GandCrab Ransomware: Ghid complet

GandCrab este o variantă de ransomware văzută pentru prima dată în peisajul securității cibernetice la începutul anului 2018. Atacurile ransomware implică criptarea fișierelor pe sistemul unei victime, obligându-le să plătească o răscumpărare pentru cheia de decriptare. Acest ransomware este cunoscut pentru direcționarea largă a tipurilor de fișiere, făcând efectiv o gamă variată de fișiere inaccesibile pentru victimă. GandCrab a fost implicat în diferite atacuri de mare profil, care au afectat indivizi, companii și chiar organizații guvernamentale. Ca o amenințare dinamică și în evoluție, GandCrab a suferit mai multe versiuni și actualizări de la apariția sa. Aceste actualizări introduc noi funcții și tehnici de evaziune, arătând adaptabilitatea dezvoltatorilor săi la măsurile de securitate. Această evoluție constantă reprezintă o provocare pentru eforturile de securitate cibernetică care vizează combaterea eficientă a ransomware-ului.

Experții SalvageData recomandă măsuri proactive de securitate a datelor, cum ar fi backup-uri regulate, practici puternice de securitate cibernetică și menținerea la zi a software-ului, pentru a proteja împotriva atacurilor ransomware. Şi,în cazul unui atac ransomware, contactați imediat experții noștri în recuperare de ransomware.

Tot ce știm despre GandCrab Ransomware

GandCrab a evoluat în mai multe versiuni, inclusiv GandCrab V2.0, GandCrab 3, GandCrab V5.0, GandCrab 5.0.2, GandCrab V5.0.3, GandCrab 5.0.4, GandCrab 5.0.5, GandCrab 5.0.7, GandCrab 5.0.5.8, GandCrab 5.0.90. GandCrab 5.1.4, GandCrab 5.1.5 și GandCrab V5.1.6. În ciuda diversității versiunilor, comportamentul lor fundamental rămâne consecvent. Principalele diferențe includ extensia de fișier adăugată fișierelor criptate, conținutul mesajelor de răscumpărare, designul site-urilor web, sumele de răscumpărare și portofelul de criptomonede utilizat. Aceste distincții subtile ajută la identificarea și distingerea fiecărei iterații din familia de ransomware GandCrab.Nume confirmat

• Virusul GandCrab

Tipul de amenințare

• Ransomware
• Criptovirus
• Dulapul de fișiere
• Extorcare dublă

Există un decriptor gratuit disponibil?Suntinstrumente de decriptare pentru unele variante de ransomware GandCrab(V1, V4, V5). Puteți identifica aceste variante după extensia fișierului:

• .GDCB
• .GDCB
• .CRAB
• .KRAB
• .UKCZA
• .YIAQDG
• .CQXGPMKNR
• .HHFEHIOL

Metode de distribuire

• E-mailuri de phishing
• Exploatarea vulnerabilităților
• Parole slabe sau implicite pe Remote Desktop Protocol (RDP)

Consecințele

• Fișierele sunt criptate și blocate până la plata răscumpărării
• Scurgere de date
• Extorcare dublă

Ce sunt IOC-urile ransomware GandCrab

Indicatorii de compromis (IOC) sunt indicii digitale pe care profesioniștii în securitate cibernetică le folosesc pentru a identifica compromisurile de sistem și activitățile rău intenționate într-o rețea sau un mediu IT. Când un IOC este detectat, echipele de securitate evaluează posibilele amenințări sau validează autenticitatea acestuia. IOC-urile furnizează, de asemenea, dovezi despre la ce avea acces un atacator dacă s-a infiltrat în rețea. Sunt în esență versiuni digitale ale dovezilor lăsate la locul crimei, iar potențialele IOC includ trafic neobișnuit de rețea, autentificări privilegiate ale utilizatorilor din țări străine, solicitări DNS ciudate, modificări ale fișierelor de sistem și multe altele.IOC-urile specifice GandCrab includ: Căile și numele fișierelor

• %Application Data%Microsoft{6 random character}.exe

Intrare în registru:

• HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
• {11 caractere aleatorii} = %Application Data%Microsoft{6 random characters}.exe

URL-uri/IP-uri conectate

• Ipv4bot.whatismyipaddress.com
• {Adresa IP a domeniului}/curl.php?token=1019
• {BLOCKED}ransom.bit, {BLOCKED}ngcomputer.bit, {BLOCKED}ft.bit, {BLOCKED}d32.bit, {BLOCKED}ab.bit

Notă de răscumpărare

• Nota de răscumpărare a fost eliminată ca {Dosar criptat}GDCB-DECRYPT.txt

Extensie de fișier criptată GandCrab ransomware:

GandCrab band are multe versiuni ale programelor lor malware și fiecare versiune are propria extensie și sistem pentru a redenumi fișierele criptate.Versiunea 1:

• Extensie fișier: .GDCB
• Începe cu: —= GANDCRAB =—
• Extensia: .GDCB

Versiunea 2:

• Extensie fișier: .GDCB
• Începe cu: —= GANDCRAB =—
• Extensia: .GDCB

Versiunea 3:

• Extensie fișier: .CRAB
• Începe cu: —= GANDCRAB V3 =—
• Extensia: .CRAB

Versiunea 4:

• Extensie fișier: .KRAB
• Începe cu: —= GANDCRAB V4 =—
• Extensia: .KRAB

Versiunea 5:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.0 =—
• Extensia: .UKCZA

Versiunea 5.0.1:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.0.1 =—
• Extensia: .YIAQDG

Versiunea 5.0.2:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.0.2 =—
• Extensia: .CQXGPMKNR

Versiunea 5.0.3:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.0.3 =—
• Extensia: .HHFEHIOL

Versiunea 5.0.4:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.0.4 =—
• Extensia: .BYACZCZI

Versiunea 5.0.5:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.0.5 =—
• Extensia: .KZZXVWMLI

Versiunea 5.1:

• Extensie fișier: .([A-Z]+)
• Începe cu: —= GANDCRAB V5.1 =—
• Extensia: .IJDHRQJD

Notă de răscumpărare GandCrab

Vă rugăm să rețineți că conținutul real al notei de răscumpărare poate varia între diferitele versiuni ale GandCrab, iar atacatorii pot personaliza mesajele. Nota trimisă conține de obicei instrucțiuni pentru victimă despre cum să plătească răscumpărarea și să obțină cheia de decriptare. Mai jos este un exemplu despre cum ar putea arăta o notă de răscumpărare GandCrab:

Dacă îți dai seama că ești o victimă a ransomware-ului, contactând experții în eliminarea ransomware-ului SalvageData îți oferă un serviciu sigur de recuperare a datelor și eliminarea ransomware-ului după un atac.

Cum funcționează ransomware-ul GandCrab

Ransomware-ul GandCrab funcționează printr-o serie de pași, utilizând diverse tehnici pentru a se infiltra, a cripta fișierele și a solicita o răscumpărare. Iată o prezentare generală a modului în care funcționează de obicei GandCrab:

Infecție și naștere

GandCrab este adesea livrat prin atașamente de e-mail rău intenționate, kituri de exploatare pe site-uri web compromise sau ca o sarcină utilă eliminată de alte programe malware. O sarcină utilă se referă la componenta sau codul rău intenționat dintr-un atac cibernetic, de obicei conceput pentru a executa acțiuni dăunătoare pe un sistem vizat. Sarcina utilă a ransomware-ului GandCrab constă dintr-un fișier executabil rău intenționat, adesea livrat prin atașamente de e-mail sau prin vulnerabilități exploatate. Odată ce un sistem este infectat, GandCrab poate crea copii ale lui însuși în anumite locații de pe computerul victimei.

Mai multe lecturi:LockBit Green Ransomware: Ghidul complet

Autostart și persistență

Pentru a se asigura că rulează de fiecare dată când sistemul pornește, GandCrab modifică Registrul Windows, adăugând intrări care permit execuția automată.

