勒索病毒GandCrab4.3新增蠕虫式攻击方式 腾讯“御界”全面展开防御

GandCrab是今年非常活跃的勒索病毒新家族，其变种更新迭代迅速，对用户网络安全造成极大的威胁。继九月中旬拦截发现勒索病毒GandCrab V4.3可释放挖矿木马后，腾讯智慧安全御见威胁情报中心又监控到近期其攻击有上升趋势。与以往通过Web服务器弱点入侵不同，该病毒本次通过具有蠕虫病毒特征的多样化攻击方式在局域网内扩散传播，如感染U盘、压缩包、Web目录、VNC 5900端口爆破攻击等，攻击成功率大大提升，针对企业网络的危害也进一步升级。目前，腾讯电脑管家已对勒索病毒GandCrab V4.3进行全面拦截、查杀。

（图：勒索病毒GandCrab V4.3攻击呈上升趋势）

据腾讯安全技术专家介绍，勒索病毒GandCrab V4.3会检查用户电脑当前运行环境是否有开发工具、虚拟机系统、沙箱系统、常见系统管理工具等进程，待确认没有后，就会释放病毒副本添加启动项，进而危害用户电脑，若检测发现有相关工具进程，挖矿木马就会立即停止运行并退出。勒索病毒GandCrab V4.3以此对抗人工分析，并欺骗安全软件普遍采用的云端自动鉴定分析系统，增加了安全检测的难度。

在局域网内部，勒索病毒GandCrab V4.3通过感染U盘、硬盘压缩文件、网页目录传播，局域网内爆破VNC 5900端口弱口令传播，令安全措施不足的企业内网受到严重冲击。例如，该病毒会感染U盘、移动硬盘，并配置自动播放模式传播，在其他电脑插上已染毒U盘时病毒程序得以自动运行。硬盘Web目录受到感染后，会用病毒程序覆盖该目录下的EXE文件。如果该目录被发布到网站，下载程序的电脑就可能中毒。

一旦勒索病毒GandCrab V4.3成功入侵用户电脑，会加密重要文件并添加KRAB扩展后缀，并要求用户支付499美元的比特币或达世币购买解密工具。此外，该病毒还会利用被感染的电脑进行挖矿。腾讯御见威胁情报中心建议企业用户高度警惕GandCrab V4.3勒索病毒在企业内网的传播，避免给企业业务安全带来不可估量的损失。

目前来看，结合勒索与挖矿的勒索病毒GandCrab V4.3逐渐成为不法黑客的“宠儿”，企业必须随时评估其防御能力，确保自身足以应付来自黑客的最新威胁。对此，腾讯安全反病毒实验室负责人、腾讯电脑管家安全专家马劲松提醒广大企业网管，尽量关闭不必要的端口，可进行白名单配置，只允许白名单内的IP连接登陆；关闭不必要的文件共享；采用高强度的密码，并定期更换密码；对重要文件和数据进行定期非本地备份；并对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。

（图：腾讯安全企业级产品御界）

同时，他建议企业全网安装御点终端安全管理系统和御界高级威胁检测系统，全面增强企业网络抵御攻击威胁的能力，有效防御来自内网终端的病毒木马攻击，通过安装终端杀毒软件等防御措施应对层出不穷的病毒威胁，避免企业遭受损失。