Trong một thông báo mới nhất, Cục Điều tra Liên bang Mỹ FBI đã chính thức phát hành các key giải mã đối với mã độc tống tiền Gandcrab Ransomware phiên bản 4, 5, 5.0.4, 5.1 và 5.2. Như vậy thông qua việc sử dụng các key này, bất kỳ cá nhân hoặc tổ chức nào cũng có thể tạo và phát hành bộ giải mã GandCrab của riêng mình.
GandCrab ngừng hoạt động
Sau gần một năm rưỡi “làm mưa làm gió”, ngày 1 tháng 6 năm 2019 vừa qua, những kẻ đứng đằng sau GandCrab ransomware tuyên bố cho mã độc này ngừng hoạt động và đồng thời thôi thúc các “chi nhánh” độc hại của mình ngừng phân phối mã độc tống tiền này.
Tuy nhiên chúng cũng đã kịp thời thu về tổng cộng hơn 2 tỷ đô la từ mã độc này. Số tiền khổng lồ trên chủ yếu được thu về thông qua các khoản thanh toán tiền chuộc của nạn nhân, trong đó, trung bình mỗi tuần GandCrab đem về hơn 2.5 triệu đô la. Cụ thể hơn, 150 triệu đô la trong số đó đã được quy thành tiền mặt và “rửa” thành công thông qua hoạt động đầu tư vào các dự án, thực thể kinh doanh hợp pháp.
Thông báo ngừng hoạt động và số tiền kiếm được của GandCrab
2 tuần sau ngày GandCrab tuyên bố ngừng hoạt động, các công ty bảo mật NoMoreRansom và Bitdefender đã hợp tác cùng với Europol, FBI, cũng như nhiều cơ quan thực thi pháp luật khác nhằm nghiên cứu và phát hành một bộ giải mã giành riêng cho các tệp người dùng bị mã hóa bởi những phiên bản GannCrab 1, 4 và từ 5 đến 5.2.
Mặc dù Bitdefender không nói rõ về việc họ đã dành được quyền truy cập vào các key này như thế nào, tuy nhiên giới quan sát cho rằng nhiều khả năng tổ chức bảo mật này đã nắm trong tay quyền truy cập vào các máy chủ chỉ huy và kiểm soát (C2 server) của GandCrab để tải xuống các key.
Key của FBI cho phép bất cứ ai cũng có thể tự tạo ra một bộ giải mã GandCrab
Trong “FBI Flash Alert” mới được công bố cách đây ít hôm, 3 key giải mã chính cho mã độc tống tiền GandCrab đã được tung ra cho các thành viên thuộc chương trình InfraGard của FBI. Các thông báo được FBI phát hành thông qua InfraGard, phân loại bằng giao thức Traffic Light Protocol (giao thức “đèn tín hiệu giao thông”, quy định cách thức chia sẻ thông tin). Thông báo này có tiêu đề: “Master Decryption Keys for GandCrab, versions 4 through 5.2″ (tạm dịch: Các khóa giải mã chính cho GandCrab, phiên bản 4 đến 5.2), đã được phát hành dưới dạng thông báo TLP: White, có nghĩa là thông tin có thể được tiết lộ công khai, không giới hạn.
Thông báo mới của FBI với TLP: White
Ngoài việc đi kèm với các key giải mã chính, thông báo của FBI cũng giải thích cụ thể cách thức hoạt động của GandCrab RaaS và những số liệu thống kê liên quan, cụ thể như sau:
“Bắt đầu từ ngày 17 tháng 6 năm 2019, FBI đã hợp tác với các cơ quan thực thi pháp luật tới từ 8 quốc gia châu Âu, cũng như Europol và BitDefender, sau đó cho phát hành một công cụ giải mã có thể áp dụng được đối với tất cả các phiên bản của ransomware GandCrab. Bạn có thể tìm thấy công cụ giải mã này tại địa chỉ www.nomoreransom.org. Những nỗ lực hợp tác sau đó đã giúp xác định thêm những key giải mã chính cho tất cả các phiên bản mới của GandCrab, vốn được giới thiệu kể từ tháng 7 năm 2018. FBI đang phát hành các key chính để tạo điều kiện phát triển những công cụ giải mã bổ sung trong tương lai.
Về cơ bản, GandCrab hoạt động bằng cách sử dụng mô hình ransomware-as-a-service (RaaS), thu lời thông qua việc bán quyền phân phối phần mềm độc hại cho các chi nhánh phát tán mã độc trên toàn cầu để đổi lấy khoảng 40% tiền chuộc. GandCrab được phát hiện lần đầu tiên vào tháng 1 năm 2018 khi mã độc này lây nhiễm thành công trong hệ thống của một vài doanh nghiệp Hàn Quốc. Kể từ đó, các chiến dịch phát tán GandCrab đã được triển khai vô cũng mạnh mẽ, giúp mã độc tống tiền này nhanh chóng mở rộng phạm vi hoạt động và hiện diện trên toàn cầu, gây ảnh hưởng đến ít nhất 8 lĩnh vực cơ sở hạ tầng quan trọng tại Hoa Kỳ. Thời gian ngắn sau đó, GandCrab đã nhanh chóng vươn lên trở thành phần mềm tống tiền dựa trên liên kết nguy hiểm nhất thế giới, và được cho là đã nắm giữ 50% thị phần ransomware toàn cầu vào khoảng thời gian giữa năm 2018. Theo ước tính của các chuyên gia, GandCrab đã lây nhiễm cho hơn 500.000 nạn nhân trên toàn thế giới, đồng thời gây thiệt hại vượt quá 300 triệu đô la”.
Các key giải mã chính của GandCrab
Dưới đây là các key giải mã chính cho phiên bản GandCrab 4, 5, 5.0.4, 5.1 và 5.2.
Để sử dụng key giải mã đúng cách, bạn sẽ cần phải tự làm quen cũng như tìm hiểu các phương thức mã hóa được sử dụng bởi những phiên bản khác nhau của GandCrab.
