Ransomware GandCrabKako ukloniti?

Ransomware GandCrab – crypto-virus koji se širi uz pomoć Magnitude Exploit Kita

GandCrab jedan je od najpoznatijih ransomware virusa 2018. godine i već sada je zarazio više od 50.000 PC-ja i zaradio svojim developerima više od 600.000 dolara. Po prvi puta otkriven u siječnju, virus se još uvijek ažurira i nadograđuje vlastite tehnike širenja internetom. U početku se širio putem kampanja po društvenim mrežama i zlonamjernim spamom, da bi se sad ponajviše oslanjao na Magnitude Exploit Kit (EK) koji se već ranije upotrebljavao za distribuciju Magniber ransomwarea. Uz to, nakon što upotrijebi ekstenziju .gdcb za označavanje šifriranih datoteka, GandCrab sada dodaje datotekama i ekstenziju .crab. 

Nakon dva mjeseca vladavine, činilo se da je ransomware izgubio rat. Tada su policijska ekipa u Rumunjskoj, Bitdefender i Europol otkrili grešku u kodu ransomware aplikacije i zapravo hakirali cyber-kriminalce. Kao rezultat toga, Bitdefender je kreirao besplatan program za dešifriranje GandCraba, a isti je dostupan na NoMoreRansom.

Međutim, čini se da to ipak neće zaustaviti hakere koji se kriju iza ovog virusa. Druga verzija virusa GandCrab još uvijek cirkulira putem spam kampanja i traži od žrtava da plate 1.54 DASH-a u zamjenu za ključ za dešifriranje. I dok žrtve mogu dešifrirati datoteke zaražene originalnom verzijom virusa, hakeri su izbacili unaprijeđenu verziju naziva GandCrab v2. Uspjeli su zakrpati kritični nedostatak, pa besplatan program za dešifriranje ne radi s tom novom verzijom virusa. U ovom trenutku virus datotekama dodaje ekstenziju .CRAB, pa se često zna nazivati i virus s .CRAB ekstenzijom.

Ovaj ransomware tekođer se distribuira kao Ransomware-as-a-Service (Raas, ransomware-kao-usluga) diljem ruskog crnog interneta. Prema Check Pointu, hakeri su do sad uspjeli prikupiti više od 600.000 dolara otkupnine na račun inovativnog GandCrab Affiliate Programa. Developeri ovog ransomware virusa također su isplaćivali sudionicima programa od 60% do 70% prihoda u zamjenu za 24-satnu tehničku podršku. Prema podacima istražitelja, ovaj crypto-malware ima gotovo 100 aktivnih partnera. 80 od njih uspješno su proširili 700 različitih uzoraka malware aplikacije. Više od 70% zaraženih PC-ja nalaze se u Velikoj Britaniji i SAD-u, pa je očito da je virus namijenjen korisnicima engleskog govornog područja.

Sredinom travnja 2018. istražitelji su prijavili da se Magnitude EK prebacio na distribuciju ransomware virusa GandCrab. Korišten i za širenje ransomwarea Magniber korisnicima u Južnoj Koreji, postojeći tandem virusa već se mogao vidjeti u skandinavskim državama. Ako samo sumnjate da vam je računalo zaraženo, pobrinite se da ransomware GandCrab uklonite uz pomoć programa FortectIntego.

Exploit kit upotrebljava tehniku “bez datoteka” za izvršavanje ransomware virusa koji je kodiran uz pomoć skripte VBScript.Encode/JScript.Encode i injektiran u memoriju računala. Kad se zaraženi kod izvrši, ransomware se instalira u datoteku explorer.exe i prisiljava PC na restartanje. Nakon toga pokreće se šifriranje koje datoteke zaključava ekstenzijom .CRAB. Čini se da se Magnitude EK većinom upotrebljava za širenje virusa GandCrab 2, a on se još uvijek ne može dešifrirati.

GandCrab se također može distribuirati pomoću zlonamjernog oglašavanja, i to putem kampanje poznate pod nazivom Seamless. Ta kampanja odvodi žrtve do RIG exploit kita. Taj software dizajniran je za detektiranje ranjivih točaka sistema koje se iskorištavaju da bi se inficirao ciljani sistem virusom koji šifrira datoteke ili nekim drugim opasnim računalnim virusom.

