赚了20亿美元GandCrab的兴衰史 (赚了1170亿美元)
轻轻的我走了，正如我轻（高）轻（调）的来。挥一挥衣袖，捎带走20亿美元。
GandCrab，这款2018年最流行的勒索病毒，现在终于宣告退场......它的故事完了，钱赚够了、准备撤了，留下最后一波被勒索的人们，独自在风中凌乱。
2019年6月，GandCrab勒索病毒团队相关论坛发表俄语官方声明，将在一个月内关闭其RaaS（勒索软件即服务）业务。详情如图：
翻译之后，大概意思就是：
其关停业务将包括：
正如开头说的，这家公司靠勒索软件赚取了超过20亿美元的赎金，运营商每周大约赚250万美元。
然鹅，对于这一年半的“丰功伟绩”，GandCrab对自己的评价是：
看来，GandCrab“跑路”前，还给自己的行为来了个五星好评。
“当时是在一个国外安全研究人员的相关论坛网站。当时我觉得勒索比较有意思，于是就从app.any.run网站下载到了相关的样本。”这是身为安全研究员的29A第一次接触GandCrab勒索病毒。
2018年1月26号，29A第一次分析了GandCrab1.0版本的样本。29A称，它的第一代，使用了代码自解密技术，在内存中解密出勒索病毒的核心代码，然后替换到相应的内存空间中执行,当时它只向用户勒索达世币，加密后缀为:GDCB，分析完之后GandCrab运营团队在2018年1月28号，在论坛上发布了相关的出售贴子，如下所示：
“说实话，当时我并没发现这款勒索病毒在后面一年半的时间里会变的如此火爆。”
GandCrab演变史
3月初，GandCrab勒索病毒的服务器被罗马尼亚一家安全公司和警方攻破，可以成功恢复GandCrab加密的文件。于是，病毒开发人员迅速升级了版本V2，并将服务器主机命名为politiaromana.bit，挑衅罗马尼亚警方，之前服务器的主机为gandcrab.bit.....
“这是一个契机，没过多久GandCrab就演变出了GandCrab2.0版本。”
分析GandCrab2.0版本发现，它使用了代码混淆，花指令，反调试等技术，同时使用了反射式注入技术，将解密出来的勒索病毒核心Payload代码，注入到相关的进程当中，然后执行相应的勒索加密操作，加密后缀为：CRAB......
“2018年4月，我接到客户应急处理，发现了第一例GandCrab勒索案例，通过分析，发现它就是之前分析过的GandCrab2.0版本的升级，该版本号为GandCrab2.1。
在发布预警之后，29A再次监控到了一款新的GandCrab变种，并将其命名为GandCrab3.0，这款勒索病毒主要通过邮件附件的方式，在一个DOC文档中执行VBS脚本，然后下载GandCrab3.0勒索病毒并执行，加密后缀与之前2.0版本一样为:CRAB，如下所示：
到了GandCrab4.0，勒索运营团队在勒索信息中首次使用了TOR支付站点的方式，让受害者联系，然后解密，29A也在第一时间发布了相关的预警。
29A称，发现新版本是在2018年7月，当时再次接到了客户应急响应，通过分析发现它属于GandCrab家族，这次加密后缀为:KRAB。
“当时本以为GandCrab要歇一阵了，没想到仅仅是过了一个月GandCarb4.3就出现了。其更新速度之快，映射出GandCrab对于勒索产业重要程度。而紧随其后的，还有GandCrab5.0。”
最后一次更新使用了更多的方式传播，不仅仅通过VBS脚本执行下载，还会使用PowerShell脚本，JS脚本的方式下载传播执行，捕获取了它的相关样本，并解密出相应的脚本，如下所示：
在这之后，是基于GandCrab5.0的两次小更新——GandCrab5.0.3和GandCrab5.0.4。而前者可以说是当时最流行的勒索病毒，中招用户也都多集中在这一版本。
通过对捕获到的最新GandCrab5.0.3传播JS脚本进行分析，其主要功能分为如下4种：
在这之后，GandCrab5.0.4开始活跃起来。
5.0.4小插曲
有趣的是，在GandCrab5.0.4版本向5.0.5迭代前，有一个小插曲让GandCrab更加出名了。
29A称，在GandCrab5.0.4版本活跃了一段时间之后，全球多家企业以及个人用户中招。在10月16日，一位叙利亚用户在Twitter上表示GandCrab勒索病毒加密了他的电脑文件，因为无力支付高达600美元的“赎金”，他再也无法看到因为战争丧生的小儿子的照片，如下所示:
事情之后，GandCrab勒索病毒运营团队发布了一条道歉声明，并放出了所有叙利亚感染者的解密密匙，GandCrab也随之进行了V5.0.5更新，将叙利亚加进感染区域的“白名单”。至此，GandCrab得到了一个“侠盗勒索病毒”的美称。
这之后不久，安全公司Bitdefender与欧州型警组织和罗马尼亚警方合作开发了GandCrab勒索软件解密工具。该解密工具适用于所有已知版本的勒索软件。可解密的版本，如下所示：
该工具是No More Ransom项目的最新研究成果，它的诞生也预示着GandCrab勒索病毒快走到了尽头......
