GandCrab Ransomware: täydellinen opas

GandCrab on kiristysohjelmavariantti, joka nähtiin ensimmäisen kerran kyberturvallisuusympäristössä vuoden 2018 alussa. Ransomware-hyökkäykset sisältävät tiedostojen salaamisen uhrin järjestelmässä, mikä pakottaa hänet maksamaan lunnaita salauksenpurkuavaimesta. Tämä kiristysohjelma tunnetaan laajasta kohdistamisestaan ​​tiedostotyyppeihin, mikä tekee useista tiedostoista uhrin ulottumattomissa. GandCrab on ollut osallisena useissa korkean profiilin hyökkäyksissä, jotka ovat vaikuttaneet yksilöihin, yrityksiin ja jopa valtion organisaatioihin. Dynaamisena ja kehittyvänä uhkana GandCrab on käynyt läpi useita versioita ja päivityksiä ilmaantumisensa jälkeen. Nämä päivitykset esittelevät uusia ominaisuuksia ja kiertotekniikoita, jotka osoittavat sen kehittäjien mukautumiskyvyn suojaustoimenpiteisiin. Tämä jatkuva kehitys asettaa haasteen kyberturvallisuuspyrkimyksille, joilla pyritään torjumaan tehokkaasti kiristysohjelmia.

SalvageDatan asiantuntijat suosittelevat ennakoivia tietoturvatoimenpiteitä, kuten säännöllistä varmuuskopiointia, vahvoja kyberturvallisuuskäytäntöjä ja ohjelmistojen pitämistä ajan tasalla suojatakseen kiristysohjelmahyökkäyksiä. Ja,ransomware-hyökkäyksen sattuessa ota välittömästi yhteyttä kiristysohjelmien palautusasiantuntijoihimme.

Kaikki mitä tiedämme GandCrab Ransomwaresta

GandCrab on kehittynyt useiksi versioiksi, mukaan lukien GandCrab V2.0, GandCrab 3, GandCrab V5.0, GandCrab 5.0.2, GandCrab V5.0.3, GandCrab 5.0.4, GandCrab 5.0.5, GandCrab 5.0.5, GandCrab 5.0.5, GandCrab .8, .5. GandCrab 5.0.9, GandCrab 5.1.0, GandCrab 5.1.4, GandCrab 5.1.5 ja GandCrab V5.1.6. Versioiden moninaisuudesta huolimatta niiden peruskäyttäytyminen pysyy yhtenäisenä. Tärkeimmät erot ovat salattuihin tiedostoihin lisätty tiedostopääte, lunnaiden sisältö, verkkosivustojen suunnittelu, lunnaiden määrät ja käytetty kryptovaluuttalompakko. Nämä hienovaraiset erot auttavat tunnistamaan ja erottamaan GandCrab ransomware -perheen kaikki iteraatiot.Vahvistettu nimi

• GandCrab virus

Uhkatyyppi

• Ransomware
• Kryptovirus
• Tiedostojen kaappi
• Kaksinkertainen kiristys

Onko saatavilla ilmaista salauksenpurkuohjelmaa?Onsalauksen purkutyökalut joillekin GandCrab ransomware -versioille(V1, V4, V5). Voit tunnistaa nämä versiot tiedostopäätteestä:

• .GDCB
• .GDCB
• .RAPU
• .KRAB
• .UKCZA
• .YIAQDG
• .CQXGPMKNR
• .HHFEHIOL

Jakelumenetelmät

• Tietojenkalasteluviestit
• Haavoittuvuuksien hyödyntäminen
• Heikot tai oletussalasanat Remote Desktop Protocolissa (RDP)

Seuraukset

• Tiedostot salataan ja lukitaan lunnaiden maksuun asti
• Tietovuoto
• Kaksinkertainen kiristys

Mitä ovat GandCrab lunnasohjelma IOC:t

Indicators of Compromise (IOC) ovat digitaalisia vihjeitä, joita kyberturvallisuusammattilaiset käyttävät tunnistaakseen järjestelmän vaarantumisen ja haitallisen toiminnan verkossa tai IT-ympäristössä. Kun IOC havaitaan, turvallisuusryhmät arvioivat mahdollisia uhkia tai vahvistavat sen aitouden. IOC:t tarjoavat myös todisteita siitä, mihin hyökkääjällä oli pääsy, jos he soluttautuivat verkkoon. Ne ovat pohjimmiltaan digitaalisia versioita todisteista, jotka on jätetty rikospaikalle, ja mahdollisia IOC:itä ovat epätavallinen verkkoliikenne, etuoikeutettujen käyttäjien kirjautumiset ulkomailta, outoja DNS-pyyntöjä, järjestelmätiedostojen muutoksia ja paljon muuta.GandCrab-kohtaisia ​​IOC:ita ovat: tiedostopolut ja nimet