Kao što su specificirali stručnjaci za sigurnost na internetu,  GandCrab se trenutno širi putem spam email poruka s predmetom Receipt Feb-21310 [random numbers]. Ime pošiljatelja može varirati, ali je drugi dio email adrese uvijek @cdkconstruction.org. Spam poruka koju upotrebljava ransomware u privitku sadrži PDF i tekst “DOC attached” u samoj poruci.

GandCrab se oslanja na .doc datoteku koja se preuzima na računalo jednom kad žrtva klikne na maliciozni privitak. .doc datoteka zatim pokreće PowerShell skriptu i kreira exploit datoteku (sct5.txt) koja u ovim trenucima napada 64-bitne sisteme. Različiti stručnjaci za crypto-malware viruse istaknuli su da datoteka sct5.txt ne pokreće najbitniji dio virusa GandCrab, već izvršava exploit i bude samo medij preko kojeg malware ulazi u računalo.

Nakon same infiltracije, GandCran počinje šifrirati najvrjednije podatke koji su pohranjeni u sistemu. Nakon toga, korisnici više ne mogu pristupiti svojim datotekama te su obaviješteni o napadu ransomware virusa putem poruke kojom se traži plaćanje otkupnine, a nalazi se u datoteci GDCB-DECRYPT.txt:

—= GANDCRAB =—

Pažnja!
Sve vaše datoteke, dokumenti, fotografije, baze podataka i ostale važne datoteke su šifrirane i imaju sljedeću ekstenziju: .GDCB
Jedini način vraćanja pristupa tim datotekama je kupovanje vlastitog ključa. On se nalazi na našem serveru i samo vam mi možemo vratiti datoteke. 
Server s vašim ključem nalazi se unutar zatvorene mreže TOR. Do tamo možete doći na sljedeći način:
1. Preuzmite preglednik Tor browser – https://www.torproject.org/
2. Instalirajte preglednik Tor
3. Pokrenite preglednik Tor
4. U pregledniku Tor otvorite sljedeći link: http://gdcbghvjyqy7jclk.onion/[id]
5. Pratite upute na toj stranici

Na našoj stranici vidjet ćete upute o plaćanju i dobiti mogućnost besplatnog dešifriranja 1 datoteke.

OPASNO!
Nemojte pokušavati modificirati datoteke ili koristiti neki svoj privatni ključ – to će samo rezultirati u trajnom gubitku vaših datoteka!

Jednom kad žrtva prođe kroz sve korake iz navedene poruke, bit će odvedena na stranicu pod nazivom GandCrab decryptor. Tamo će im biti prezentiran iznos otkupnine (oko 1200 američkih dolara), korisnička podrška, DASH adresa i mogućnost za upload jedne datoteke za besplatno dešifriranje.

Vrijedi spomenuti da ransomware GandCrab identificira točno određeni vremenski period koji bi se trebao ispoštovati da bi se obavila novčana transakcija, a u suprotnom će se iznos otkupnine udvostručiti. Međutim, radi se tek o pokušaju zastrašivanja potencijalne žrtve i prisiljavanje na plaćanje otkupnine bez prilike za smireno razmišljanje o drugim mogućnostima.

Zato vam mi toplo preporučujemo da ne pratite pravila i upute koje su smislili cyber kriminalci jer postoje alternativni načini na koje se može pristupiti svojim datotekama ili se može upotrijebiti program za dešifriranje kreiran od strane stručnjaka. Da bite ih mogli upotrijebiti, prvo se GandCrab mora ukloniti. Stručnjaci iz NoVirus.uk već su upozorili napadnute korisnike da se radi o iznimno opasnoj vrsti računalnog virusa koji bi morao biti eliminiran uz pomoć profesionalaca ili upotrebom robusnog antivirusnog programa.

