病毒名稱：GandCrab5.0.4變種
病毒性質：勒索病毒
影響范圍：國內已有多個醫(yī)療機構接連受感染
危害等級：高危
傳播方式：通過RDP爆破、郵件、漏洞、垃圾網(wǎng)站掛馬等方式傳播，不具備內網(wǎng)傳播能力。
病毒分析
01
病毒描述
今年以來，GandCrab勒索家族持續(xù)活躍，深信服第一時間預警了GandCrab4.0、GandCrab5.0、GandCrab5.0.3等變種，不久前剛發(fā)預警的GandCrab5.0.3，依然非�；钴S，福建、浙江、山西、吉林、貴州、天津多省份均有感染案例。
近日，我們發(fā)現(xiàn)GandCrab5.0.3已經(jīng)升級到版本GandCrab5.0.4，并有多家醫(yī)療機構因最新變種導致業(yè)務癱瘓。
該變種同樣采用RSA+AES加密算法，將系統(tǒng)中的大部分文檔文件加密為隨機后綴名的文件，然后對用戶進行勒索。
最新變種仍然主要通過RDP爆破、郵件、漏洞、垃圾網(wǎng)站掛馬等方式進行傳播，其自身不具備感染傳播能力，不會主動對局域網(wǎng)的其他設備發(fā)起攻擊，但會加密局域網(wǎng)共享目錄文件夾下的文件。
02
樣本分析
本次5.0.4變種，入侵行為與5.0.3變種相似，具體可參考：緊急預警：流行勒索病毒GandCrab再爆V5.0.3變種！
其功能流程圖也仍然沿用了5.0.3的框架：
在5.0.4這個變種版本，硬編碼了一張圖片，并釋放于被感染主機桌面：
結束進程
遍歷進程，然后結束相關的進程。首先結束安全軟件，實現(xiàn)病毒隱匿：
然后，結束各種應用軟件，包括數(shù)據(jù)庫軟件：
區(qū)域豁免
通過查詢操作系統(tǒng)安裝的輸入法和操作系統(tǒng)語言版本，確定是否豁免主機，中國不在豁免范圍內。
加密文件
遍歷主機文件目錄，生成隨機后綴名的加密文件，如下所示：
刪除卷影
加密完成之后，通過ShellExecuteW函數(shù)調用wmic.exe程序，刪除磁盤卷影：
最后，生成勒索信息文件并在桌面進行勒索。
解決方案
- 針對已經(jīng)出現(xiàn)勒索現(xiàn)象的用戶，由于暫時沒有解密工具，建議盡快對感染主機進行斷網(wǎng)隔離。
- 深信服提醒廣大用戶盡快做好病毒檢測與防御措施，防范此次勒索攻擊。
病毒檢測查殺
- 深信服為廣大用戶免費提供查殺工具，可下載如下工具，進行檢測查殺。
http://edr.sangfor.com.cn/tool/SfabAntiBot.zip
2、深信服EDR產品、下一代防火墻及安全感知平臺等安全產品均具備病毒檢測能力，部署相關產品用戶可進行病毒檢測。
病毒防御
- 及時給電腦打補丁，修復漏洞。
- 對重要的數(shù)據(jù)文件定期進行非本地備份。
- 不要點擊來源不明的郵件附件，不從不明網(wǎng)站下載軟件。
- 盡量關閉不必要的文件共享權限。
- 更改賬戶密碼，設置強密碼，避免使用統(tǒng)一的密碼，因為統(tǒng)一的密碼會導致一臺被攻破，多臺遭殃。
- GandCrab勒索軟件會利用RDP（遠程桌面協(xié)議），如果業(yè)務上無需使用RDP的，建議關閉RDP。當出現(xiàn)此類事件時，推薦使用深信服防火墻，或者終端檢測響應平臺（EDR）的微隔離功能對3389等端口進行封堵，防止擴散！
- 深信服下一代防火墻、終端檢測響應平臺（EDR）均有防爆破功能，防火墻開啟此功能并啟用11080051、11080027、11080016規(guī)則，EDR開啟防爆破功能可進行防御。
- 深信服下一代防火墻客戶，建議升級到AF805版本，并開啟智能安全檢測引擎SAVE，以達到最好的防御效果。
最后，建議企業(yè)對全網(wǎng)進行一次安全檢查和殺毒掃描，加強防護工作。推薦使用深信服安全感知+下一代防火墻+EDR，對內網(wǎng)進行感知、查殺和防護。
咨詢與服務
您可以通過以下方式聯(lián)系我們，獲取關于
GandCrab的免費咨詢及支持服務：
- 撥打電話400-630-6430轉6號線（已開通勒索軟件專線）
- 關注【深信服技術服務】微信公眾號，選擇“智能服務”菜單，進行咨詢
- PC端訪問深信服區(qū)
