Ljestvica ozbiljnosti:  
  (99/100)

Ransomware GandCrab. Kako ukloniti? (Vodič za deinstalaciju)

od Julie Splinters - - | Tip: Ransomware

Ransomware GandCrab – crypto-virus koji se širi uz pomoć Magnitude Exploit Kita

Poruka kojom ransomware GandCrab traži otkupninu

GandCrab jedan je od najpoznatijih ransomware virusa 2018. godine i već sada je zarazio više od 50.000 PC-ja i zaradio svojim developerima više od 600.000 dolara. Po prvi puta otkriven u siječnju, virus se još uvijek ažurira i nadograđuje vlastite tehnike širenja internetom. U početku se širio putem kampanja po društvenim mrežama i zlonamjernim spamom, da bi se sad ponajviše oslanjao na Magnitude Exploit Kit (EK) koji se već ranije upotrebljavao za distribuciju Magniber ransomwarea. Uz to, nakon što upotrijebi ekstenziju .gdcb za označavanje šifriranih datoteka, GandCrab sada dodaje datotekama i ekstenziju .crab. 

Naziv GandCrab
Tip malware aplikacije Ransomware
Otkriveno 30. siječanj 2018.
Sistemi koje napada Windows
Ekstenzije koje se dodaju inficiranim datotekama .gdcb, .crab
Poruka kojom se traži otkupnina GDCB-DECRYPT.txt
Iznos otkupnine 1.54 DASH ($ 1126)
Može li se dešifrirati Da
Verzije GandCrab v2

Nakon dva mjeseca vladavine, činilo se da je ransomware izgubio rat. Tada su policijska ekipa u Rumunjskoj, Bitdefender i Europol otkrili grešku u kodu ransomware aplikacije i zapravo hakirali cyber-kriminalce. Kao rezultat toga, Bitdefender je kreirao besplatan program za dešifriranje GandCraba, a isti je dostupan na NoMoreRansom.

GandCrab decryptor

Međutim, čini se da to ipak neće zaustaviti hakere koji se kriju iza ovog virusa. Druga verzija virusa GandCrab još uvijek cirkulira putem spam kampanja i traži od žrtava da plate 1.54 DASH-a u zamjenu za ključ za dešifriranje. I dok žrtve mogu dešifrirati datoteke zaražene originalnom verzijom virusa, hakeri su izbacili unaprijeđenu verziju naziva GandCrab v2. Uspjeli su zakrpati kritični nedostatak, pa besplatan program za dešifriranje ne radi s tom novom verzijom virusa. U ovom trenutku virus datotekama dodaje ekstenziju .CRAB, pa se često zna nazivati i virus s .CRAB ekstenzijom.

Ovaj ransomware tekođer se distribuira kao Ransomware-as-a-Service (Raas, ransomware-kao-usluga) diljem ruskog crnog interneta. Prema Check Pointu, hakeri su do sad uspjeli prikupiti više od 600.000 dolara otkupnine na račun inovativnog GandCrab Affiliate Programa. Developeri ovog ransomware virusa također su isplaćivali sudionicima programa od 60% do 70% prihoda u zamjenu za 24-satnu tehničku podršku. Prema podacima istražitelja, ovaj crypto-malware ima gotovo 100 aktivnih partnera. 80 od njih uspješno su proširili 700 različitih uzoraka malware aplikacije. Više od 70% zaraženih PC-ja nalaze se u Velikoj Britaniji i SAD-u, pa je očito da je virus namijenjen korisnicima engleskog govornog područja.

Sredinom travnja 2018. istražitelji su prijavili da se Magnitude EK prebacio na distribuciju ransomware virusa GandCrab. Korišten i za širenje ransomwarea Magniber korisnicima u Južnoj Koreji, postojeći tandem virusa već se mogao vidjeti u skandinavskim državama. Ako samo sumnjate da vam je računalo zaraženo, pobrinite se da ransomware GandCrab uklonite uz pomoć programa Reimage.