Evaziune

GandCrab folosește diverse tehnici de evaziune pentru a evita detectarea de către software-ul de securitate și analiza de către cercetători. Poate încheia procese specifice legate de antivirus și software de securitate care rulează pe sistemul victimei.

Comunicarea cu serverele de comandă și control (C2).

GandCrab comunică cu serverele de la distanță controlate de atacatori. Această comunicare este folosită pentru a trimite informații despre sistemul infectat și, în unele cazuri, pentru a primi instrucțiuni suplimentare.

Criptarea fișierelor

GandCrab identifică și criptează o gamă largă de fișiere de pe sistemul victimei, folosind un algoritm de criptare puternic, cum ar fi RSA și Salsa20, pentru a cripta fișierele de pe sistemul victimei. Adaugă o anumită extensie de fișier (de exemplu, GDCB) la fișierele criptate, indicând că acestea sunt acum inaccesibile.

Scăderea biletului de răscumpărare

După finalizarea procesului de criptare, GandCrab trimite o notă de răscumpărare în fiecare folder afectat. Nota conține de obicei instrucțiuni despre cum să plătească răscumpărarea pentru a obține cheia de decriptare. Nota de răscumpărare poate include, de asemenea, detalii cum ar fi suma răscumpărării, un termen limită pentru plată și adresa portofelului criptomonedei pentru plată. Victimele sunt instruite să plătească o răscumpărare în criptomonedă (de obicei Bitcoin) pentru a obține cheia de decriptare. întârzierea plății.

Cum să gestionați un atac ransomware GandCrab

Primul pas pentru a vă recupera de la un atac GandCrab este izolarea computerului infectat prin deconectarea lui de la internet și eliminarea oricărui dispozitiv conectat. Apoi, trebuie să contactați autoritățile locale. În cazul rezidenților și întreprinderilor din SUA, este vorba deFBIiar celCentrul de reclamații privind infracțiunile pe internet (IC3).Pentru a raporta un atac ransomware, trebuie să adunați toate informațiile pe care le puteți despre acesta, inclusiv:

• Capturi de ecran ale notei de răscumpărare
• Comunicarea cu actorii amenințărilor (dacă îi aveți)
• O mostră dintr-un fișier criptat

Cu toate acestea, dacă preferațicontactați profesioniști, atunci nu faci nimic.Lăsați fiecare mașină infectată așa cum estesi cere unserviciu de eliminare de urgență a ransomware. Repornirea sau oprirea sistemului poate compromite serviciul de recuperare. Capturarea memoriei RAM a unui sistem activ poate ajuta la obținerea cheii de criptare și capturarea unui fișier dropper, adică fișierul care execută încărcătura utilă rău intenționată (un cod software sau programe care execută acțiuni neautorizate pe un sistem țintă), ar putea fi proiectată invers și să conducă la decriptarea datelor sau la înțelegerea modului în care funcționează. Trebuie sănu ștergeți ransomware-ulși păstrați toate dovezile atacului. Asta este important pentrucriminalistica digitalaastfel încât experții să poată urmări până la grupul de hackeri și să-i identifice. Autoritățile pot folosi datele de pe sistemul dumneavoastră infectatinvestigați atacul și găsiți vinovatul.O investigație de atac cibernetic nu este diferită de orice altă anchetă penală: are nevoie de dovezi pentru a găsi atacatorii.

1. Contactați furnizorul dvs. de răspuns la incident

Un răspuns la incident cibernetic este procesul de răspuns și de gestionare a unui incident de securitate cibernetică. An Incident Response Retainer este un acord de servicii cu un furnizor de securitate cibernetică care permite organizațiilor să obțină ajutor extern cu incidentele de securitate cibernetică. Oferă organizațiilor expertiză și asistență structurată printr-un partener de securitate, permițându-le să răspundă rapid și eficient în timpul unui incident cibernetic. Natura și structura specifică a unui reținător de răspuns la incident va varia în funcție de furnizor și de cerințele organizației. O bună menținere a răspunsului la incident ar trebui să fie robustă, dar flexibilă, oferind servicii dovedite pentru a îmbunătăți postura de securitate pe termen lung a unei organizații.Dacă contactați furnizorul dvs. de servicii IR, acesta vă poate prelua imediat și vă poate ghida prin fiecare pas al recuperării ransomware.Cu toate acestea, dacă decideți să eliminați singur ransomware-ul și să recuperați fișierele cu echipa IT, atunci puteți urma pașii următori.