29A将GandCrab、Satan、CrySiS、Globelmpster并成为2018年四大勒索病毒，而GandCrab更是被“誉为”四大勒索病毒之首。在其发布的相关预警总结报告中，GandCrab被比喻成是勒索界海王。
随后，GandCrab5.1、GandCrab5.2版本陆续发布，但这更像是残阳西下前的最后一缕余光，安全厂商很快跟进了其解密工具。
正所谓天下没有不散的宴席，GandCrab5.1火了一段时间，然后随着GandCrab5.1版本解密工具的放出，2019年3月，GandCrab运营团队再次发布了GandCrab5.2版本的勒索病毒，同时国内又有多家企业中招。
“在GandCrab爆发的一年半时间里，接到过N起客户应急响应事件，直到近期，我发现它的传播渠道开始传播其他勒索病毒样本(Sodinokibi、GetCrypt、EZDZ)，我心里在想难不成GandCrab换人了？”
后记
之后的事情，大家都已经知道了。
2019年6月1日，GandCrab运营团队就在国外论坛上官方宣布了，停止GandCrab勒索病毒的更新。
“GandCrab运营团队究竟赚了多少，我们不知道，不过肯定不会少，勒索现在成了黑产来钱最快，也是最暴力的方式，每年全球的勒索运营团队都会有几百亿的黑产收入，很多大型企业中了勒索而不敢声张，偷偷交赎金解决，相关政企事业单位会找安全公司进行应急响应处理。”
在29A看来，GandCrab勒索虽然结束了，然而安全防护并没有结束，而且在后面一定会有越来越多的黑产团队加入。GandCrab算是打开了潘多拉之盒，之后会有多少像GandCrab的黑产团队出来作恶就不得而知了。
“这些年做勒索和挖矿的黑产，基本都发财了，而且是闷声发着大财。抵御诱惑是做安全的人的基本素养，这么多年做安全，我一直保持着两点，一个是坚持安全研究，一个是不做黑产，至少现在我能坚守这两点。”
版权文章，未经授权禁止转载。详情见 转载须知 。
本文地址： https://www.gpxz.com/article/ce3b360310134f79240a.html
网易是中国领先的互联网技术公司，为用户提供免费邮箱、游戏、搜索引擎服务，开设新闻、娱乐、体育、财经、科技等30多个内容频道，及博客、视频、论坛等互动交流，网聚人的力量。
上虞买房、卖房，就上上虞房产网！上虞房产网为广大网友提供一个房产信息发布交流平台,集上虞各大中介房源！咨询电话：0575-81262728
云端科技致力于为全球企业提供稳定、安全、高效的云服务基础设施，助力企业数字化转型。
酷美分享本站所有文件都是网友上传、格式有mp3mp4ziprarjpgrar等常用格式所有人都可以免费上传和下载文件
步天图纸管理软件提供图纸管理、PDM和PLM解决方案。图纸管理系统支持集中存储、智能搜索、权限控制和协作；PDM系统提供数据集中管理、版本控制和工作流程管理；PLM系统覆盖产品全生命周期，包含项目管理、变更管理和质量管理。提高工业设计效率、降低成本、优化资源利用
老师直聘，36人才,深圳直聘，招聘，人才，528招聘网深圳招聘网是非常权威的专业深圳人才网站。免费提供非常全面深圳人才网招聘信息:销售,客服,餐饮,IT,金融等1000+行业深圳人才。深圳人才市场首选528深圳招聘网
宁波中管机电有限公司创建于2012年，公司位于宁波市北仑区，注册资金1000万。本公司专业从事各种管道，电力系统安装，机电设备安装工程，管道定向穿越，装潢等业务。
