransomware og eliminere sårbarheder, skal du kontakte en datagendannelsestjeneste. At betale løsesummen garanterer ikke, at dine data vil blive returneret til dig. Den eneste garanterede måde, du kan gendanne hver fil på, er, hvis du har en sikkerhedskopi. Hvis du ikke gør det, kan ransomware-datagendannelsestjenester hjælpe dig med at dekryptere og gendanne filerne.SalvageData-eksperter kan sikkert gendanne dine filer og forhindre GandCrab ransomware i at angribe dit netværk igen, kontakt vores gendannelseseksperter 24/7.
Forebyg GandCrab ransomware-angrebet
Forebyggelse af ransomware er den bedste løsning til datasikkerhed. er nemmere og billigere end at komme sig fra dem. GandCrab ransomware kan koste din virksomheds fremtid og endda lukke dens døre. Dette er et par tips til at sikre, at du kanundgå ransomware-angreb:
- Hold software opdateret for at forhindre sårbarheder, der kan udnyttes af ransomware.
- Brug stærke adgangskoder og to-faktor-godkendelse for at forhindre uautoriseret adgang til systemer.
- Sikkerhedskopier regelmæssigt vigtige filer og gem dem på et sikkert sted.
- Vær forsigtig, når du åbner vedhæftede filer i e-mails eller klikker på links fra ukendte kilder.
- Brug velrenommeret antivirussoftware og hold det opdateret.
