NoCryptolocker
RECUPERO FILES & DATABASE
GANDCRAB, cos'è?
E' possibile recuperare i files?
Storia di GandCrab:
GANDCRAB è una variante aggiornata di un ransomware ad alto rischio chiamato ETA2.
Immediatamente dopo l'infiltrazione, GANDCRAB crittografa la maggior parte dei dati memorizzati, rendendone impossibile l'uso.
Mentre lo fa, GANDCRAB V5.0 aggiunge ai nomi dei file un estensione casuale (ad esempio, "sample.jpg" potrebbe essere rinominato in qualcosa come "sample.jpg.vsgtv"). Una volta terminata la crittografia, GANDCRAB V5.0 cambia lo sfondo del desktop della vittima e genera un html (ad esempio "VSGTV-DECRYPT.html") e ne elimina una copia in ogni cartella esistente.
Il nuovo sfondo del desktop contiene un messaggio che indica che i dati sono crittografati e incoraggia gli utenti a seguire le istruzioni di decrittografia all'interno di "VSGTV-DECRYPT.html".
I cyber criminali dietro questo malware non possono mai essere considerati attendibili.
I risultati della ricerca mostrano che gli sviluppatori di ransomware spesso ignorano le vittime dopo che i pagamenti sono stati inoltrati; per questo motivo, oltre che per un motivo etico, è molto probabile che il pagamento non darà alcun risultato positivo e gli utenti verranno semplicemente truffati.
Consigliamo di ignorare tutti gli incoraggiamenti per inviare i pagamenti, nonché di contattare queste persone.
Al momento esistono 5 "edizioni" di questo malware, ovvero la V1, V2, V3, V4 e V5.
Files lasciati sulla macchina infetta da GANDCRAB
Come decriptare file cifrati da GANDCRAB?
Potete recuperare i miei dati?
Si possiamo recuperare tutti i tuoi files!!*
Scrivici un'email a info@recuperafiles.itallegando dei files criptati di piccole dimensioni, il file txt insieme al tuo numero di telefono; ti contatteremo il prima possibile!
FAQ: Domande e risposte che accomunano le infezioni da GandCrab, riportate comunemente dai nostri clienti:
Cosa è consigliato fare a seguito dell'infezione??
E' consigliato scollegare dalla rete i pc/server infetti ed analizzare immediatamente l'origine dell'infezione. Solitamente non viene danneggiato il sistema operativo ma è molto probabile la presenza di backdoor nascoste all'interno del sistema.
La mia password RDP era molto sicura, come hanno fatto a trovarla?
Purtroppo anche con una password di 20 caratteri casuali, tipicamente molto sicura, non c'è nessuna protezione efficace in quanto vengono utilizzati degli exploitsulla porta RDP, permettendo di fatto un bypass della password.
L'account administrator era disattivato, cosa è successo?
Spesso l'account "administrator" viene disattivato per motivi di sicurezza, eppure tutto il processo di criptazione è avvenuto da quell'account, come è stato possibile?
Il tutto avviene tramite una "escalation di privilegi", ovvero ci si connette tramite un utente "normale", vengono alzati i privilegi di questo utente il quale a sua volta crea o riattiva l'account di administrator, al quale ci si connetterà in seguito per eseguire la criptazione.
Avevo limitato le connessioni che potevano accedere al servizio RDP, come hanno fatto a collegarsi?
Nella tua rete ci sono dei client "aperti" su internet? Anche se il tuo server limita le connessioni da cui si può accedere (tramite firewall, VPN, ipfiltering, whitelisting ecc.) la connessione avviene tramite l'RDP del client connesso ad internet.
Una volta preso il controllo di questo client ci si connette tramite lo stesso al server presente nella rete interna rendendo di fatto inutile il filtraggio di tutti gli ip esterni.
La porta del servizio RDP non era quella standard, come hanno trovato il servizio?
Le porte standard per il servizio RDP sono la 445 e la 3389, eppure io avevo impostato il servizio sulla porta 5555, come lo hanno trovato? Semplicemente con un networks scanner, che analizza tutte le porte dalla 1 alla 65000 in cerca del servizio RDP.
Quindi cosa posso fare per proteggermi da futuri attacchi di GANDCRAB ?
I due consigli che diamo ai nostri clienti per proteggersi da eventuali infezioni sono:
- chiudere immediatamente e su tutte le macchine locali e remote il servizio RDP
- installare il nostro script di protezione contro i ransomware, maggiori info QUI
Dove sono finiti i miei backup? E le macchine virtuali?
A seguito dell'infezione da GandCrab vengono cancellati i files .backup e spesso anche eventuali macchine virtuali (VMware, Oracle VM VirtualBox ecc.), le quali vengono avviate e poi cancellate o criptate.
Altri dubbi o necessiti di maggiori informazioni?
Scrivici pure a info@recuperafiles.it e cercheremo di chiarire ogni tuo dubbio.