Virus GandCrab dodaje datotekama ekstenziju .crab

Exploit kit upotrebljava tehniku “bez datoteka” za izvršavanje ransomware virusa koji je kodiran uz pomoć skripte VBScript.Encode/JScript.Encode i injektiran u memoriju računala. Kad se zaraženi kod izvrši, ransomware se instalira u datoteku explorer.exe i prisiljava PC na restartanje. Nakon toga pokreće se šifriranje koje datoteke zaključava ekstenzijom .CRAB. Čini se da se Magnitude EK većinom upotrebljava za širenje virusa GandCrab 2, a on se još uvijek ne može dešifrirati.

GandCrab se također može distribuirati pomoću zlonamjernog oglašavanja, i to putem kampanje poznate pod nazivom Seamless. Ta kampanja odvodi žrtve do RIG exploit kita. Taj software dizajniran je za detektiranje ranjivih točaka sistema koje se iskorištavaju da bi se inficirao ciljani sistem virusom koji šifrira datoteke ili nekim drugim opasnim računalnim virusom.

Kao što su specificirali stručnjaci za sigurnost na internetu,  GandCrab se trenutno širi putem spam email poruka s predmetom Receipt Feb-21310 [random numbers]. Ime pošiljatelja može varirati, ali je drugi dio email adrese uvijek @cdkconstruction.org. Spam poruka koju upotrebljava ransomware u privitku sadrži PDF i tekst “DOC attached” u samoj poruci.

GandCrab širi se uz pomoć lažnih ažuriranja za tekstualni font Hoefler

GandCrab se oslanja na .doc datoteku koja se preuzima na računalo jednom kad žrtva klikne na maliciozni privitak. .doc datoteka zatim pokreće PowerShell skriptu i kreira exploit datoteku (sct5.txt) koja u ovim trenucima napada 64-bitne sisteme. Različiti stručnjaci za crypto-malware viruse istaknuli su da datoteka sct5.txt ne pokreće najbitniji dio virusa GandCrab, već izvršava exploit i bude samo medij preko kojeg malware ulazi u računalo.

Nakon same infiltracije, GandCran počinje šifrirati najvrjednije podatke koji su pohranjeni u sistemu. Nakon toga, korisnici više ne mogu pristupiti svojim datotekama te su obaviješteni o napadu ransomware virusa putem poruke kojom se traži plaćanje otkupnine, a nalazi se u datoteci GDCB-DECRYPT.txt:

—= GANDCRAB =—

Pažnja!
Sve vaše datoteke, dokumenti, fotografije, baze podataka i ostale važne datoteke su šifrirane i imaju sljedeću ekstenziju: .GDCB
Jedini način vraćanja pristupa tim datotekama je kupovanje vlastitog ključa. On se nalazi na našem serveru i samo vam mi možemo vratiti datoteke. 
Server s vašim ključem nalazi se unutar zatvorene mreže TOR. Do tamo možete doći na sljedeći način:
1. Preuzmite preglednik Tor browser – https://www.torproject.org/
2. Instalirajte preglednik Tor
3. Pokrenite preglednik Tor
4. U pregledniku Tor otvorite sljedeći link: http://gdcbghvjyqy7jclk.onion/[id]
5. Pratite upute na toj stranici

Na našoj stranici vidjet ćete upute o plaćanju i dobiti mogućnost besplatnog dešifriranja 1 datoteke.

OPASNO!
Nemojte pokušavati modificirati datoteke ili koristiti neki svoj privatni ključ – to će samo rezultirati u trajnom gubitku vaših datoteka!

Jednom kad žrtva prođe kroz sve korake iz navedene poruke, bit će odvedena na stranicu pod nazivom GandCrab decryptor. Tamo će im biti prezentiran iznos otkupnine (oko 1200 američkih dolara), korisnička podrška, DASH adresa i mogućnost za upload jedne datoteke za besplatno dešifriranje.

Vrijedi spomenuti da ransomware GandCrab identificira točno određeni vremenski period koji bi se trebao ispoštovati da bi se obavila novčana transakcija, a u suprotnom će se iznos otkupnine udvostručiti. Međutim, radi se tek o pokušaju zastrašivanja potencijalne žrtve i prisiljavanje na plaćanje otkupnine bez prilike za smireno razmišljanje o drugim mogućnostima.