Naš odabir za uklanjanje virusa GandCrab bio bi FortectIntego ili MalwarebytesMalwarebytes. No, moguće je koristiti i neki drugi anti-malware software da bi se uništio virus koji šifrira datoteke. Detaljne upute o tome kako početi proceduru eliminacije možete pronaći na kraju ovog članka.

Uz to, nikako NEMOJTE pokušavati sami ukloniti virus GandCrab. Takve kompleksne ransomware infekcije dizajnirane su tako da dobro prikrivaju svoju prisutnost i maskiraju se u legitimne računalne procese. Uništavanje krucijalnih sistemskih datoteka moglo bi dovesti do trajnog oštećenja na računalu i ponovno pojavljivanje crypto-malware programa. Samo zbog toga moramo vam preporučiti upotrebu niže navedenog vodiča za eliminaciju.

Popis verzija ransomware virusa GandCrab

.GDCB file extension virus. Ova verzija virusa GandCrab detektirana je nekoliko tjedana nakon objavljivanja originalne verzije. Baš kao i prethodnik, i ovaj se širi putem inficiranih spam poruka i privitaka, a svoj kod izvršava u trenutku kada se sam privitak otvori.

Virus napada najpopularnije tipove datoteka, uključujući (no ne ograničava se samo na njih) i .doc, .txt, .jpg, .png, .audio, .video, itd. Svakoj od datoteka dodaje se ekstenzija .GDCB, dok se na desktopu napadnutog računala kreira datoteka GDCB-DECRYPT.txt koja tjera korisnike na preuzimanje preglednika Tor i prebacivanje 1.54 DASH-a kao otkupnine. Iznos otkupnine povećava se ako žrtva kasni s plaćanjem.

GandCrab2. Druga verzija ovog ransomware virusa ne može se dešifrirati. Prije objavljivanja ove nove varijante, kriminalci su uspjeli zakrpati ozbiljan propust koji su detektirali stručnjaci za sigurnost još početkom ožujka.

GandCrab2 distribuira se pomoću zlonamjerne oglašivačke kampanje Seamless koja žrtve dovodi do RIG exploit kita. Međutim, za razliku od svojeg prethodnika, virus do svojih žrtava može doći i preko prevare pod nazivom HoeflerText Font Update. 

Virus podatke zaključava ekstenzijom .CRAB i priprema poruku za plaćanje otkupnine u datoteci CRAB-DECRYPT.txt. Prevaranti traže plaćanje 500 američkih dolara u DASH valuti, i to preko preglednika Tor, da bi u zamjenu ponudili privatni ključ za dešifriranje. Iako su stručnjaci ovu verziju virusa smatrali samo klonom prethodnika, čini se da je ovo zapravo unaprijeđena verzija koja izbjegava dešifriranje uz pomoć besplatnog programa. 

Stručnjaci nude besplatan program za dešifriranje GandCraba

IT profesionalci koji sudjeluju u poznatom projektu NoMoreRansom.org konačno su uspjeli generirati program za dešifriranje virusa GandCrab. Taj program dostupan je za preuzimanje svima koji žele vratiti pristup datotekama s ekstenzijom .GDCB. Možete ga pronaći na kraju ovog članka.

Ipak, stručnjaci ističu da ako želite upotrijebiti ovaj alat za dešifriranje, prvo se morate riješiti virusa GandCrab. U suprotnom će ransomware i dalje nastaviti šifrirati podatke na napadnutom računalu.

Također se preporučuje upotreba profesionalnih sigurnosnih alata za deinstalaciju ransomware virusa iz sistema. Toplo preporučujemo da upotrijebite jedan od onih koji su navedeni na kraju ovog članka. Ako ne možete pristupiti kompromitiranim informacijama uz pomoć službenog GandCrab decryptora, ima još nekoliko alternativnih metoda koje bi vam mogle pomoći. 

Na primjer, iako je virus dizajniran da obriše Shadow Volume Copies, on možda ne uspije u tome. Tada možete upotrijebiti ShadowExplorer ili neki sličan alat da vratite pristup barem dijelu datoteka.

