继 WannaCry 后，加密货币勒索程序 GandCrab 再度侵犯中国

原文标题：《放过叙利亚，不可破解的「侠盗病毒」来祸害中国了》
作者：秦晓峰

「侠盗病毒」来到中国，腾讯、360 都拿它没辙。

2017 年，WannaCry 比特币勒索病毒攻击了包括中国在内的 150 多个国家，造成损失超 80 亿美元。此后各类勒索病毒（NotPetya、Bad Rabbit 等）虽层出不穷，但影响范围始终有限。

近日出现的一款名为 GandCrab V5.2 加密货币勒索病毒，似乎大有再现 WannaCry 「昔日荣光」的迹象，目前已在中国攻击了数千台政府以及企业的电脑。

所谓勒索病毒，即设法让你的电脑中毒，锁死内部文件，要求用户通过 Dash 支付赎金才会解锁。

包括慢雾、DVP 在内的众多安全团队都向笔者表示，GandCrab V5.2 目前不可破解，只能做好防御。

GandCrab 团队不仅技术高超，而且「盗亦有道」：既信守承诺给赎金就「解毒」，还曾「人道地」将叙利亚等战乱地区排除在感染地区之外，因而曾被人称为「侠盗」病毒。不过，其却将中国、韩国视为其重要的攻击目标。GandCrab 幕后团队也通过出售病毒获得了 285 万美元收益。

近年来针对加密货币的攻击日益增多，区块链安全事件频发。除了勒索病毒，恶意挖矿也一直不甘示弱。如果说，2017 年攻击是以「勒索病毒」为主，2018 年以「恶意挖矿」为主。现在，勒索病毒会否再次卷土重来？

上千台政府、机构电脑感染

新型的比特币勒索病毒再次肆虐。

根据国家网络与信息安全信息通报中心监测，GandCrab V5.2 自 2019 年 3 月 11 日开始在中国肆虐，攻击了上千台政府、企业以及相关科研机构的电脑。

截止发稿前，湖北省宜昌市夷陵区政府、中国科学院金属研究所、云南师范大学以及大连市公安局等政府、企业、高校均在其官网发布了遭受病毒攻击的公告。

夷陵区政府官网截图

根据网络安全分析师 David Montenegro 所言，GandCrab V5.2 勒索病毒目前已经感染了数千台中国电脑，接下来还将通过等远程攻击的方式影响中国更多的电脑。

手段：垃圾邮件攻击

GandCrab V5.2 又是如何让受害者电脑「中毒」的呢？据了解，该勒索病毒目前主要通过邮件形式攻击。

攻击者会向受害人邮箱发送一封邮件，主题为「你必须在 3 月 11 日下午 3 点向警察局报到！」，发件人名为「Min，Gap Ryong」，邮件附件名为「03-11-19.rar」。

图片来自腾讯安全

一旦受害者下载并打开该附件，GandCrab V5.2 在运行后将对用户主机硬盘数据全盘加密，并让受害者访问特定网址下载 Tor 浏览器，随后通过 Tor 浏览器登录攻击者的加密货币支付窗口 , 要求受害者缴纳赎金。

DVP 区块链安全团队认为，除了垃圾邮件投放攻击， GandCrab V5.2 还有可能采用「网页挂马攻击」。即除了在一些非法网站上投放木马病毒，攻击者还可能攻击一些防护能力比较弱的正规网站，在取得网站控制权后攻击登陆该网站的用户。

另外，该病毒也有可能通过漏洞传播，利用 CVE-2019-7238 (Nexus Repository Manager 3 远程代码执行漏洞) 以及 weblogic 漏洞进行传播。

「攻击者会对受害者电脑里面的文件进行了不可逆加密，要想解开，只能依靠攻击者给你特定的解密密钥。」慢雾安全团队解释说，受害者只有付款才能获得特定密钥。

不过，有时候也会发生受害者交了钱但攻击者不给密钥解锁的情况，慢雾安全团队认为攻击者所属团队的声誉高低可以作为一个判断依据。

「勒索蠕虫知名度越高，越有可能给你发密钥，GandCrab 在暗网上的知名度还是很高的，口碑也不错。」慢雾安全团队说，「如果不发私钥就会降低声誉，其他被攻击者就不会再打钱了。」

「关键是看，攻击者是否给受害者提供了一个联系渠道。」DVP 区块链安全团队告诉笔者，由于加密货币具有匿名性，攻击者很难判定受害者是否进行了打币操作，如果没有沟通渠道，说明攻击者根本无意解锁受害电脑。