Zato vam mi toplo preporučujemo da ne pratite pravila i upute koje su smislili cyber kriminalci jer postoje alternativni načini na koje se može pristupiti svojim datotekama ili se može upotrijebiti program za dešifriranje kreiran od strane stručnjaka. Da bite ih mogli upotrijebiti, prvo se GandCrab mora ukloniti. Stručnjaci iz NoVirus.uk već su upozorili napadnute korisnike da se radi o iznimno opasnoj vrsti računalnog virusa koji bi morao biti eliminiran uz pomoć profesionalaca ili upotrebom robusnog antivirusnog programa.

Naš odabir za uklanjanje virusa GandCrab bio bi Reimage ili Plumbytes Anti-MalwareMalwarebytes Malwarebytes. No, moguće je koristiti i neki drugi anti-malware software da bi se uništio virus koji šifrira datoteke. Detaljne upute o tome kako početi proceduru eliminacije možete pronaći na kraju ovog članka.

Uz to, nikako NEMOJTE pokušavati sami ukloniti virus GandCrab. Takve kompleksne ransomware infekcije dizajnirane su tako da dobro prikrivaju svoju prisutnost i maskiraju se u legitimne računalne procese. Uništavanje krucijalnih sistemskih datoteka moglo bi dovesti do trajnog oštećenja na računalu i ponovno pojavljivanje crypto-malware programa. Samo zbog toga moramo vam preporučiti upotrebu niže navedenog vodiča za eliminaciju.

Popis verzija ransomware virusa GandCrab

.GDCB file extension virusOva verzija virusa GandCrab detektirana je nekoliko tjedana nakon objavljivanja originalne verzije. Baš kao i prethodnik, i ovaj se širi putem inficiranih spam poruka i privitaka, a svoj kod izvršava u trenutku kada se sam privitak otvori.

Virus napada najpopularnije tipove datoteka, uključujući (no ne ograničava se samo na njih) i .doc, .txt, .jpg, .png, .audio, .video, itd. Svakoj od datoteka dodaje se ekstenzija .GDCB, dok se na desktopu napadnutog računala kreira datoteka GDCB-DECRYPT.txt koja tjera korisnike na preuzimanje preglednika Tor i prebacivanje 1.54 DASH-a kao otkupnine. Iznos otkupnine povećava se ako žrtva kasni s plaćanjem.

GandCrab2. Druga verzija ovog ransomware virusa ne može se dešifrirati. Prije objavljivanja ove nove varijante, kriminalci su uspjeli zakrpati ozbiljan propust koji su detektirali stručnjaci za sigurnost još početkom ožujka.

GandCrab2 distribuira se pomoću zlonamjerne oglašivačke kampanje Seamless koja žrtve dovodi do RIG exploit kita. Međutim, za razliku od svojeg prethodnika, virus do svojih žrtava može doći i preko prevare pod nazivom HoeflerText Font Update. 

Virus podatke zaključava ekstenzijom .CRAB i priprema poruku za plaćanje otkupnine u datoteci CRAB-DECRYPT.txt. Prevaranti traže plaćanje 500 američkih dolara u DASH valuti, i to preko preglednika Tor, da bi u zamjenu ponudili privatni ključ za dešifriranje. Iako su stručnjaci ovu verziju virusa smatrali samo klonom prethodnika, čini se da je ovo zapravo unaprijeđena verzija koja izbjegava dešifriranje uz pomoć besplatnog programa. 

Varijanta GandCrab2. Primjer poruke kojom se traži otkupnina

Stručnjaci nude besplatan program za dešifriranje GandCraba

IT profesionalci koji sudjeluju u poznatom projektu NoMoreRansom.org konačno su uspjeli generirati program za dešifriranje virusa GandCrab. Taj program dostupan je za preuzimanje svima koji žele vratiti pristup datotekama s ekstenzijom .GDCB. Možete ga pronaći na kraju ovog članka.

Ipak, stručnjaci ističu da ako želite upotrijebiti ovaj alat za dešifriranje, prvo se morate riješiti virusa GandCrab. U suprotnom će ransomware i dalje nastaviti šifrirati podatke na napadnutom računalu.