• %Application Data%Microsoft{6 random character}.exe

Rekisterimerkintä:

• HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
• {11 satunnaista merkkiä} = %Application Data%Microsoft{6 random character}.exe

URL-osoitteet/IP-osoitteet yhdistetty

• Ipv4bot.whatismyipaddress.com
• {Verkkotunnuksen IP-osoite}/curl.php?token=1019
• {ESTETTY}lunnas.bitti, {ESTETTY}ngcomputer.bit, {ESTETTY}ft.bit, {ESTETTY}d32.bit, {ESTETTY}ab.bit

Ransom Huomautus

• Lunnaslappu pudotettiin muodossa {Salattu kansio}GDCB-DECRYPT.txt

GandCrab ransomware -salattu tiedostopääte:

GandCrab-jengillä on useita versioita haittaohjelmistaan, ja jokaisella versiolla on oma laajennus ja järjestelmä salattujen tiedostojen uudelleennimeämiseksi.Versio 1:

• Tiedostotunniste: .GDCB
• Alkaa: —= GANDCRAB =—
• Laajennus: .GDCB

Versio 2:

• Tiedostotunniste: .GDCB
• Alkaa: —= GANDCRAB =—
• Laajennus: .GDCB

Versio 3:

• Tiedostotunniste: .CRAB
• Alkaa: —= GANDCRAB V3 =—
• Laajennus: .CRAB

Versio 4:

• Tiedostotunniste: .KRAB
• Alkaa: —= GANDCRAB V4 =—
• Laajennus: .KRAB

Versio 5:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.0 =—
• Pääte: .UKCZA

Versio 5.0.1:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.0.1 =—
• Laajennus: .YIAQDG

Versio 5.0.2:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.0.2 =—
• Laajennus: .CQXGPMKNR

Versio 5.0.3:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.0.3 =—
• Pääte: .HHFEHIOL

Versio 5.0.4:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.0.4 =—
• Laajennus: .BYACZCZI

Versio 5.0.5:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.0.5 =—
• Laajennus: .KZZXVWMLI

Versio 5.1:

• Tiedostotunniste: .([A-Z]+)
• Alkaa: —= GANDCRAB V5.1 =—
• Laajennus: .IJDHRQJD

GandCrab lunnaat

Huomaa, että lunnaita koskevan huomautuksen todellinen sisältö voi vaihdella GandCrabin eri versioiden välillä, ja hyökkääjät voivat muokata viestejä. Pudotettu seteli sisältää yleensä ohjeet uhrille lunnaiden maksamiseen ja salauksen purkuavaimen hankkimiseen. Alla on esimerkki siitä, miltä GandCrab-lunnaslasku voi näyttää:

Jos huomaat olevasi kiristysohjelmien uhri, ottamalla yhteyttä SalvageDatan kiristysohjelmien poistoasiantuntijoihin saat turvallisen tietojen palautuspalvelun ja kiristysohjelmien poiston hyökkäyksen jälkeen.

Kuinka GandCrab ransomware toimii

GandCrab-lunnasohjelma toimii useiden vaiheiden kautta hyödyntäen erilaisia ​​tekniikoita tunkeutuakseen, salatakseen tiedostoja ja vaatiakseen lunnaita.Tässä on yleiskatsaus GandCrabin tyypillisestä toiminnasta:

Infektio ja toimitus

GandCrab toimitetaan usein haitallisten sähköpostiliitteiden, vaarantuneiden verkkosivustojen hyväksikäyttöpakkausten kautta tai muiden haittaohjelmien pudottamana hyötykuormana. Hyötykuorma viittaa haitalliseen osaan tai koodiin kyberhyökkäyksessä, joka on yleensä suunniteltu suorittamaan haitallisia toimia kohdistetussa järjestelmässä. GandCrab-lunastusohjelman hyötykuorma koostuu haitallisesta suoritettavasta tiedostosta, joka toimitetaan usein sähköpostin liitetiedostojen tai hyödynnettyjen haavoittuvuuksien kautta. Kun järjestelmä on saanut tartunnan, GandCrab voi luoda itsestään kopioita tiettyihin paikkoihin uhrin koneella.

Lisää luettavaa:LockBit Green Ransomware: Täydellinen opas

Automaattinen käynnistys ja pysyvyys

GandCrab muuttaa Windowsin rekisteriä ja lisää merkintöjä, jotka mahdollistavat automaattisen suorituksen, varmistaakseen, että se toimii joka kerta, kun järjestelmä käynnistetään.

Välttely

GandCrab käyttää erilaisia ​​kiertotekniikoita välttääkseen tietoturvaohjelmistojen havaitsemisen ja tutkijoiden analyysin. Se voi lopettaa tietyt prosessit, jotka liittyvät uhrin järjestelmässä käynnissä oleviin virustorjunta- ja tietoturvaohjelmistoihin.

