超强勒索病毒GandCrab再现新版5.3 躲避警方出新招
近日，瑞星安全专家捕获到最新勒索病毒GandCrab 5.3变种，此版本延续了5.2版本的主要技术，用户一旦中毒文件将无法打开，同时桌面背景图片会被修改为勒索信息，需要交纳赎金才可解密。而此次5.3版本与之前最大的不同之处在于，攻击者将暗网缴纳赎金方式改为通过邮件联系缴纳赎金，这极有可能是为了躲避警方的追查。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image1.png图：勒索信息支付赎金方式改为邮件
瑞星安全专家分析攻击者此次修改的原因有两种可能，第一种是部分受害者不知道如何访问病毒作者留下的暗网地址，所以无法与病毒作者取得联系，导致无法缴纳赎金；另一种情况是GandCrab 5.2之前版本的解密密钥托管在暗网服务器中，被欧洲多国警方合作追踪到了控制服务器，从而获取到了托管在服务器中的解密密钥，因此攻击者要求通过邮箱联系，可能是躲避追查。
瑞星公司提醒广大用户切勿点击陌生邮件，安装有效杀毒软件，以防被勒索病毒攻击。目前，瑞星所有个人及企业级产品均可对GandCrab 5.3勒索病毒进行查杀，瑞星之剑（下载地址：http://www.rising.com.cn/j/）可以有效拦截该勒索病毒。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image2.png图：瑞星ESM与瑞星之剑拦截查杀截图
技术分析
勒索病毒GandCrab 5.3运行后获取当前计算机语言，与病毒内置语言列表中的语言进行对比，如果本机语言在列表中则退出，不执行加密操作。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image3.png图：判断计算机语言
病毒会结束指定进程，防止文件被占用无法加密，主要是针对数据库和办公软件的进程。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image4.png图：查找指定进程
解密出RSA公钥，此公钥和之前捕获的V5.2版本的公钥相同。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image5.png图：解密出RSA公钥
获取本机用户名、操作系统版本、计算机语言、磁盘剩余空间等信息，追加上勒索版本V5.3。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image6.png图：获取的本机信息
使用RC4算法将获取到的本机信息加密，发送给控制服务器用于统计感染量。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image7.png图：加密后的本机信息
在做好准备工作之后，病毒会创建线程开始加密文件。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image8.png图：创建线程加密
遍历磁盘中的文件。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image9.png图：遍历文件
加密时排除一些文件和文件夹，防止系统无法正常运行。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image10.png图：排除指定文件
文件的内容被Salsa20算法加密，文件名被追加上随机后缀。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image11.png图：被加密文件
删除系统自带的卷影备份。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image12.png图：删除卷影备份
修改桌面背景图片，显示勒索信息。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image13.png图：修改桌面背景
http://it.rising.com.cn/d/file/it/dongtai/20190424/image14.png图：修改后的桌面背景
加密完成后退出，并调用cmd删除自身文件。
http://it.rising.com.cn/d/file/it/dongtai/20190424/image15.png图：删除自身文件
防范措施：
不打开陌生或可疑邮件，不下载邮件附件。
浏览网页时不下载运行可疑程序。
及时更新系统、漏洞补丁。
不使用弱口令密码。
多台机器不使用相同密码。
安装杀毒软件及时更新病毒库。
安装防勒索软件，防止未知病毒变种加密文件。 哈哈，瑞星以前有用过，初中时代，买的电脑里面，桌面一直狮子，跟扣扣一样的宠物。
证明我老了。
在我的印象里，我总觉得软件病毒是杀毒软件赠送的~买软件送病毒。哈哈哈。开个玩笑 我以为瑞星已经死了呢。。。。
现在瑞星开始露面了，不错，，，就是要这样多露面。
免费杀毒广告多，瑞端收费无广告的话确实还算良心 66666感谢分享
瑞星搞的比数年前好多了。。。
学学小红伞 建议也故意漏露一杀毒激活码。。。:lol
现在个人版的价格还是有点小贵。 现在的病毒越来越利害了，中招的人还得就地交钱求饶呢！ 感谢分享 感谢楼主，江湖险恶啊 第一个说瑞星良心的是在楼主写出半个小时后，而且对瑞星大加赞美，好样的，百度搜索“微点的冤案得雪 ”https://zhidao.baidu.com/question/266415988015929365.html，不搜的话，链接在这，从这件事之后，呵呵，不评价 感谢分享经验 用心讨论，共获提升！