На прошлой неделе специалисты компании Bitdefender выпустили бесплатный инструмент для расшифровки файлов, пострадавших от атак практически любых версий шифровальщика GandCrab. Однако авторы малвари не сидят сложа руки, они уже создали обновленную версию вымогателя, для которой дешифровщик не работает.
Напомню, что GandCrab был обнаружен в январе 2018 года. Шифровальщик не только стал первой малварью, принимающей выкупы в криптовалюте DASH, он также отличался способом распространения, — для этих целей малаварь использовала не только спам, но и наборы эксплоитов RIG и GrandSoft.
Еще одной интересной особенностью шифровальщика, которая дополнительно защищала операторов GandCrab от бдительного ока властей, стало использование доменов в зоне .bit, то есть Namecoin. На нескольких доменах .bit располагались управляющие серверы вредоноса, причем домены, словно в качестве издевки, были названы «в честь» различных известных ИБ-компаний и ресурсов.
По данным компании Европола и компании Microsoft, семейство GandCrab является одним из наиболее «популярных» и агрессивных шифровальщиков в 2018 году, наряду известным вымогателем Spora.
Хотя ранее представители Европола, румынской полиции и DIICOT (Следственного управления по борьбе с организованной преступностью и терроризмом) заявляли, что произвели серию арестов в связи с расследованием активность GandCrab, очевидно, самих вирусописателей пока задержать не удалось. 5 марта 2018 года специалист MalwareHunterTeam обнаружил новую версию шифровальщика, отличную от оригинала.
GandCrab2 ("version=1.0.0r") sample: https://t.co/et7XM5DuzK
— MalwareHunterTeam (@malwrhunterteam) March 5, 2018
If someone didn't understand the previous thread (https://t.co/8iuXk9Phwa), these are from this.@BleepinComputer @demonslay335
cc @MarceloRivero
ИБ-специалист и основатель Bleeping Computer Лоренс Абрамс (Lawrence Abrams) рассказывает, что основным отличием GandCrab v2 являются новые имена хостов управляющих серверов. Теперь злоумышленники используют politiaromana[.]bit, «в честь» румынской полиции, помогавшей в создании дешифровщика для первой версии, malwarehunterteam[.]bit, «в честь» MalwareHunterTeam, а также gdcb[.]bit.
Кроме того, теперь шифровальщик добавляет пострадавшим файлам расширение .CRAB, а своем послании для жертв злоумышленники предлагают связываться с ними через мессенджинговый сервис Tox.
Как уже было сказано выше, вышедший ранее инструмент для дешифровки файлов не работает для новой версии GandCrab. Пострадавшим пользователям рекомендуют обращаться в соответствующую тему на форуме Bleeping Computer и запасаться терпением.