Viestintä Command and Control (C2) -palvelimien kanssa

GandCrab kommunikoi hyökkääjien hallitsemien etäpalvelimien kanssa. Tätä viestintää käytetään tiedon lähettämiseen tartunnan saaneesta järjestelmästä ja joissakin tapauksissa lisäohjeiden vastaanottamiseen.

Tiedostojen salaus

GandCrab tunnistaa ja salaa useita uhrin järjestelmässä olevia tiedostoja käyttämällä vahvaa salausalgoritmia, kuten RSA:ta ja Salsa20:tä, salatakseen tiedostot uhrin järjestelmässä. Se liittää salattuihin tiedostoihin tietyn tiedostotunnisteen (esim. GDCB), mikä osoittaa, että ne eivät ole nyt käytettävissä.

Lunnassetelin pisara

Salausprosessin päätyttyä GandCrab pudottaa lunnaat jokaiseen kansioon, jota asia koskee. Muistiinpano sisältää yleensä ohjeet lunnaiden maksamiseen salauksenpurkuavaimen saamiseksi.Lunaslasku voi sisältää myös tietoja, kuten lunnaiden määrän, maksun määräajan ja kryptovaluuttalompakkoosoitteen maksua varten.Uhreja kehotetaan maksamaan lunnaita kryptovaluuttana (yleensä Bitcoin) saadakseen usein salauksenpurkuavain salauksen purkuavaimella tai korottaa lunnaiden määrää, jos uhrit viivyttelevät maksua.

Kuinka käsitellä GandCrab ransomware -hyökkäystä

Ensimmäinen askel GandCrab-hyökkäyksestä toipumiseen on eristää tartunnan saanut tietokone katkaisemalla se Internetistä ja poistamalla kaikki siihen liitetyt laitteet. Sitten sinun on otettava yhteyttä paikallisiin viranomaisiin. Yhdysvaltojen asukkaiden ja yritysten tapauksessa se onFBIjaInternet Crime Complaint Center (IC3).Jos haluat ilmoittaa kiristysohjelmahyökkäyksestä, sinun on kerättävä kaikki mahdolliset tiedot siitä, mukaan lukien:

• Kuvakaappauksia lunnaitavasta
• Viestintä uhkatoimijoiden kanssa (jos sinulla on niitä)
• Esimerkki salatusta tiedostosta

Kuitenkin, jos haluatota yhteyttä ammattilaisiin, tee sitten mitään.Jätä jokainen tartunnan saanut kone sellaiseksi kuin se onja pyydä anlunnasohjelmien hätäpoistopalvelu. Järjestelmän uudelleenkäynnistäminen tai sammuttaminen voi vaarantaa palautuspalvelun. Reaaliaikaisen järjestelmän RAM-muistin kaappaaminen voi auttaa saamaan salausavaimen, ja dropper-tiedoston, eli haitallista hyötykuormaa suorittavan tiedoston (ohjelmistokoodi tai ohjelmat, jotka suorittavat luvattomia toimintoja kohdejärjestelmässä), saaminen voi olla käänteistä ja johtaa tietojen salauksen purkamiseen tai sen toiminnan ymmärtämiseen.älä poista lunnasohjelmaaja säilytä kaikki todisteet hyökkäyksestä. Se on tärkeäädigitaalinen rikostekninen tutkimusjotta asiantuntijat voivat jäljittää hakkeriryhmän ja tunnistaa heidät. Viranomaiset voivat käyttää tartunnan saaneessa järjestelmässäsi olevia tietojatutkia hyökkäystä ja löytää syyllinen.Kyberhyökkäyksen tutkinta ei eroa muista rikostutkinnoista: se tarvitsee todisteita hyökkääjien löytämiseksi.

1. Ota yhteyttä hätätilannepalvelun tarjoajaasi

Cyber ​​Incident Response on prosessi, jossa vastataan kyberturvallisuushäiriöön ja sitä hallitaan. Incident Response Retainer on palvelusopimus kyberturvallisuuden tarjoajan kanssa, jonka avulla organisaatiot voivat saada ulkopuolista apua kyberturvallisuushäiriöihin. Se tarjoaa organisaatioille jäsenneltyä asiantuntemusta ja tukea tietoturvakumppanin kautta, mikä mahdollistaa nopean ja tehokkaan reagoinnin kybervälikohtauksen aikana. Häiriönvastauksen säilyttäjä tarjoaa organisaatioille mielenrauhan ja tarjoaa asiantuntijatukea ennen kyberturvallisuushäiriötä ja sen jälkeen. Poikkeustilanteiden reagoinnin säilyttäjän erityinen luonne ja rakenne vaihtelevat palveluntarjoajan ja organisaation vaatimusten mukaan. Hyvän tapaturman reagointivälineen tulee olla vankka mutta joustava ja tarjota todistettuja palveluita organisaation pitkän aikavälin turva-asennon parantamiseksi.Jos otat yhteyttä IR-palveluntarjoajaasi, he voivat ottaa haltuunsa välittömästi ja opastaa sinua kaikissa ransomware-palautuksen vaiheissa.Jos kuitenkin päätät poistaa kiristysohjelman itse ja palauttaa tiedostot IT-tiimisi kanssa, voit seurata seuraavia vaiheita.