2. Identificați infecția ransomware

Identificarea ransomware-ului care v-a infectat aparatul se poate face verificând extensia fișierului (unele ransomware folosesc extensia de fișier ca nume),folosind un instrument de identificare a ransomware, sau va fi pe nota de răscumpărare. Cu aceste informații, puteți căuta o cheie publică de decriptare. De asemenea, puteți verifica tipul de ransomware după IOC-urile sale.

3. Eliminați ransomware-ul și eliminați kiturile de exploatare

Înainte de a vă recupera datele, trebuie să vă garantați că dispozitivul dumneavoastră nu conține ransomware și că atacatorii nu pot face un nou atac prin truse de exploatare sau alte vulnerabilități. Un serviciu de eliminare a ransomware-ului poate șterge ransomware-ul, poate crea un document criminalistic pentru investigare, poate elimina vulnerabilitățile și poate recupera datele.

4. Utilizați o copie de rezervă pentru a restaura datele

Importanța backup-ului pentru recuperarea datelor nu poate fi exagerată, mai ales în contextul diferitelor riscuri potențiale și amenințări la adresa integrității datelor. Backup-urile sunt o componentă critică a unei strategii cuprinzătoare de protecție a datelor. Acestea oferă un mijloc de recuperare după o varietate de amenințări, asigurând continuitatea operațiunilor și păstrând informații valoroase. În fața atacurilor de tip ransomware, în care software-ul rău intenționat criptează datele dvs. și solicită plata pentru lansarea acesteia, a avea o copie de rezervă vă permite să vă restaurați informațiile fără a ceda cerințelor atacatorului. Asigurați-vă că testați și actualizați în mod regulat procedurile de backup pentru a le spori eficiența în protejarea împotriva potențialelor scenarii de pierdere a datelor. Există mai multe modalități de a face o copie de rezervă, așa că trebuie să alegeți mediul de rezervă potrivit și să aveți cel puțin o copie a datelor stocate offsite și offline.

5. Contactați un serviciu de recuperare a ransomware

Dacă nu aveți o copie de rezervă sau aveți nevoie de ajutor pentru a elimina ransomware-ul și a elimina vulnerabilitățile, contactați un serviciu de recuperare de date. Plata răscumpărării nu garantează că datele dumneavoastră vă vor fi returnate. Singura modalitate garantată în care puteți restaura fiecare fișier este dacă aveți o copie de rezervă. Dacă nu o faceți, serviciile de recuperare a datelor ransomware vă pot ajuta să decriptați și să recuperați fișierele. Experții SalvageData vă pot restaura în siguranță fișierele și pot împiedica ransomware-ul GandCrab să vă atace din nou rețeaua, contactați experții noștri în recuperare 24/7.

Preveniți atacul ransomware GandCrab

Prevenirea ransomware-ului este cea mai bună soluție pentru securitatea datelor. este mai ușor și mai ieftin decât recuperarea după ele. Ransomware-ul GandCrab poate costa viitorul afacerii dvs. și chiar poate să-i închidă porțile. Acestea sunt câteva sfaturi pentru a vă asigura că putețievita atacurile ransomware:

• Țineți software-ul actualizat pentru a preveni vulnerabilitățile care pot fi exploatate de ransomware.
• Utilizați parole puternice și autentificare cu doi factori pentru a preveni accesul neautorizat la sisteme.
• Salvați în mod regulat fișierele importante și stocați-le într-o locație sigură.
• Fiți precaut când deschideți atașamente de e-mail sau când faceți clic pe linkuri din surse necunoscute.
• Utilizați software antivirus de renume și păstrați-l la zi.