赚了20亿美元GandCrab的兴衰史 (赚了1170亿美元)
轻轻的我走了，正如我轻（高）轻（调）的来。挥一挥衣袖，捎带走20亿美元。
GandCrab，这款2018年最流行的勒索病毒，现在终于宣告退场......它的故事完了，钱赚够了、准备撤了，留下最后一波被勒索的人们，独自在风中凌乱。
2019年6月，GandCrab勒索病毒团队相关论坛发表俄语官方声明，将在一个月内关闭其RaaS（勒索软件即服务）业务。详情如图：
翻译之后，大概意思就是：
其关停业务将包括：
正如开头说的，这家公司靠勒索软件赚取了超过20亿美元的赎金，运营商每周大约赚250万美元。
然鹅，对于这一年半的“丰功伟绩”，GandCrab对自己的评价是：
看来，GandCrab“跑路”前，还给自己的行为来了个五星好评。
“当时是在一个国外安全研究人员的相关论坛网站。当时我觉得勒索比较有意思，于是就从app.any.run网站下载到了相关的样本。”这是身为安全研究员的29A第一次接触GandCrab勒索病毒。
2018年1月26号，29A第一次分析了GandCrab1.0版本的样本。29A称，它的第一代，使用了代码自解密技术，在内存中解密出勒索病毒的核心代码，然后替换到相应的内存空间中执行,当时它只向用户勒索达世币，加密后缀为:GDCB，分析完之后GandCrab运营团队在2018年1月28号，在论坛上发布了相关的出售贴子，如下所示：
“说实话，当时我并没发现这款勒索病毒在后面一年半的时间里会变的如此火爆。”
GandCrab演变史
3月初，GandCrab勒索病毒的服务器被罗马尼亚一家安全公司和警方攻破，可以成功恢复GandCrab加密的文件。于是，病毒开发人员迅速升级了版本V2，并将服务器主机命名为politiaromana.bit，挑衅罗马尼亚警方，之前服务器的主机为gandcrab.bit.....
“这是一个契机，没过多久GandCrab就演变出了GandCrab2.0版本。”
分析GandCrab2.0版本发现，它使用了代码混淆，花指令，反调试等技术，同时使用了反射式注入技术，将解密出来的勒索病毒核心Payload代码，注入到相关的进程当中，然后执行相应的勒索加密操作，加密后缀为：CRAB......
“2018年4月，我接到客户应急处理，发现了第一例GandCrab勒索案例，通过分析，发现它就是之前分析过的GandCrab2.0版本的升级，该版本号为GandCrab2.1。
在发布预警之后，29A再次监控到了一款新的GandCrab变种，并将其命名为GandCrab3.0，这款勒索病毒主要通过邮件附件的方式，在一个DOC文档中执行VBS脚本，然后下载GandCrab3.0勒索病毒并执行，加密后缀与之前2.0版本一样为:CRAB，如下所示：
到了GandCrab4.0，勒索运营团队在勒索信息中首次使用了TOR支付站点的方式，让受害者联系，然后解密，29A也在第一时间发布了相关的预警。
29A称，发现新版本是在2018年7月，当时再次接到了客户应急响应，通过分析发现它属于GandCrab家族，这次加密后缀为:KRAB。
“当时本以为GandCrab要歇一阵了，没想到仅仅是过了一个月GandCarb4.3就出现了。其更新速度之快，映射出GandCrab对于勒索产业重要程度。而紧随其后的，还有GandCrab5.0。”
最后一次更新使用了更多的方式传播，不仅仅通过VBS脚本执行下载，还会使用PowerShell脚本，JS脚本的方式下载传播执行，捕获取了它的相关样本，并解密出相应的脚本，如下所示：
在这之后，是基于GandCrab5.0的两次小更新——GandCrab5.0.3和GandCrab5.0.4。而前者可以说是当时最流行的勒索病毒，中招用户也都多集中在这一版本。
通过对捕获到的最新GandCrab5.0.3传播JS脚本进行分析，其主要功能分为如下4种：
在这之后，GandCrab5.0.4开始活跃起来。
5.0.4小插曲
有趣的是，在GandCrab5.0.4版本向5.0.5迭代前，有一个小插曲让GandCrab更加出名了。
29A称，在GandCrab5.0.4版本活跃了一段时间之后，全球多家企业以及个人用户中招。在10月16日，一位叙利亚用户在twitter上表示GandCrab勒索病毒加密了他的电脑文件，因为无力支付高达600美元的“赎金”，他再也无法看到因为战争丧生的小儿子的照片，如下所示:
事情之后，GandCrab勒索病毒运营团队发布了一条道歉声明，并放出了所有叙利亚感染者的解密密匙，GandCrab也随之进行了V5.0.5更新，将叙利亚加进感染区域的“白名单”。至此，GandCrab得到了一个“侠盗勒索病毒”的美称。
这之后不久，安全公司BitDEFender与欧州型警组织和罗马尼亚警方合作开发了GandCrab勒索软件解密工具。该解密工具适用于所有已知版本的勒索软件。可解密的版本，如下所示：
该工具是No More Ransom项目的最新研究成果，它的诞生也预示着GandCrab勒索病毒快走到了尽头......
