GandCrab 4.3勒索病毒再添新特性：蠕虫式主动传播

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

GandCrab 4.3勒索病毒再添新特性：蠕虫式主动传播

2018-09-26 15:40:00

所属地广东省

0x1 概述

近日，腾讯御见威胁情报中心监控到GandCrab 4.3勒索病毒家族攻击有上升趋势，对比以往不同的是，该病毒其它模块还有挖矿行为，并且使用感染U盘，感染压缩包，感染Web目录，VNC 5900端口爆破攻击等方式在局域网内扩散传播，使得其攻击具有一定的蠕虫病毒特征，攻击成功率也大大提升，针对企业网络的危害也进一步升级。

详细的技术分析发现新变种的攻击具有如下特点：

1.检查当前运行环境是否有开发工具、虚拟机系统、沙箱系统、常见系统管理工具等进程，如果有，就退出。若没有，就释放病毒副本添加启动项；该技术除了对抗人工分析，也可欺骗安全软件普遍采用的云端自动鉴定分析系统；

2.感染U盘、移动硬盘，并配置自动播放模式传播，在其他电脑插上已染毒U盘时病毒程序得以自动运行；

3.感染硬盘压缩文件；

4.感染硬盘中的Web目录，用病毒程序覆盖该目录下的EXE文件。如果该目录被发布到网站，下载程序的电脑就可能中毒；

5.利用被感染的电脑挖矿；

6.在局域网内使用弱口令爆破VNC端口，爆破成功，就下载勒索病毒GandCrab 4.3；

7.被勒索病毒加密破坏的文件添加KRAB后辍，勒索499美元的比特币或达世币。

腾讯御见威胁情报中心建议企业用户高度警惕GandCrab V4.3勒索病毒在企业内网的传播，这会给企业业务安全带来不可估量的损失。

0x2 样本分析

0x2.1 MAIN.EXE

Mian.exe运行后首先会检测当前环境进程中是否有开发工具类进程、虚拟机、系统工具类进程，然后遍历模块判断是否有沙箱相关模块等手段来进行调试环境检测。如果检测到非普通运行环境则退出，否则在系统多个目录下释放病毒副本，并设置只读，隐藏，系统属性然后为其添加启动项。

进程环境检测

拷贝到启动目录设置只读，隐藏，系统属性

创建目录自拷贝后设置只读，隐藏，系统属性

设置Microsoft Windows Services注册表启动信息

启动副本运行后退出

Main.exe代码中有3处代码创建线程，第一处线程主要目的为感染移动设备，通过把自身拷贝到移动设备并设置AutoRun进一步获取更强的传播能力，第二处线程主要为感染当前系统中非移动磁盘设备中的压缩类包文件，如果检测到当前机器中含有可利用的Web目录，则将自身覆盖该目录中的exe。第三处线程主要为拉取分别名为t，m，p，s，o的exe，生成随机名后在Temp目录执行。同时，该模块还会向页面http://92.63.197.48/st.php发送请求进行感染后台计数，该行为同时夹杂了79次无效的请求用于行为混淆。