2018年3月份勒索病毒攻击事件频发，主要有GandCrab、Crysis、GlobeImposter和Satan四个勒索病毒家族

By 西数科技司法鉴定服务中心行业新闻With 0 comments

2018年3月份勒索病毒攻击事件频发，主要有GandCrab、Crysis、GlobeImposter和Satan四个勒索病毒家族，其中有三例均针对服务器攻击。此外，还发现FRS勒索病毒、Sigma勒索病毒、HERMES勒索病毒等八例新的勒索病毒。

1、GandCrab家族：勒索达世币、多渠道传播

3月初，GandCrab官网后台被入侵并泄露了部分密钥，不久GandCrab发布了第二代勒索病毒GandCrab2。从捕获的传播样本来看，不同于第一代GandCrab勒索病毒将加密文件后缀名改为“.GDCB”，GandCrab2加密文件后，文件后缀会被更改为“.CRAB”。

此外，GandCrab要求中招者使用达世币支付赎金。此前如WannaCry、Peyta等臭名昭著的勒索病毒多以比特币为勒索对象，但使用比特币时，任何交易都会被写到数据区块链中，这使得每个人都能查询交易，而达世币则帮助不法黑客隐藏了这些信息，使得其更加难被追踪，达世币逐渐成为不法黑客勒索钱财的“新宠”。

GandCrab家族勒索病毒传播渠道相对其他家族丰富很多，包括挂马攻击、水坑攻击、漏洞攻击和钓鱼邮件攻击，其中水坑攻击令人防不胜防。水坑攻击传播通过入侵网站后台，将网页内容篡改为乱码，并且提示需要更新字体，诱导用户下载运行“字体更新程序”，实际上用户下载到的是GandCrab2勒索病毒。

2、Crysis家族：针对服务器攻击、利用RDP传播

Crysis家族较早可以追溯到2016年3月，但进入2017年之后，才开始持续传播，并且一直针对Windows服务器攻击。

主要传播方式是利用服务器弱口令漏洞，爆破远程登录用户名和密码，进而通过RDP（远程桌面协议）远程登录目标服务器运行勒索病毒。由于黑客是远程登录服务器后手动操作，因此即使服务器上安装有安全软件，也有可能会被黑客手动退出。

3、GlobeImposter家族：针对服务器攻击、利用RDP传播

GlobeImposter同样是个较老的勒索病毒家族，其初期主要通过钓鱼邮件针对个人用户攻击，如今或许是为了更高的收益，也将重点攻击目标逐步转向服务器。传播方式与Crysis家族类似，主要通过爆破后利用RDP协议远程登录操作。

4、Satan家族：针对服务器数据库文件加密、利用永恒之蓝漏洞

Satan勒索病毒也是个老家族，首次出现在2017年1月份。Satan病毒的开发者通过网站允许用户生成自己的Satan变种，并且提供CHM和带宏脚本Word文档的下载器生成脚本。在3月下旬，发现Satan勒索病毒爆发，利用NSA泄露的永恒之蓝漏洞工具主动攻击局域网内其他存在漏洞的系统，并且针对数据库文件进行加密。而勒索的赎金仅需要0.3个比特币，在各勒索病毒家族中实属“良心”。

5、FRS勒索病毒

3月9日，发现FRS勒索病毒。FRS勒索病毒加密文件后，会以.FRS作为后缀，留下的勒索信息中有中文和英文，提示需要使用桌面上的FRS Decryptor工具进行解密。运行FRS Decryptor后，会先免费解密一个文件，之后要继续解密的话，需支付0.5个比特币（约985人民币）作为赎金，才可以解密。