Također se preporučuje upotreba profesionalnih sigurnosnih alata za deinstalaciju ransomware virusa iz sistema. Toplo preporučujemo da upotrijebite jedan od onih koji su navedeni na kraju ovog članka. Ako ne možete pristupiti kompromitiranim informacijama uz pomoć službenog GandCrab decryptora, ima još nekoliko alternativnih metoda koje bi vam mogle pomoći. 

Na primjer, iako je virus dizajniran da obriše Shadow Volume Copies, on možda ne uspije u tome. Tada možete upotrijebiti ShadowExplorer ili neki sličan alat da vratite pristup barem dijelu datoteka.

Uz to, u potpunosti možete vratiti pristup datotekama bez plaćanja otkupnine ako koristite sigurnosne kopije. Ako ih nemate, trebali biste provjeriti alternativne metode za vraćanje podataka koje smo vam pripremili na kraju članka, a isto tako nemojte zaboraviti upotrijebiti i decryptor (program za dešifriranje).

Cyber prijetnja koristi exploit kitove za ulazak u sistem

Exploit kitovi su dizajnirani za detektiranje ranjivosti ciljanog sistema i kao pomoć malicioznom programu da iskoristi te propuste i infiltrira se u računalo. Pogotovo se ovaj ransomware distribuira uz pomoć i RIG i GrandSoft exploit kitova,  kao i Magnitude exploit kita. Ovaj sofisticirani software ne treba dopuštenje korisnika da bi instalirao malware program u sistem računala. 

GandCrab se instalira pomoću Magnitude EK-a

Uz sve to, poterbno je znati da exploit kitovi nisu jedini način za distribuciju ransomware virusa. Prevaranti mogu iskoristiti lakovjerne korisnike i upotrijebiti zavaravajuće spam poruke s malicioznim privitcima. Obično se maskiraju u račune iz trgovina, dostavnice ili slične dokumente dobro poznatih brendova i kompanija. Isto tako, naivni korisnici otvaraju zaražene privitke i sami dopuštaju cyber prijetnji ulazak u sistem računala.

Kao što smo napomenuli u prijašnjem paragrafu, developer ovog ransomware virusa aktivno šalje spam email poruke. Predmet poruke je uvijek isti – Receipt Feb-21310 [random numbered], samo će se naziv pošiljatelja donekle razlikovati. U takvim porukama neće biti previše informacija, osim istaknutog “DOC attached.”

Dakle, predlažemo vam da budete ekstremno oprezni prilikom surfanja internetom ili tijekom pregledavanja email poruka. Jako je bitno da dobro obratite pažnju na uvodne riječi emaila – maliciozni email možete identificirati po sitnim pravopisnim pogreškama ili nagovaranju da se otvori privitak “za više detalja”. Molimo vas da ne otvarate privitke u sumnjivim email porukama, pogotovo ako vidite ekstenzije poput .JS, .EXE, .COM, .PIF, .SCR, .HTA, .vbs, .wsf, .jse, .jar ili neke druge sumnjive ekstenzije. Također pokušajte izbjegavati posjećivanje sumnjivih web stranica koje bi mogle biti u vlasništvu cyber kriminalaca i koje se upotrebljavaju za distribuciju visokorizičnih računalnih infekcija. 

Naučite kako na siguran način deinstalirati virus GandCrab i vratiti svoje podatke

Ako želite ukloniti ransomware GandCrab i nastaviti s vraćanjem podataka, jedini način da to odradite je uz pomoć sigurnosnog softwarea. Imajte na umu da to morate napraviti čim prije da biste izbjegli daljnju štetu na vašem računalu. Kasnije ćete moći upotrijebiti novi program za dešifriranje da biste vratili pristup datotekama koje je ransomware šifrirao.

Da biste popravili sistem, preuzmite profesionalni sigurnosni software čim na računalu primijetite šifrirane datoteke. Preporučujemo vam da za uklanjanje GandCraba upotrijebite Reimage, Malwarebytes MalwarebytesCombo Cleaner ili Plumbytes Anti-MalwareMalwarebytes Malwarebytes jer su se oni koristili prilikom testiranja virusa. Nakon instaliranja jedne od navedenih aplikacija, pokrenite skeniranje kompletnog sistema i dopustite joj uništavanje ovog virusa koji šifrira vaše datoteke. Nažalost, ovi programi nemaju nikakve veze s dešifriranjem šifriranih datoteka.