不可破解：地表最强的勒索病毒？

「目前根本没有办法直接破解，一旦被攻击成功，如果电脑里有重要的资料，只能乖乖交钱领取私钥破解。」包括慢雾、DVP 在内的众多安全团队都向笔者表示该病毒不可破解。

百度贴吧截图

然而，笔者发现在一些论坛上，出现了宣称可以破解 GandCrab V5.2 的公司，条件是先付款，再破解。

「基本上都是骗子，都是一些皮包公司，根本没有能力。」一家匿名的区块链安全公司表示，「腾讯、360 等公司都破解不了，他们能破解？」

「一些团队或个人宣称可以破解 GandCrab V5.2，其实是「代理」破解。」慢雾安全团队解释说，「他们收你的钱，帮你向勒索者支付加密货币，从而拿到解密密钥（破解）。」

攻击者来势汹涌，一时之间破解不了木马病毒，只能做好防御。宜昌市夷陵区政府也给出了一些应对之策，包括：

• 一是不要打开来历不明的邮件附件；
• 二是及时安装主流杀毒软件，升级病毒库，对相关系统进行全面扫描查杀；
• 三是在 Windows 中禁用 U 盘的自动运行功能；
• 四是及时升级操作系统安全补丁，升级 Web、数据库等服务程序，防止病毒利用漏洞传播；
• 五是对已感染主机或服务器采取断网措施，防止病毒扩散蔓延。

不过，慢雾安全团队指出，非 Windows 操作系统暂时并不会被感染。「GandCrab V5.2 蠕虫目前只在 Windows 上运行，其他系统还不行。」

「强悍」的病毒，也让团队在安全圈里「小有名气」。

GandCrab 勒索病毒诞生于 2018 年 1 月，并在随后几个月里，成为一颗「新星」。

该团队的标签之一是 「技术实力」强。

今年 2 月 19 日，Bitdefender 安全实验室专家曾根据 GandCrab 自己给出的密钥（后文会解释原因），研发出 GandCrab V5.1 之前所有版本病毒的「解药」。

然而，道高一尺，魔高一丈。根据 zdnet 报道，今年 2 月 18 日，就在 Bitdefender 发布最新版本破解器的前一天，GrandCrab 发布了正肆虐版本（V5.2），该版本至今无法破解。

目前在暗网中，GrandCrab 幕后团队采用「勒索即服务」（ransomware as-a-service）的方式向黑客大肆售卖 V5.2 版本病毒。即由 GrandCrab 团队提供病毒，黑客在全球选择目标进行攻击勒索，攻击成功后 GrandCrab 团队再从中抽取 30%-40% 的利润。

「垃圾邮件制造者们，你们现在可以与网络专家进行合作，不要错失获取美好生活的门票，我们在等你。」这是 GrandCrab 团队在暗网中打出的「招商广告」。

值得一提的是，GandCrab 是第一个勒索 Dash 币的勒索病毒，后来才加了比特币，要价 499 美元。根据 GandCrab 团队 2018 年 12 月公布的数据，其总计收入比特币以及 Dash 币合计 285 万美元。

（GandCrab 收入截图）

「盗亦有道」的侠盗团队？

这款病毒的团队，另外标签是「侠盗」。该标签来源于 2018 年发生的「叙利亚密钥」事件。

2018 年 10 月 16 日，一位名叫 Jameel 的叙利亚父亲在 Twitter 上发贴求助。Jameel 称自己的电脑感染了 GandCrab V5.0.3 并遭到加密，由于无力支付高达 600 美元的「赎金」，他再也无法看到在战争中丧生的小儿子的照片。

Twitter 截图

GandCrab 勒索病毒制作者看到后，随即发布了一条道歉声明，称其无意感染叙利亚用户，并放出了部分叙利亚感染者的解密密钥。

GandCrab 也随之进行了 V5.0.5 更新，并将叙利亚以及其他战乱地区加进感染区域的「白名单」。此外，如果 GandCrab 监测到电脑系统使用的是俄语系语言，也会停止入侵。安全专家据此猜测病毒作者疑为俄罗斯人。

勒索者道歉图

一时之间，不少人对 GandCrab 生出好感，称呼其为「侠盗」。

「GandCrab 颇有些武侠小说中侠盗的意味，盗亦有道。」一位匿名的安全人员告诉笔者，「不过即使这样，也不能说 GandCrab 的行为就是正当的，毕竟它对其他国家的人就没有心慈手软。」

根据腾讯安全团队统计，GandCrab 受害者大部分集中在巴西、美国、印度、印度尼西亚和巴基斯坦等国家。并且，GrandCrab V 5.2 版本所使用的语言主要是中文、英文以及韩文，说明中国目前已经成为其重要的攻击目标。

GrandCrab V 5.2 版本

「一个黑客如果对一个区域的人没有感情，那么作恶时就不会考虑这个区域的人的感受。」慢雾安全团队解释说，「在黑客看来，中国网络空间积金至斗，所以对中国下手也就不足为奇。」