瑞星预警：GandCrab勒索病毒持续更新呈爆发趋势

2018-12-19

2018年12月以来，瑞星安全专家发现感染GandCrab 5.0.4版本勒索病毒的用户逐渐增多，用户中毒后文件无法打开，桌面背景图片被修改为勒索信息，同时，桌面会自动生成一个勒索文档，要求受害者访问指定网站支付赎金才可以解密文件。早期版本的GandCrab勒索病毒文件后缀会被追加上CRAB、GRAB、KRAB等后缀，最新版本的勒索病毒使用随机后缀。

2018年12月以来，瑞星安全专家发现感染GandCrab 5.0.4版本勒索病毒的用户逐渐增多，用户中毒后文件无法打开，桌面背景图片被修改为勒索信息，同时，桌面会自动生成一个勒索文档，要求受害者访问指定网站支付赎金才可以解密文件。早期版本的GandCrab勒索病毒文件后缀会被追加上CRAB、GRAB、KRAB等后缀，最新版本的勒索病毒使用随机后缀。

图：勒索信息

GandCrab勒索病毒的版本号从年初的V1一直更新到了V5，从V4开始GandCrab勒索病毒变得异常活跃，持续更新了4.0、4.1、4.2、4.3、4.4 、5.0.1、5.0.2、5.0.3、5.0.4、5.0.5等版本，极大地增加了追踪难度。

Gandcrab是首个以达世币（DASH）作为赎金的勒索病毒，此病毒自出现以来持续更新对抗查杀。从新版本勒索声明上看没有直接指明赎金类型及金额，而是要求受害用户使用Tor网络或者Jabber即时通讯软件获得下一步行动指令。

随着版本的不断更新，Gandcrab的传播方式变得多种多样，包括网站挂马、伪装字体更新程序、邮件、漏洞、木马程序等。该家族普遍采用较为复杂的RSA+AES混合加密算法，文件加密后几乎无法解密，最近的几个版本为了提高加密速度，对文件加密的算法开始使用Salsa20算法，秘钥被非对称加密算法加密，若没有病毒作者的私钥，正常方式无法解密，给受害者造成了极大的损失。

对于GandCrab 5.0.4版本勒索病毒，攻击者通过多种方式传播病毒，包括利用弱口令植入exe、通过js脚本释放exe、通过JS脚本内存加载PowerShell代码等，由此可见此病毒除作者之外，还有很多攻击者在想尽办法使用GandCrab勒索进行攻击。

瑞星安全专家提醒广大用户，使用弱口令、不打补丁等方式就是在给攻击者敞开大门。因此除了安装杀毒软件之外，还要及时更新系统补丁，不使用弱口令密码，做好网络隔离，不断提高网络防御等级，才能够彻底避免遭受此类病毒攻击。目前，瑞星公司所有产品均可对其进行拦截。