明聿教育是一家互联网在线教育的咨询服务公司，专注于成人学历提升15年，成人高考，自学考试和国家开放大学均可为大家提供服务，成考与自考都是国家承认学历，专业范围广、学信网查询。可用于考公务员，考公考编，升职，加薪，评职称，考证，考研等。符合条件，本科段都可以参加学位外语考试，成绩合格，均可获得学士学位证书。如有需要，请前往明聿教育官方网站咨询，谢谢！
汇升科技
提供全国各大品牌电饭煲、电磁炉、电压力煲、电水壶、豆浆机、料理机、空气净化器、热水器、小风扇、智能扫地机器人、智能扫地机、电磁炉、电烤箱、轻油烟电煎烤盘、电热饭盒、电压力锅、智能电饭煲、破壁机、按摩仪、电动牙刷、加湿器等小家电，行业资讯、价格行情、招募代理诚招代理商，汇集众多小家电品牌，是小家电行业专业贸易平台
我安和公司在发展过程中，业务扩展先后成立了安徽安和会计师事务所、安徽安和房地产土地评估有限公司、安徽安和资产评估有限责任公司、安徽安和税务师事务所有限责任公司、安徽安和企业管理顾问有限公司等专业服务机构，公司是一个紧密联合体，以健全的专业机构为保障，紧密配合、优势互补，长期以来一直致力于为企业提供跨全方位的“无接缝专业集成服务”。
SiteServerCMS是开源、跨平台、企业级的CMS内容管理系统，能够以最低的成本、最少的人力投入在最短的时间内架设一个功能齐全、性能优异、规模庞大并易于维护的网站平台。
几十年来，传统的相机市场一直由日系品牌所占据，近些年兴起的一些新型相机产品形态如运动相机和手机，让GoPro、iPhone，摄像头，这些品牌也开始崛起，日本厂商也会推出运动相机，但新兴品牌踏足传统市场却几乎没有，这种情况到今天就要改变了，9月19日，以运动相机起家的国内创业公司小蚁科技推出了首款微单相机M1，小蚁是小米50多家生态链企...。
发表在当贝投影仪2023，9，1114，19当贝X5Ultra是最新上市的投影仪，价格方面和明基i780相差不大，那么两款投影仪有什么区别呢，下面就来详细对比分析，看看当贝X5Ultra和明基i780有什么区别，实际配置对比下，哪款投影仪更好用，用户在两款投影仪中该如何选择，一、当贝X5Ultra和明基i780有什么区别，1.光学参数...。
发表在专业问答2022，9，2213，25展示机型信息，品牌型号，iPhone13系统版本，iOS15.7苹果手机充电发热是正常的，苹果手机充电发热是因为快充导致的，快充是高功率充电，因此电池会散发出更大的热量，从而导致手机发热，苹果手机充电发热正常吗苹果手机充电发热是正常现象，不过发热程度过高那就不正常了，正常手机充电时的热量大致在...。
11月13日上午，国台办举办例行资讯发布会，记者，据媒体披露，马斯克日前需要美国太空探求技术公司，SpaceX，的台湾地域供应商把消费业务搬出台湾地域，对此有何评论，国台办发言人朱凤莲，民进党当局固执保持，台独，决裂立场，勾连外部权利始终启动谋，独，寻衅，把台湾一步步推向兵凶战危的险境，无关意向标明民进党当局一味谋，独，寻衅，只会害台...。
据外交部网站信息，外交部发言人林剑7月11日掌管例行记者会，会上有记者提问称，台湾地域，国防部，示意，他们在24小时内侦查到66架次中国大陆军机在该岛周围产生，数量创下往年以来最高纪录，这能否与本次北约峰会相关，对于你提到的无关疑问，倡导向主管部门征询，我要在这里指出的是，台湾是中国领土无法宰割的一局部，不存在什么‘国防部，中国人...。
天津一汽威志v2是一款集时兴、灵敏、经济、适用于一体的市区代步车，作为一款经典车型，它遭到了许多广阔生产者的青眼，上方就来引见一下它的外观、性能和适用性，首先来看外观设计，天津一汽威志v2的外观设计时兴简洁，线条流利，轮廓细长，车身驳回了许多时兴的设计元素，比如悬浮式尾巴、蜂窝式车门等，让整个车身看下来十分粗劣，此外，车顶还配有暗藏式...。
