搜索

[14195] 2019-06-05_赚了20亿美元GandCrab勒索病毒家族的故事

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-05_赚了20亿美元GandCrab勒索病毒家族的故事 赚 了 2 0 亿 美 元 G a n d C r a b 勒 索 病 毒 家 族 的 故 事 F r e e B u f   2 0 1 9 - 0 6 - 0 5 以 下 文 章 来 源 于 C y b e r T h r e a t A n a l y s t   ， 作 者 p a n d a z h e n g z h e n g 2 0 1 9 年 年 6 月 月 1 日 ， 日 ， G a n d C r a b 勒 索 病 毒 团 队 在 相 关 论 坛 发 表 俄 语 官 方 声 明 ， 将 停 止 更 新 ， 这 款 勒 索 病 毒 团 队 在 相 关 论 坛 发 表 俄 语 官 方 声 明 ， 将 停 止 更 新 ， 这 款 2 0 1 8 年 最 流 行 的 勒 年 最 流 行 的 勒 索 病 毒 ， 在 索 病 毒 ， 在 2 0 1 9 年 年 6 月 终 于 结 束 了 月 终 于 结 束 了 . . . . . . 然 后 它 的 故 事 完 了 ， 钱 赚 够 了 ， 却 打 开 了 潘 多 拉 魔 盒 ， 后 面 会 有 越 来 越 多 然 后 它 的 故 事 完 了 ， 钱 赚 够 了 ， 却 打 开 了 潘 多 拉 魔 盒 ， 后 面 会 有 越 来 越 多 的 的 G a n d C r a b 团 队 涌 现 出 来 团 队 涌 现 出 来 . . . . . . 对 这 款 勒 索 病 毒 ， 我 跟 踪 了 一 年 半 ， 一 年 半 之 后 对 这 款 勒 索 病 毒 ， 我 跟 踪 了 一 年 半 ， 一 年 半 之 后 G a n d C r a b 运 营 团 队 赚 够 了 ， 退 运 营 团 队 赚 够 了 ， 退 休 了 ， 我 却 仍 坚 持 着 休 了 ， 我 却 仍 坚 持 着 . 跟 踪 各 种 恶 意 家 族 样 本 跟 踪 各 种 恶 意 家 族 样 本 . . . . . 翻 译 之 后 ， 大 概 的 意 思 ， 如 下 所 示 ： 在 与 我 们 合 作 的 那 一 年 里 ， 人 们 已 经 赚 了 2 0 多 亿 美 元 ， 我 们 已 经 成 为 地 下 市 场 中 勒 索 软 件 制 造 者 方 向 的 代 表 者 。   我 们 每 周 的 收 入 平 均 为 2 5 0 万 美 元 。 我 们 每 人 每 年 赚 得 超 过 1 . 5 亿 美 元 。 我 们 成 功 兑 现 了 这 笔 钱 ， 并 在 现 实 生 活 和 互 联 网 上 的 将 收 获 的 钱 成 功 合 法 化 。 我 们 很 高 兴 与 你 合 作 ， 但 是 ， 如 上 所 述 ， 所 有 的 好 事 都 会 结 束 。 我 们 要 离 开 这 个 当 之 无 愧 的 退 休 生 活 。 我 们 已 经 证 明 ， 通 过 做 恶 行 为 ， 报 复 不 会 到 来 。 我 们 证 明 ， 在 一 年 内 你 可 以 终 生 赚 钱 。   我 们 已 经 证 明 ， 有 可 能 成 为 一 个 不 是 我 们 自 己 的 话 ， 而 是 为 了 表 彰 其 他 人 。 1 、 停 止 代 理 商 活 动 ; 2 、 我 们 要 求 代 理 商 暂 停 流 量 3 、 从 这 个 日 期 起 的 2 0 天 内 ， 我 们 要 求 代 理 商 以 任 何 方 式 通 过 他 们 的 僵 尸 主 机 从 而 将 赎 金 货 币 化   4 、 受 害 者   –   如 果 您 现 在 购 买 密 钥 ， 但 您 的 数 据 将 无 法 恢 复 ， 因 为 密 钥 将 被 删 除 大 概 意 思 就 是 上 面 ， 运 营 团 队 做 的 很 绝 ， 在 赚 了 那 么 多 钱 的 情 况 下 ， 仍 没 有 想 着 公 布 密 钥 ， 然 后 删 除 所 有 的 密 钥 ， 之 前 有 团 队 称 他 们 为 “ 侠 盗 勒 索 病 毒 ” ， 是 因 为 他 们 在 后 期 的 版 本 中 避 开 了 叙 利 亚 地 区 ， 但 他 们 并 没 有 “ 仁 慈 ” 放 出 所 有 的 密 钥 ， 而 且 选 择 销 毁 . . . . . . . 开 端 开 端 G a n d C r a b 1 . 0 初 出 茅 庐 G a n d C r a b 勒 索 病 毒 ， 我 第 一 次 接 触 它 是 在 一 个 国 外 安 全 研 究 人 员 的 论 坛 上 ， 相 关 的 论 坛 网 C y b e r T h r e a t A n a l y s t   . 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 ， 追 踪 全 球 黑 客 组 织 攻 击 活 动