Imajte na umu da možda u početku nećete moći instalirati alat za uklanjanje malware aplikacija. Da biste uspjeli u tome, morat ćete restartati svoje računalo i pokrenuti ga u Safe Mode with Networking ili se osloniti na System Restore. Kako to napraviti i riješiti se virusa GandCrab možete pronaći u vodiču korak po korak koji se nalazi na kraju ovog članka. Uz to, naši stručnjaci pripremili su alternativne metode koje će vam pomoći u vraćanju šifriranih datoteka. 

Ponuda
uradi sada!
Preuzmi
Reimage (program za uklanjanje) Sreća
Zagarantirana
Preuzmi
Reimage (program za uklanjanje) Sreća
Zagarantirana
Kompatibilan sa Microsoft Windows Supported versions Kompatibilan sa OS X Supported versions
Što učiniti ako nije uspjelo?
Ako niste uspjeli ukloniti štetu izazvanu virusom uz pomoć Reimage, postavite pitanje našem timu za podršku i navedite što je više moguće detalja.
Preporučujemo Reimage da biste uklonili štetu izazvanu virusom. Besplatan skener omogućava vam da provjerite je li vaš PC zaražen ili nije. Ako morate ukloniti malware program, morate kupiti licenciranu verziju Reimage alata za uklanjanje malware programa.
Ransomware GandCrab fotografija
Ransomware GandCrab fotografija

Ručni GandCrab Priručnik za uklanjanje virusa:

Ukloni GandCrab koristeći Safe Mode with Networking

Restartanje i pokretanje računala u načinu rada Safe Mode with Networking pri je korak u proceduri eliminacije ransomware virusa.

  • Korak 1: Podigni sustav računala na Safe Mode with Networking

    Windows 7 / Vista / XP
    1. Kliknite na Start Shutdown Restart OK.
    2. Kad se vaše računalo aktivira, počnite pritiskati F8 više puta sve dok vam se ne pokaže prozor Advanced Boot Options.
    3. Na listi odaberite Safe Mode with Networking Odaberite 'Safe Mode with Networking'

    Windows 10 / Windows 8
    1. Pritisnite gumb Power kod Windows ekrana za logiranje. Sada pritisnite i držite Shift, koji se nalazi na tipkovnici, pa kliknite Restart..
    2. Sada odaberite Troubleshoot Advanced options Startup Settings i na kraju pritisnite Restart.
    3. Kad se računalo aktivira, odaberite Enable Safe Mode with Networking u prozoru Startup Settings. Odaberite 'Enable Safe Mode with Networking'
  • Korak 2: Ukloni GandCrab

    Ulogirajte se u vaš inficirani račun i pokrenite preglednik. Preuzmite Reimage ili neki drugi renmirani anti-spyware program. Ažurirajte ga prije kompletnog skeniranja sistema i uklonite maliciozne datoteke koje pripadaju ransomware programu i završite uklanjanje virusa GandCrab.

Ako ransomware program blokira Safe Mode with Networking, pokušajte sa sljedećom metodom.

Ukloni GandCrab koristeći System Restore

Da biste se riješili ovog ransomware virusa uz pomoć metode System Restore, pratite sljedeće korake:

  • Korak 1: Podigni sustav računala na Safe Mode with Command Prompt

    Windows 7 / Vista / XP
    1. Kliknite na Start Shutdown Restart OK.
    2. Kad se vaše računalo aktivira, počnite pritiskati F8 više puta sve dok vam se ne pokaže prozor Advanced Boot Options.
    3. Na listi odaberite Command Prompt Odaberite 'Safe Mode with Command Prompt'