Uz to, u potpunosti možete vratiti pristup datotekama bez plaćanja otkupnine ako koristite sigurnosne kopije. Ako ih nemate, trebali biste provjeriti alternativne metode za vraćanje podataka koje smo vam pripremili na kraju članka, a isto tako nemojte zaboraviti upotrijebiti i decryptor (program za dešifriranje).

Cyber prijetnja koristi exploit kitove za ulazak u sistem

Exploit kitovi su dizajnirani za detektiranje ranjivosti ciljanog sistema i kao pomoć malicioznom programu da iskoristi te propuste i infiltrira se u računalo. Pogotovo se ovaj ransomware distribuira uz pomoć i RIG i GrandSoft exploit kitova,  kao i Magnitude exploit kita. Ovaj sofisticirani software ne treba dopuštenje korisnika da bi instalirao malware program u sistem računala. 

Uz sve to, poterbno je znati da exploit kitovi nisu jedini način za distribuciju ransomware virusa. Prevaranti mogu iskoristiti lakovjerne korisnike i upotrijebiti zavaravajuće spam poruke s malicioznim privitcima. Obično se maskiraju u račune iz trgovina, dostavnice ili slične dokumente dobro poznatih brendova i kompanija. Isto tako, naivni korisnici otvaraju zaražene privitke i sami dopuštaju cyber prijetnji ulazak u sistem računala.

Kao što smo napomenuli u prijašnjem paragrafu, developer ovog ransomware virusa aktivno šalje spam email poruke. Predmet poruke je uvijek isti – Receipt Feb-21310 [random numbered], samo će se naziv pošiljatelja donekle razlikovati. U takvim porukama neće biti previše informacija, osim istaknutog “DOC attached.”

Dakle, predlažemo vam da budete ekstremno oprezni prilikom surfanja internetom ili tijekom pregledavanja email poruka. Jako je bitno da dobro obratite pažnju na uvodne riječi emaila – maliciozni email možete identificirati po sitnim pravopisnim pogreškama ili nagovaranju da se otvori privitak “za više detalja”. Molimo vas da ne otvarate privitke u sumnjivim email porukama, pogotovo ako vidite ekstenzije poput .JS, .EXE, .COM, .PIF, .SCR, .HTA, .vbs, .wsf, .jse, .jar ili neke druge sumnjive ekstenzije. Također pokušajte izbjegavati posjećivanje sumnjivih web stranica koje bi mogle biti u vlasništvu cyber kriminalaca i koje se upotrebljavaju za distribuciju visokorizičnih računalnih infekcija. 

Naučite kako na siguran način deinstalirati virus GandCrab i vratiti svoje podatke

Ako želite ukloniti ransomware GandCrab i nastaviti s vraćanjem podataka, jedini način da to odradite je uz pomoć sigurnosnog softwarea. Imajte na umu da to morate napraviti čim prije da biste izbjegli daljnju štetu na vašem računalu. Kasnije ćete moći upotrijebiti novi program za dešifriranje da biste vratili pristup datotekama koje je ransomware šifrirao.

Da biste popravili sistem, preuzmite profesionalni sigurnosni software čim na računalu primijetite šifrirane datoteke. Preporučujemo vam da za uklanjanje GandCraba upotrijebite FortectIntego, SpyHunterCombo Cleaner ili MalwarebytesMalwarebytes jer su se oni koristili prilikom testiranja virusa. Nakon instaliranja jedne od navedenih aplikacija, pokrenite skeniranje kompletnog sistema i dopustite joj uništavanje ovog virusa koji šifrira vaše datoteke. Nažalost, ovi programi nemaju nikakve veze s dešifriranjem šifriranih datoteka.

Imajte na umu da možda u početku nećete moći instalirati alat za uklanjanje malware aplikacija. Da biste uspjeli u tome, morat ćete restartati svoje računalo i pokrenuti ga u Safe Mode with Networking ili se osloniti na System Restore. Kako to napraviti i riješiti se virusa GandCrab možete pronaći u vodiču korak po korak koji se nalazi na kraju ovog članka. Uz to, naši stručnjaci pripremili su alternativne metode koje će vam pomoći u vraćanju šifriranih datoteka.