站 ： h t t p s : / / s e c r a r y . c o m / R e v e r s i n g M a l w a r e / U n p a c k i n g G a n d C r a b / ， 如 下 所 示 ： 当 时 我 觉 得 这 个 勒 索 比 较 有 意 思 ， 于 是 有 从 a p p . a n y . r u n 网 站 下 载 到 了 相 关 的 样 本 ， 如 下 所 示 ： 2 0 1 9 年 1 月 2 6 号 ， 我 第 一 次 分 析 了 G a n d C r a b 1 . 0 版 本 的 样 本 ， 它 的 第 一 代 ， 使 用 了 代 码 自 解 密 技 术 ， 在 内 存 中 解 密 出 勒 索 病 毒 的 核 心 代 码 ， 然 后 替 换 到 相 应 的 内 存 空 间 中 执 行 , 当 时 它 只 向 用 户 勒 索 达 世 币 ， 加 密 后 缀 为 : G D C B ， 分 析 完 之 后 G a n d C r a b 运 营 团 队 在 2 0 1 9 年 1 月 2 8 号 ， 在 论 坛 上 发 布 了 相 关 的 出 售 贴 子 ， 如 下 所 示 ： 当 时 我 还 没 加 入 现 在 的 公 司 ， 也 没 发 现 这 款 勒 索 在 后 面 一 年 半 的 时 候 会 变 的 如 此 火 爆 . . . . . .
演 变 演 变 G a n d C r a b 2 . 0 2 0 1 8 年 2 月 份 ， 我 加 入 了 新 的 公 司 ， 负 责 勒 索 病 毒 这 块 的 业 务 ， G a n d C r a b 在 2 0 1 8 年 3 月 份 的 时 候 演 变 出 了 G a n d C r a b 2 . 0 版 本 ， 主 要 是 因 为 3 月 初 G a n d C r a b 勒 索 病 毒 的 服 务 器 被 罗 马 尼 亚 一 家 安 全 公 司 和 警 方 攻 破 ， 可 以 成 功 恢 复 G a n d C r a b 加 密 的 文 件 。 病 毒 开 发 人 员 迅 速 升 级 了 版 本 V 2 ， 并 将 服 务 器 主 机 命 名 为 p o l i t i a r o m a n a . b i t ， 挑 衅 罗 马 尼 亚 警 方 ， 之 前 服 务 器 的 主 机 为 g a n d c r a b . b i t . . . . . 分 析 G a n d C r a b 2 . 0 版 本 的 ， 使 用 了 代 码 混 淆 ， 花 指 令 ， 反 调 试 等 技 术 ， 同 时 它 使 用 了 反 射 式 注 入 技 术 ， 将 解 密 出 来 的 勒 索 病 毒 核 心 P a y l o a d 代 码 ， 注 入 到 相 关 的 进 程 当 中 ， 然 后 执 行 相 应 的 勒 索 加 密 操 作 ， 加 密 后 缀 为 ： C R A B . . . . . . G a n d C r a b 2 . 1 2 0 1 8 年 4 月 ， 我 接 到 客 户 应 急 处 理 ， 发 现 了 第 一 例 G a n d C r a b 勒 索 案 例 ， 通 过 分 析 ， 发 现 它 就 是 之 前 我 分 析 过 的 G a n d C r a b 2 . 0 版 本 的 升 级 ， 该 版 本 号 为 G a n d C r a b 2 . 1 ， 然 后 我 们 发 布 了 相 关 的 分 析 预 警 报 告 ， 如 下 所 示 ： G a n d C r a b 3 . 0
在 发 布 预 警 之 后 ， 我 监 控 到 了 一 款 新 的 G a n d C r a b 新 的 变 种 ， 命 名 为 G a n d C r a b 3 . 0 ， 这 款 勒 索 病 毒 主 要 通 过 邮 件 附 件 的 方 式 ， 在 一 个 D O C 文 档 中 执 行 V B S 脚 本 ， 然 后 下 载 G a n d C r a b 3 . 0 勒 索 病 毒 并 执 行 ， 加 密 后 缀 与 之 前 2 . 0 版 本 一 样 为 : C R A B ， 如 下 所 示 ： G a n d C r a b 4 . 0 2 0 1 8 年 7 月 ， 再 次 接 到 客 户 应 急 响 应 ， 通 过 分 析 发 现 它 属 于 G a n d C r a b 家 族 ， 这 次 加 密 后 缀 为 : K R A B ， 同 时 勒 索 运 营 团 队 在 勒 索 信 息 中 首 次 使 用 了 T O R 支 付 站 点 的 方 式 ， 让 受 害 者 联 系 ， 然 后 解 密 ， 我 们 也 在 第 一 时 间 发 布 了 相 关 的 预 警 ， 如 下 所 示 ：