依据您的需求，以下是12款奥迪A4L中具备高性价比的车型介绍，首先，奥迪A4L40TFSI温馨型，搭载了2.0T发起机，其最大功率为190马力，最大扭矩为320牛・米，能源体现杰出，配合7速双离合变速箱，能提供精准的变速，确保驾驶环节中的温馨操控，此外，这款车型装备了全新的MMI多媒体系统，使其默认操控配置得以优化，让驾驶体验更为方便...。
这里有DVD高清版，A、B两集可以下载的，119在线电影，美国科幻劫难大片，2012，主演，约翰·库萨克阿曼达·皮特桑迪·牛顿谁有劫难片，2012，电影的资源这可以下，字幕也蛮大的，就是不知道合乎不合乎你要的大小，整部大略要用将近200MB的内存，2012，电影完整版高清在线观看收费下载，2012，电影完整版高清在线观看，2012，...。
街拍：夏日短裙美女清凉又养眼！（组图）_原生泰_新浪博客,原生泰,
三网码支付系统源码/三网免挂/有PC软件/有云端源码源码资源仅供学习研究美工使用，请勿用于商业和非法用途!源码说明三网码支付系统源码，完美可用，微信需要PC软件，支付宝和QQ不用软件这个源码需要服务器哦，PHP版本...
部分国有大行的大额存单降息后一“单”难求，有城商行三年期利率可达3.1%,存款,大行,城商行,商业银行,基准利率,收入证明
提供最好的家居设计、室内设计软件下载,如我家我设计,百变家装等家居设计下载。PC6免费提供家居设计软件,家具设计软件,室内设计软件下载
近日，一名海外博主在网上留言表示，三声母域名WBS.com已经确认被盗，提醒网友在购买时需谨慎，随着三声母域名的价值的不断高升，近来也是发生了好几期域名被盗事件做网站的人都知道，域名是一个网站核心和关键的因素，而这次海外博主曝光的这次被盗的三声母域名WBS.com，从注册信息可以得知，这个域名WBS.com注册于1995年6月19日，...。
为避免新冠病毒疫情导致的服务离线或欠费停机，谷歌已经现所有网站管理员发去了包含一套准则和常见问答的邮件通知，其中最主要的是，除非万不得已，千万要记得保持网站开张的状态，不然疫情期间的不可抗力停机，很可能导致网站后续恢复上线时的全球排名大跌，与此同时，包括GoDaddy和Namecheap在内的一些域名注册服务提供商，也在为担心疫情期间...。
4月28日下午，慕思与WGC合作举办的2015WGC赛事新闻发布会在广州美林湖温泉大酒店隆重举行，全国多家高尔夫媒体开拓者、商界知名人士、高尔夫行业风云人物、有名学者等近300位嘉宾名流以及20多家媒体共同见证了这一国际业余高尔夫赛事的盛大开幕，据悉，WGC创立于1995年，WGC积极倡导休闲的高尔夫体育运动，致力于休闲锻炼的健康的生...。
编者按，此前雷锋网曾就OpenSSL捐助的话题邀请著名程序员霍炬撰稿，给我们讲述他眼中真实的开源社区的故事，此次作者再度为这个话题撰稿，旨在回应破破的桥先生针对OpenSSL捐助的讨论一文，其原文链接在本文末贴出，看到了朋友转来的破破的桥先生针对OpenSSL捐助的讨论一文，我也做个简单回应，因为这种讨论意思不大，我虽然发在公共帐号，...。
雷锋网按，7月12日，7月14日，2019第四届全球人工智能与机器人峰会，CCF，GAIR2019，于深圳正式召开，峰会由中国计算机学会，CCF，主办，雷锋网、香港中文大学，深圳，承办，深圳市人工智能与机器人研究院协办，得到了深圳市政府的大力指导，是国内人工智能和机器人学术界、工业界及投资界三大领域的顶级交流博览盛会，旨在打造国内人工...。
