谁是勒索界当之无愧的“海王”？
2018年是一个勒索病毒高发的年度，可谓百（can）花（bu）争（ren）艳（du）,勒索家族变种、传播方式层出不穷，明年估计形势会更不乐观。
但大家是否会好奇，勒索病毒这么多，到底哪一家“强”呢？
深信服安全团队，综合了2018年1月至今的数据，最终确定勒索界年度“海王”为：gandcrab勒索病毒，中文外号“咸水国巨蟹”。下图是这只巨蟹横行过的区域，包括广东、安徽、青海、江西、福建、浙江、山西、吉林、贵州、天津、北京、上海、河北、山东、辽宁、江苏、四川等，基本覆盖大半个中国，以东部沿海最为严重。
gandcrab勒索病毒是2018年勒索病毒家族中最活跃的家族，该勒索病毒首次出现于2018年1月，在将近一年的时候内，经历了五个大版本的更新迭代，此勒索病毒的传播感染方式多种多样，使用的技术也不断升级，勒索病毒采用高强度加密算法，导致加密后的文件，大部分无法解密。
深信服安全团队，跟踪分析此勒索病毒将近一年的时间内，发现该勒索病毒主要的传播方式如下：
1、rdp爆破
2、发送垃圾邮件,附加恶意链接或邮件附件，通过word宏等加载powershell下载
3、感染相关网站，下载捆绑有恶意程序的更新程序或正常软件
4、利用rigek、grandsoft、fallout exploit等漏洞利用工具包，通过无文件方式powershell、js、vbs等脚本释放加载
5、通过恶意下载器下载勒索病毒
6、通过u盘感染
“海王”的继承人和新生儿
“海王”gandcrab，可谓子孙繁多，其中gandcrab5.0.4最为勇猛，喜欢横行霸道，绝大多数“城堡”都是其打下的，已经成为gandcrab勒索家族的事实上的代表和继承人。
近日，gandcrab这只巨蟹又有了新的变种，深信服在第一时间进行了深入研究，参考如下：
下面，重点介绍下新变种gandcrab5.0.9。
病毒在运行之后，会弹出对话框，如下所示：
加密文件之后，桌面显示，如下所示：
加密后的文件，是随机10个字母的后缀名：
相应的勒索信息，如下所示：
tor勒索站点的信息为：
可以看到tor勒索站点作者在右侧还提供了一个聊天窗体，可以跟黑客进行聊天通信。通过分析发现它与之前的gandcrab5.0.5基本无差异。
入口函数，对比如下：
主功能函数，对比如下：
其中主功能函数代码段，gandcrab5.0.5第一个功能函数是空的：
而gandcrab5.0.9版本中，作者编写了弹框信息代码：
弹出对话框，如下所示：
点击确认之后，执行后面的加密勒索流程，与之前的gandcrab5.0.5的流程一样，如下所示：
同时相应的版本号也发生了变化，对比如下：
此勒索病毒的作者在发布gandcrab5.0.9之后弹出了一个对话框，提示“他们”会很快回来的......
“海王”的家族变异史和传播方式
深信服安全团队一直在研究跟进此勒索病毒，通过跟踪发现此勒索病毒，从2018年1月开始，在一年内主要经历了五次大的版本变种，如下所示：
其中各大版本之间又出现过小的版本更新，比如v2.1版本，v4.3版等，特别是v5版之后，连续出现多个小版本的迭代，这些小版本的功能代码基本类似，例如v5.0.1、v5.0.2、v5.0.3、v5.0.4、v5.0.5，以及这次出现最新版本v5.0.9，可以相信未来还会不断有新的变种......
勒索界“海王”的主要的传播方式如下：
1、rdp爆破
2、发送垃圾邮件,附加恶意链接或邮件附件，通过word宏等加载powershell下载
3、感染相关网站，下载捆绑有恶意程序的更新程序或正常软件
4、利用rigek、grandsoft、fallout exploit等漏洞利用工具包，通过无文件方式powershell、js、vbs等脚本释放加载
5、通过恶意下载器下载勒索病毒
6、通过u盘感染
但最为经典、使用面最广的、也是最为简单粗暴的是rdp爆破，其经典传播模型：
1、rdp爆破入侵
黑客首先rdp爆破其中一台主机，成功获取到该主机的控制权后，上传黑客一整套工具，包括：进程管理工具、内网扫描工具、密码抓取工具、暴力破解工具以及勒索病毒体。由于其中某些工具容易被杀软查杀，因此黑客对其进行了加密压缩处理，压缩密码为“123”。
2、结束杀软进程
上传完工具后，黑客就开始“干活”了。首先是要解决掉杀毒软件，用进程管理工具“processhacker”结束杀软进程。
3、内网扫描
紧接着，黑客试图“扩大战果”，控制更多的内网主机。使用内网扫描工具“kportscan”、“nasp”、
“networkshare”来发现更多潜在目标。
4、抓取密码
使用“mimikatz”抓取本机密码，“webbrowserpassview”抓取浏览器密码。由于内网中普遍存在密码相同的情况，因此抓到的密码很有可能能够直接登陆其他主机。
5、暴力破解
使用“dubrute”对内网主机进行rdp爆破。
6、运行勒索病毒
hw包含了勒索病毒体hw.5.0.2.exe以及一个文本文件hw.txt，hw.txt记录了用于无文件勒索的powershell命令。黑客可直接运行勒索病毒体或者执行powershell命令进行勒索。
如何防御和狙击海王？
针对已经出现勒索现象的用户，由于暂时没有解密工具，建议尽快对感染主机进行断网隔离。
深信服提醒广大用户尽快做好病毒检测与防御措施，防范此次勒索攻击。
病毒检测查杀
1、深信服为广大用户免费提供查杀工具，可下载如下工具，进行检测查杀
2、深信服edr产品及下一代防火墙等安全产品均具备病毒检测能力，部署相关产品用户可进行病毒检测。
病毒防御
1、及时给主机打补丁，修复漏洞，升级最新病毒库。
2、对重要的数据文件定期进行非本地备份。
3、更改账户密码，设置强密码，避免使用统一的密码，因为统一的密码会导致一台被攻破，多台遭殃。
4、gandcrab勒索软件会利用rdp(远程桌面协议），如果业务上无需使用rdp的，建议关闭rdp。当出现此类事件时，推荐使用深信服防火墙，或者终端检测响应平台（edr）的微隔离功能对3389等端口进行封堵，防止扩散！
5、深信服下一代防火墙、终端检测响应平台（edr）均有防爆破功能，防火墙开启此功能并启用11080051、11080027、11080016规则，edr开启防爆破功能可进行防御。
6、不明邮件不要随意点开，防止被钓鱼攻击。
7、不要从网上随意下载不明软件，此类软件极可能隐藏病毒。
8、u盘管控需做好，避免通过u盘进行交叉感染。
最后，建议企业级用户对全网进行一次安全检查和杀毒扫描，加强防护工作。推荐使用深信服安全感知 下一代防火墙 edr，对内网进行感知、查杀和防护。