阿波羅新聞網新聞 > 科教 > 正文

不可破解!「俠盜病毒」捲土重來 這次目標是中國

2017年,WannaCry比特幣勒索病毒攻擊了包括中國在內的150多個國家,造成損失超80億美元。此後各類勒索病毒(NotPetya、Bad Rabbit等)雖層出不窮,但影響範圍始終有限。

近日出現的一款名為 GandCrab V5.2加密貨幣勒索病毒,似乎大有再現 WannaCry“昔日榮光”的跡象,目前已在中國攻擊了數千台政府以及企業的電腦。

所謂勒索病毒,即設法讓你的電腦中毒,鎖死內部文件,要求用戶通過加密貨幣支付贖金才會解鎖。

包括慢霧、DVP在內的眾多安全團隊都向 Odaily星球日報表示,GandCrab V5.2目前不可破解,只能做好防禦。

近年來針對加密貨幣的攻擊日益增多,區塊鏈安全事件頻發。除了勒索病毒,惡意挖礦也一直不甘示弱。如果說,2017年攻擊是以“勒索病毒”為主,2018年以“惡意挖礦”為主。現在,勒索病毒會否再次捲土重來?

上千台政府、機構電腦感染

新型的比特幣勒索病毒再次肆虐。

根據國家網路與信息安全信息通報中心監測,GandCrab V5.2自2019年3月11日開始在中國肆虐,攻擊了上千台政府、企業以及相關科研機構的電腦。

截止發稿前,湖北省宜昌市夷陵區政府、中國科學院金屬研究所、雲南師範大學以及大連市公安局等政府、企業、高校均在其官網發布了防範病毒攻擊的公告。

夷陵區政府官網截圖

根據網路安全分析師 David Montenegro所言,GandCrab V5.2勒索病毒目前已經感染了數千台中國電腦,接下來還將通過遠程攻擊的方式影響中國更多的電腦。

手段:垃圾郵件攻擊

GandCrab V5.2又是如何讓受害者電腦“中毒”的呢?據了解,該勒索病毒目前主要通過郵件形式攻擊。

攻擊者會向受害人郵箱發送一封郵件,主題為“你必須在3月11日下午3點向警察局報到!”,發件人名為“Min,Gap Ryong”,郵件附件名為“03-11-19.rar”。

圖片來自騰訊安全

一旦受害者下載並打開該附件,GandCrab V5.2在運行後將對用戶主機硬碟數據全盤加密,並讓受害者訪問特定網址下載 Tor瀏覽器,隨後通過 Tor瀏覽器登錄攻擊者的加密貨幣支付窗口,要求受害者繳納贖金。

DVP區塊鏈安全團隊認為,除了垃圾郵件投放攻擊, GandCrab V5.2還有可能採用“網頁掛馬攻擊”。即除了在一些非法網站上投放木馬病毒,攻擊者還可能攻擊一些防護能力比較弱的正規網站,在取得網站控制權後攻擊登陸該網站的用戶。

另外,該病毒也有可能通過漏洞傳播,利用CVE-2019-7238(Nexus RepositoryManager3遠程代碼執行漏洞)以及 weblogic漏洞進行傳播。

“攻擊者會對受害者電腦裡面的文件進行了不可逆加密,要想解開,只能依靠攻擊者給你特定的解密密鑰。”慢霧安全團隊解釋說,受害者只有付款才能獲得特定密鑰。

不過,有時候也會發生受害者交了錢但攻擊者不給密鑰解鎖的情況,慢霧安全團隊認為攻擊者所屬團隊的聲譽高低可以作為一個判斷依據。

“勒索蠕蟲知名度越高,越有可能給你發密鑰,GandCrab在暗網上的知名度還是很高的,口碑也不錯。”慢霧安全團隊說,“如果不發私鑰就會降低聲譽,其他被攻擊者就不會再打錢了。”

“關鍵是看,攻擊者是否給受害者提供了一個聯繫渠道。” DVP區塊鏈安全團隊告訴 Odaily星球日報,由於加密貨幣具有匿名性,攻擊者很難判定受害者是否進行了打幣操作,如果沒有溝通渠道,說明攻擊者根本無意解鎖受害電腦。

不可破解:地表最強的勒索病毒?

