GandCrab于2018年年初問(wèn)世，主要利用RDP爆破、釣魚郵件、捆綁軟件、僵尸網(wǎng)絡(luò)、CVE-2017-8570漏洞利用等方式進(jìn)行攻擊，此家族病毒采用Salsa20和RSA-2048算法對(duì)文件進(jìn)行加密，并修改文件后為.GDCB、.GRAB、.KRAB或5-10位隨機(jī)字母，將感染主機(jī)桌面背景替換為勒索信息圖片。GandCrab5.1之前版本可嘗試使用解密工具解密，最新GandCrab5.2無(wú)法解密。老勒索家族了，所以我在公開的威脅情報(bào)上找了一個(gè)最新被上傳的樣本做簡(jiǎn)要分析。
加殼情況
文件未加殼
互斥體
互斥體名稱：Global\pc_group=WORKGROUP&ransom id=79e2d4c8a42336Gb
關(guān)進(jìn)程
遍歷并關(guān)閉所列舉的進(jìn)程，防止文件在加密過(guò)程中被占用
獲取系統(tǒng)信息
通過(guò)注冊(cè)表檢查了當(dāng)前用戶組，所在地區(qū)，操作系統(tǒng)，系統(tǒng)版本號(hào)，CPU信息，以及磁盤類型和磁盤容量
惡意外聯(lián)
通過(guò)GET和POST請(qǐng)求外聯(lián)惡意域名
發(fā)起一個(gè)HTTP請(qǐng)求操作，首先通過(guò)HttpAddRequestHeadersW函數(shù)添加HTTP請(qǐng)求頭參數(shù)，然后通過(guò)HttpSendReqst函數(shù)發(fā)送HTTP請(qǐng)求，并且獲取HTTP響應(yīng)。如果HttpSendRequestW函數(shù)返回真，則繼續(xù)從網(wǎng)絡(luò)資源獲取響應(yīng)數(shù)據(jù)，函數(shù)InternetReadFile通過(guò)指定HTTP連接句柄v15來(lái)獲取http數(shù)據(jù)，讀取到的數(shù)據(jù)存放在v16所指的緩存區(qū)，讀取的字節(jié)數(shù)為a7 - 1，同時(shí)返回完整的服務(wù)器名稱到lpszServerName中。其中，函數(shù)返回的結(jié)果被用于判斷HTTP請(qǐng)求是否成功，如果成功，就繼續(xù)從網(wǎng)絡(luò)資源獲取數(shù)據(jù)，如果失敗，則通過(guò)函數(shù)GetLastError獲取錯(cuò)誤信息。
當(dāng)前域名已無(wú)法訪問(wèn)
設(shè)置注冊(cè)表信息
加密部分
使用CryptGenKey生成RSA的公私鑰對(duì)，之后用CryptExportKey導(dǎo)出
使用FindFirstFileW和FindNextFileW接口遍歷文件目錄下的所有文件進(jìn)行加密，并釋放出勒索信
加密過(guò)程中注入到系統(tǒng)advapi32.dll
刪除卷影
刪除卷影拷貝，防止用戶恢復(fù)原文件
| 
