Coremail CAC安全防范：勒索病毒GANDCRAB攻击，识别率99%

2019年3月起，Coremail CAC安全中心在日常监测中发现，境外某黑客组织对我国有关政府部门开展勒索病毒邮件攻击，并且该种新型病毒邮件正呈蔓延的形式向各行业扩散。

Coremail CAC安全专家对本次病毒威胁进行了分析后发现，该勒索病毒版本号为GANDCRAB V5.2，是2019年2月该系列最新升级的勒索病毒版本，运行后将对用户主机硬盘数据全盘加密，并让受害用户访问网址“https://www.torproject.org/”下载Tor浏览器，随后通过Tor浏览器登录攻击者的数字货币支付窗口http://gandcrabmfe6mnef.onion/1812a265c3857fa，要求受害用户缴纳赎金。

3月11日该病毒集中爆发当天，CAC安全中心成功拦截了41,691封病毒邮件，识别率达到99%以上。由于此类病毒邮件危害较大，邮件用户管理员及用户应提前做好风险预警，避免用户误信病毒邮件。

此类病毒邮件主题包含“警察局”“必须”等威胁性字眼，正文一般显示为乱码内容，以恐吓收信人点击病毒附件，勒索赎金为主要目的。该病毒邮件主要特征为：主题是“你必须在3月11日下午3点向警察局报到!”；正文显示乱码；附件名为“03-11-19.rar”

以下为部分病毒邮件截图。

3月13日，CAC安全中心接到用户反馈，该司邮件系统使用CAC识别此类勒索邮件，成功抵御了本次病毒邮件的威胁。（共16个，直接拒绝8个，另有8个被识别为垃圾邮件）

CAC安全专家提醒，虽然现在已过了病毒集中爆发的时间，但此类病毒邮件并没有停止蔓延，CAC安全中心已对这种恶意病毒邮件进行了识别并拦截。后续用户如若不想接收到这种恶意病毒邮件，建议邮件管理员可采取新建关键字规则的方式进行拦截。

创建关键字规则拦截方式如下：

屏蔽主题”你必须在3月11日下午3点向警察局报到”。

屏蔽附件名“03-11-19.rar”。

对于普通用户，CAC安全专家也提出了五点建议：一是不要打开来历不明的邮件附件；二是及时安装专业的杀毒软件，升级病毒库，对相关系统进行全面的扫描查杀；三是禁用U盘的自动运行功能；四是及时升级操作系统安全补丁，升级web、数据库等服务程序，防止病毒利用漏洞传播；五是对已感染病毒的主机或服务器采取断网措施，防止病毒扩散蔓延。一旦发现网站系统遭攻击后及时处置并报告相关管理员。