“目前根本沒有辦法直接破解,一旦被攻擊成功,如果電腦里有重要的資料,只能乖乖交錢領取私鑰破解。”包括慢霧、DVP在內的眾多安全團隊都向 Odaily星球日報表示該病毒不可破解。

貼吧截圖

然而,Odaily星球日報發現在一些論壇上,出現了宣稱可以破解 GandCrab V5.2的公司,條件是先付款,再破解。

“基本上都是騙子,都是一些皮包公司,根本沒有能力。”一家匿名的區塊鏈安全公司表示,“騰訊、360等公司都破解不了,他們能破解?”

“一些團隊或個人宣稱可以破解 GandCrab V5.2,其實是‘代理’破解。”慢霧安全團隊解釋說,“他們收你的錢,幫你向勒索者支付加密貨幣,從而拿到解密密鑰(破解)。”

攻擊者來勢洶湧,一時之間破解不了木馬病毒,只能做好防禦。宜昌市夷陵區政府也給出了一些應對之策,包括:

一是不要打開來歷不明的郵件附件;

二是及時安裝主流殺毒軟體,升級病毒庫,對相關係統進行全面掃描查殺;

三是在 Windows中禁用U盤的自動運行功能;

四是及時升級操作系統安全補丁,升級 Web、資料庫等服務程序,防止病毒利用漏洞傳播;

五是對已感染主機或伺服器採取斷網措施,防止病毒擴散蔓延。

不過,慢霧安全團隊指出,非 Windows操作系統暫時並不會被感染。“GandCrab V5.2蠕蟲目前只在 Windows上運行,其他系統還不行。”

“強悍”的病毒,也讓團隊在安全圈裡“小有名氣”。

GandCrab勒索病毒誕生於2018年1月,並在隨後幾個月里,成為一顆“新星”。

該團隊的標籤之一是“技術實力”強。

今年2月19日,Bitdefender安全實驗室專家曾根據GandCrab自己給出的密鑰(後文會解釋原因),研發出 GandCrab V5.1之前所有版本病毒的“解藥”。

根據 zdnet報道,今年2月18日,就在 Bitdefender發布最新版本破解器的前一天,GrandCrab發布了正肆虐版本(V5.2),該版本至今無法破解。

目前在暗網中,GrandCrab幕後團隊採用“勒索即服務”(“ransomware as-a-service”)的方式向黑客大肆售賣 V5.2版本病毒。即由 GrandCrab團隊提供病毒,黑客在全球選擇目標進行攻擊勒索,攻擊成功後 GrandCrab團隊再從中抽取30%-40%的利潤。

“垃圾郵件製造者們,你們現在可以與網路專家進行合作,不要錯失獲取美好生活的門票,我們在等你。”這是 GrandCrab團隊在暗網中打出的“招商廣告”。

值得一提的是,GandCrab是第一個勒索 Dash幣的勒索病毒,後來才加了比特幣,要價499美元。根據 GandCrab團隊2018年12月公布的數據,其總計收入比特幣以及 Dash幣合計285萬美元。

GandCrab收入截圖

“盜亦有道”的俠盜團隊?

這款病毒的團隊,另外標籤是“俠盜”。該標籤來源於2018年發生的“敘利亞密鑰”事件。

2018年10月16日,一位名叫 Jameel的敘利亞父親在 Twitter上發貼求助。Jameel稱自己的電腦感染了 GandCrab V5.0.3並遭到加密,由於無力支付高達600美元的“贖金”,他再也無法看到在戰爭中喪生的小兒子的照片。

Twitter截圖

GandCrab也隨之進行了 V5.0.5更新,並將敘利亞以及其他戰亂地區加進感染區域的“白名單”。此外,如果 GandCrab監測到電腦系統使用的是俄語系語言,也會停止入侵。安全專家據此猜測病毒作者疑為俄羅斯人。

勒索者道歉圖

一時之間,不少人對 GandCrab生出好感,稱呼其為“俠盜”。

根據騰訊安全團隊統計,GandCrab受害者大部分集中在巴西、美國、印度、印度尼西亞和巴基斯坦等國家。並且,GrandCrab V5.2版本所使用的語言主要是中文、英文以及韓文,說明中國目前已經成為其重要的攻擊目標。

GrandCrab V5.2版本

阿波羅網責任編輯:夏雨荷 來源:Odaily星球日報 轉載請註明作者、出處並保持完整。

科教熱門

相關新聞

➕ 更多同類相關新聞