    Windows 10 / Windows 8
    1. Pritisnite gumb Power kod Windows ekrana za logiranje. Sada pritisnite i držite Shift, koji se nalazi na tipkovnici, pa kliknite Restart..
    2. Sada odaberite Troubleshoot Advanced options Startup Settings i na kraju pritisnite Restart.
    3. Kad se računalo aktivira, odaberite Enable Safe Mode with Command Prompt u prozoru Startup Settings. Odaberite 'Enable Safe Mode with Command Prompt'
  • Korak 2: Vratite sistemske datoteke i postavke
    1. Kada se pojavi prozor Command Prompt, upišite cd restore i kliknite Enter. Upišite 'cd restore' nez navodnika i pritisnite 'Enter'
    2. Sada upišite rstrui.exe i još jednom pritisnite Enter. Upišite 'rstrui.exe' nez navodnika i pritisnite 'Enter'
    3. Kad se pojavi novi prozor, kliknite na Next i odaberite točku vraćanja prije infiltracije GandCrab. Nakon što to učinite, kliknite na Next. Kad se pojavi prozor 'System Restore', odaberite 'Next' Odaberite točku vraćanja i kliknite na 'Next'
    4. Sada kliknite na Yes da bi započeli s vraćanjem sistema. Kliknite na 'Yes' i započnite vraćanje sistema
    Jednom kad vratite sistemske datoteke i postavke na raniji datum, preuzmite i skenirajte računalo uz pomoć programa Reimage i pobrinite se da je uklanjanje virusa GandCrab uspješno provedeno

Bonus: Vratite svoje podatke

Vodič koji je prezentiran iznad ovog teksta bi vam trebao pomoći pri uklanjanju virusa GandCrab iz vašeg računala. Da biste vratili šifrirane datoteke, preporučujemo vam upotrebu detaljnog vodiča koji su pripremili stručnjaci za sigurnost na internetu tvrtke virusi.hr.

Ako je vaše datoteke šifrirao virus GandCrab, možete upotrijebiti nekoliko metoda da ponovno dođete do njih.

Data Recovery Pro može vam pomoći u vraćanju kompromitiranih podataka

Ovo je odličan alat za vraćanje podataka jer ne zahtijeva aktiviranje nikakve dodatne funkcije u sistemu. Imajte na umu da je ovaj program također koristan ako ste izgubili podatke zbog rušenja sistema.

  • Preuzmi Data Recovery Pro;
  • Pratite korake postavki programa za vraćanje podataka (Data Recovery) i instalirajte ga na računalo;
  • Pokrenite ga i skenirajte računalo da biste pronašli datoteke koje je šifrirao ransomware program GandCrab;
  • Vratite datoteke.

Mogućnost Windows Previous Versions pomaže u vraćanju šifriranih datoteka

S Windows Previous Versions možete putovati u prošlost ako imate aktiviranu funkciju System Restore, i to prije napada ransomware programa.

  • Pronađite datoteku koju trebate vratiti i kliknite na nju desnom tipkom miša;
  • Odaberite “Properties” i idite na karticu (tab) “Previous versions”;
  • Ovdje provjerite sve dostupne verzije datoteke u mapi “Folder versions”. Trebali biste odabrati verziju koju želite vratiti i kliknuti na “Restore”.

Program za dešifriranje (decryptor) GandCraba je dostupan

Eksperti su dizajnirali jedinstveni software za dešifriranje ransomware virusa GandCrab. Možete ga preuzeti ovdje. U slučaju da ne može dešifrirati neke određene verzije malware aplikacije, slobodno isprobajte alternativne metode za vraćanje podataka navedene iznad.

Na kraju, uvijek morate razmišljati o zaštiti od crypto-ransomware programa. Da bi zaštitili vaše računalo od GandCrab i ostalih ransomware programa, morate se poslužiti renomiranim anti-spyware programima kao što su Reimage, Malwarebytes MalwarebytesCombo Cleaner ili Plumbytes Anti-MalwareMalwarebytes Malwarebytes

O autoru

Julie Splinters
Julie Splinters - Specijalist za uklanjanje malware programa

Ukoliko Vam je ovaj besplatan vodič za uklanjanje pomogao i zadovoljni ste našom uslugom, molimo Vas da razmislite o doniranju kako bi ova usluga opstala. Čak i najmanja cifra će biti cijenjena.

Kontaktiraj Julie Splinters
O tvrtci Esolutions

Izvor: https://www.2-spyware.com/remove-gandcrab-ransomware.html

Vodič za uklanjanje na drugim jezicima