G a n d C a r b 4 . 3 G a n d C r a b 4 . 0 之 后 ， 2 0 1 8 年 8 月 底 ， 我 捕 获 到 了 G a n d C r a b 的 一 个 新 版 本 G a n d C r a b 4 . 3 版 本 ， 可 见 这 款 勒 索 更 新 是 如 此 之 快 ， 对 样 本 进 行 了 详 细 分 析 ， 并 发 布 了 相 关 的 详 细 分 析 报 告 ， 如 下 所 示 ：
G a n d C r a b 5 . 0 在 2 0 1 8 年 9 月 份 的 时 候 ， 我 发 现 这 款 勒 索 病 毒 又 更 新 了 ， 而 且 使 用 了 更 多 的 方 式 传 播 ， 不 仅 仅 通 过 V B S 脚 本 执 行 下 载 ， 还 会 使 用 P o w e r S h e l l 脚 本 ， J S 脚 本 的 方 式 下 载 传 播 执 行 ， 捕 获 取 了 它 的 相 关 样 本 ， 并 解 密 出 相 应 的 脚 本 ， 如 下 所 示 ： 同 时 我 们 也 在 第 一 时 间 更 新 了 G a n d C r a b 5 . 0 版 本 的 预 警 报 告 ， 如 下 所 示 ：
G a n d C r a b 5 . 0 勒 索 病 毒 加 密 的 后 缀 ， 不 在 使 用 之 前 的 加 密 后 缀 ， 开 始 使 用 随 机 的 加 密 后 缀 . . . . . . 在 G a n d C r a b 5 . 0 之 后 ， 出 现 了 两 个 小 版 本 更 新 G a n d C r a b 5 . 0 . 3 和 G a n d C r a b 5 . 0 . 4 ， 尤 其 是 G a n d C r a b 5 . 0 . 4 这 个 版 本 非 常 流 行 ， 很 多 客 户 中 招 . . . . . . G a n d C r a b 5 . 0 . 3 在 2 0 1 8 年 1 0 月 ， 我 捕 获 到 了 最 新 的 G a n d C r a b 5 . 0 . 3 的 传 播 J S 脚 本 ， 同 时 做 了 详 细 分 析 ， 如 下 所 示 ：
在 我 发 布 G a n d C r a b 5 . 0 . 3 分 析 报 告 不 久 之 后 ， G a n d C r a b 5 . 0 . 4 开 始 非 常 活 跃 ， 大 量 客 户 中 招 ， 我 们 马 上 发 布 了 相 应 的 预 警 报 告 ， 如 下 所 示 ：
G a n d C r a b 5 . 0 . 4 这 个 版 本 一 直 活 跃 了 很 长 一 段 时 间 ， 导 致 大 量 客 户 中 招 . . . . . . G a n d C r a b 5 . 0 . 5 在 G a n d C r a b 5 . 0 . 4 版 本 活 跃 了 一 段 时 间 之 后 ， 全 球 多 家 企 业 以 及 个 人 用 户 中 招 ， 这 里 有 一 个 小 插 曲 ， 在 1 0 月 1 6 日 ， 一 位 叙 利 亚 用 户 在 t w i t t e r 上 表 示 G a n d C r a b 勒 索 病 毒 加 密 了 他 的 电 脑 文 件 ， 因 为 无 力 支 付 高 达 6 0 0 美 元 的 “ 赎 金 ” ， 他 再 也 无 法 看 到 因 为 战 争 丧 生 的 小 儿 子 的 照 片 ， 如 下 所 示 :
G a n d C r a b 勒 索 病 毒 运 营 团 队 看 到 后 就 发 布 了 一 条 道 歉 声 明 ， 并 放 出 了 所 有 叙 利 亚 感 染 者 的 解 密 密 匙 ， G a n d C r a b 也 随 之 进 行 了 V 5 . 0 . 5 更 新 ， 将 叙 利 亚 加 进 感 染 区 域 的 “ 白 名 单 ” ， 这 也 是 为 什 么 后 面 有 一 些 安 全 团 队 称 G a n d C r a b 为 “ 侠 盗 勒 索 病 毒 ” 的 原 因 . . . . . . 后 面 安 全 公 司 B i t d e f e n d e r 与 欧 州 型 警 组 织 和 罗 马 尼 亚 警 方 合 作 开 发 了 G a n d C r a b 勒 索 软 件 解 密 工 具 , 解 密 工 具 适 用 于 所 有 已 知 版 本 的 勒 索 软 件 , 该 努 力 是 N o   M o r e   R a n s o m 项 目 的 最 新 成 果 ， 这 大 该 也 预 示 着 G a n d C r a b 勒 索 病 毒 快 走 到 了 尽 头 . . . . . . 解 密 工 具 ， 如 下 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理