29A将GandCrab、Satan、CrySiS、Globelmpster并成为2018年四大勒索病毒，而GandCrab更是被“誉为”四大勒索病毒之首。在其发布的相关预警总结报告中，GandCrab被比喻成是勒索界海王。
随后，GandCrab5.1、GandCrab5.2版本陆续发布，但这更像是残阳西下前的最后一缕余光，安全厂商很快跟进了其解密工具。
正所谓天下没有不散的宴席，GandCrab5.1火了一段时间，然后随着GandCrab5.1版本解密工具的放出，2019年3月，GandCrab运营团队再次发布了GandCrab5.2版本的勒索病毒，同时国内又有多家企业中招。
“在GandCrab爆发的一年半时间里，接到过N起客户应急响应事件，直到近期，我发现它的传播渠道开始传播其他勒索病毒样本(Sodinokibi、GetCrypt、EZDZ)，我心里在想难不成GandCrab换人了？”
后记
之后的事情，大家都已经知道了。
2019年6月1日，GandCrab运营团队就在国外论坛上官方宣布了，停止GandCrab勒索病毒的更新。
“GandCrab运营团队究竟赚了多少，我们不知道，不过肯定不会少，勒索现在成了黑产来钱最快，也是最暴力的方式，每年全球的勒索运营团队都会有几百亿的黑产收入，很多大型企业中了勒索而不敢声张，偷偷交赎金解决，相关政企事业单位会找安全公司进行应急响应处理。”
在29A看来，GandCrab勒索虽然结束了，然而安全防护并没有结束，而且在后面一定会有越来越多的黑产团队加入。GandCrab算是打开了潘多拉之盒，之后会有多少像GandCrab的黑产团队出来作恶就不得而知了。
“这些年做勒索和挖矿的黑产，基本都发财了，而且是闷声发着大财。抵御诱惑是做安全的人的基本素养，这么多年做安全，我一直保持着两点，一个是坚持安全研究，一个是不做黑产，至少现在我能坚守这两点。”
版权文章，未经授权禁止转载。详情见 转载须知 。
鹤壁英才智学科技有限公司，提供视频摄制及课件制作等一站式技术服务，计算机软硬件及辅助设备销售。
江苏润銮塑业科技有限公司主要从事于塑编产品生产和销售,主营产品有吨袋，塑编袋，缠绕膜，薄膜袋等各式各样的塑编产品
依托海鹰六十年来精湛的水声技术背景，凭借快速专业的水下设备服务经验，海鹰海洋电子致力于为海洋与水文事业提供全面的解决方案。
专业有机肥设备,有机肥生产线加工设备厂家,厂家直销，价格优惠，质量有保证.华强产品覆盖肥料发酵翻抛、烘干冷却、搅拌配料、制粒包装设备，设备先进，经济效益高.欢迎广大客户来电咨询:0371-86570111
天长市正业测控仪表有限公司是一家集设计_研发_生产和销售于一体的变送器厂家;主要产品有:压力变送器,差压变送器,单晶硅变送器,液位变送器等,广泛应用于石油开采-火力发电-矿山机械设备等行业.