2. Tunnista kiristysohjelmatartunta

Koneesi tartunnan saaneen kiristysohjelman tunnistaminen voidaan tehdä tarkistamalla tiedostopääte (jotkut kiristysohjelmat käyttävät tiedostotunnistetta nimekseen),käyttämällä ransomware ID -työkalua, tai se on lunnaita. Näiden tietojen avulla voit etsiä julkista salauksenpurkuavainta. Voit myös tarkistaa lunnasohjelman tyypin sen IOC-arvojen perusteella.

3. Poista kiristysohjelma ja poista hyväksikäyttösarjat

Ennen kuin palautat tietosi, sinun on varmistettava, että laitteessasi ei ole kiristysohjelmia ja että hyökkääjät eivät voi tehdä uutta hyökkäystä hyväksikäyttöpakettien tai muiden haavoittuvuuksien kautta. Kiristysohjelmien poistopalvelu voi poistaa kiristysohjelman, luoda rikosteknisen asiakirjan tutkintaa varten, poistaa haavoittuvuuksia ja palauttaa tietosi.

4. Käytä varmuuskopiota tietojen palauttamiseen

Varmuuskopioinnin merkitystä tietojen palauttamisessa ei voi liioitella, varsinkin kun otetaan huomioon erilaiset mahdolliset riskit ja uhat tietojen eheydelle. Varmuuskopiot ovat tärkeä osa kattavaa tietosuojastrategiaa. Ne tarjoavat keinon toipua erilaisista uhista, varmistaa toiminnan jatkuvuuden ja säilyttää arvokasta tietoa. Kiristysohjelmahyökkäyksiä vastaan, joissa haittaohjelmat salaavat tietosi ja vaativat maksua niiden julkaisemisesta, varmuuskopion avulla voit palauttaa tietosi ilman hyökkääjän vaatimuksia. Varmista, että testaat ja päivität varmuuskopiointimenettelysi säännöllisesti, jotta ne suojaavat tehokkaasti mahdollisilta tietojen katoamisskenaarioilta. Varmuuskopion tekemiseen on useita tapoja, joten sinun on valittava oikea varmuuskopiointiväline ja oltava vähintään yksi kopio tiedoistasi tallennettuna off-site-tilassa ja offline-tilassa.

5. Ota yhteyttä kiristysohjelmien palautuspalveluun

Jos sinulla ei ole varmuuskopiota tai tarvitset apua kiristysohjelman poistamiseen ja haavoittuvuuksien poistamiseen, ota yhteyttä tietojen palautuspalveluun. Lunnaiden maksaminen ei takaa, että tietosi palautetaan sinulle. Ainoa taattu tapa palauttaa jokainen tiedosto on, jos sinulla on varmuuskopio. Jos et, ransomware-tietojen palautuspalvelut voivat auttaa sinua purkamaan ja palauttamaan tiedostot. SalvageData-asiantuntijat voivat palauttaa tiedostosi turvallisesti ja estää GandCrabin kiristysohjelmia hyökkäämästä verkkoosi uudelleen. Ota yhteyttä palautusasiantuntijoihimme 24/7.

Estä GandCrab ransomware -hyökkäys

Kiristysohjelmien estäminen on paras ratkaisu tietoturvaan. on helpompaa ja halvempaa kuin niistä toipuminen. GandCrab-lunnasohjelmat voivat maksaa yrityksesi tulevaisuuden ja jopa sulkea sen ovensa. Nämä ovat muutamia vinkkejä, joiden avulla voit varmistaa, ettävälttää lunnasohjelmahyökkäyksiä:

• Pidä ohjelmistot ajan tasalla estääksesi haavoittuvuudet, joita kiristysohjelmat voivat hyödyntää.
• Käytä vahvoja salasanoja ja kaksivaiheista todennusta estääksesi luvattoman pääsyn järjestelmiin.
• Varmuuskopioi säännöllisesti tärkeät tiedostot ja tallenna ne turvalliseen paikkaan.
• Ole varovainen, kun avaat sähköpostin liitteitä tai napsautat tuntemattomista lähteistä peräisin olevia linkkejä.
• Käytä hyvämaineisia virustorjuntaohjelmistoja ja pidä se ajan tasalla.