万信物流是提倡优质服务理念的专线物流公司，专注于中港物流领域，以上海物流、黄浦物流、徐汇物流、长宁物流、静安物流、普陀物流、闸北物流、虹口物流、杨浦物流、宝山物流、闵行物流、金山物流、青浦物流、奉贤物流、浦东新物流、嘉定物流、松江物流、崇明物流为核心，致力于为客户提供优质高效的货物运输服务。
pcmonkey的个人博客网站
巩义市昌旺给排水材料厂的销售热线:15037198065,公司技术力量雄厚,生产设备精良,产品畅销全国各地,并出口为东南亚,欧洲,中东国家,深受用户的好评!
海洋数码，一个汇聚电脑、数码、家电等领域知识精华的平台，致力于分享最前沿的科技常识和深度解析，让每一位访问者都能在知识的海洋中遨游，探索科技的无限可能。
南通永威机械有限公司为您提供准确冲孔打桩机价格、冲锤价格报价信息、锤牙价格行情走势，包括了卷扬机厂家、打桩机锤头、手拉冲击钻厂家等详细信息，为您订购冲击桩机产品提供周密的直销价格参考数据。
全民特权-您推广路上的好帮手
轻轻的我走了，正如我轻，高，轻，调，的来，挥一挥衣袖，捎带走20亿美元，GandCrab，这款2018年最流行的勒索病毒，现在终于宣告退场......它的故事完了，钱赚够了、准备撤了，留下最后一波被勒索的人们，独自在风中凌乱，2019年6月，GandCrab勒索病毒团队相关论坛发表俄语官方声明，将在一个月内关闭其RaaS，勒索软件即服...。
据，Motor1，等多家媒体报道，沃尔沃将投入生产约30米长，拥有300个乘客座位的超级巴士，它被称为GranArctic300，将是世界上最大的巴士，GranArctic300采用弯曲的双关节设计，公共汽车五门，四轴，将最早进入巴西市场，在巴西，沃尔沃一直在生产巨型巴士，GranArctic300是沃尔沃专门为巴西市场研发的第二种双...。
芯片总因其高性能而受到关注，安全性却时常被忽略，近年来，芯片安全事件多次引发业界广泛关注，2018年，英特尔、AMD、ARM处理器中的Meltdown和Spectre漏洞，几乎威胁到了所有人的电脑和智能手机的安全，今年又有研究报告指出，高通公司芯片中的一个新漏洞可能会影响全球30%的安卓手机，随着联网设备的增加，一旦芯片出现安全问题，...。
所有人的目光聚焦在生成式AI时，Arm同样如此，还提出了非常具体的目标，一年一度的ArmTechSymposia年度技术大会深圳站，Arm终端事业部产品管理副总裁JamesMcNiven表示，，预计到2025年底，全球将有超过1000亿台Arm设备具备AI能力，对于Arm架构芯片出货量已经超过3000亿颗的Arm来说，这是一个可以轻...。
发表在综合交流大区2018，12，1916，36做手工是一件特别有成就感的事情，我相信大家也都有做手工的能力，现在我给大家分享一个如何用手工做出简易全息投影工具，这样体会到了做手工的满足感，又有全息投影看了，一举两得的事情，下面就开始吧，工具一、手机、平板电脑、电脑屏，能放视频的设备，都可以，二、直尺、小刀，或剪刀，、圆规，量角器，、...。
不是骗子，苏州星烁具有注册商标、工商部门认证、营业执照，苏州星烁网络科技有限公司于2020年10月29日成立，法定代表人钱凯，公司经营范围包括，一般项目，网络技术服务，网络与信息安全软件开发，杭州宴席帮网络科技有限公司怎么样，杭州宴席帮网络科技有限公司是2018，02，12在浙江省注册成立的有限责任公司，自然人投资或控股，，注册地址位...。
