02样本分析
该勒索病毒的攻击流程图如下所示：
1、RDP爆破入侵
黑客首先RDP爆破其中一台主机，成功获取到该主机的控制权后，上传一整套工具，包括：进程管理工具、内网扫描工具、密码抓取工具、暴力破解工具以及勒索病毒体。由于其中某些工具容易被杀软查杀，因此黑客对其进行了加密压缩处理，压缩密码为“123”。
2、结束杀软进程
工具上传完成后，黑客在感染主机的第一个动作是解决杀毒软件，用进程管理工具“ProcessHacker”结束杀软进程。
3、内网扫描
接下来，为了控制更多的内网主机，黑客使用内网扫描工具“KPortScan”、“nasp”、
“NetworkShare”来发现更多潜在目标。
4、抓取密码
同时，使用“mimikatz”抓取本机密码，“WebBrowserPassView”抓取浏览器密码。由于内网中普遍存在密码相同的情况，因此抓到的密码很有可能能够直接登陆其他主机。
5、暴力破解
使用“DUBrute”对内网主机进行RDP爆破。
6、运行勒索病毒
HW包含了勒索病毒体HW.5.0.2.exe以及一个文本文件HW.txt，HW.txt记录了用于无文件勒索的powershell命令。黑客可直接运行勒索病毒体或者执行powershell命令进行勒索。
通过遍历被结束掉的进程列表如下：
解决方案
针对已经出现勒索现象的用户，由于暂时没有解密工具，建议尽快对感染主机进行断网隔离。
请广大用户尽快做好病毒检测与防御措施，防范此次勒索攻击。
病毒防御
1、及时给电脑打补丁，修复漏洞。
2、对重要的数据文件定期进行非本地备份。
3、不要点击来源不明的邮件附件，不从不明网站下载软件。
4、尽量关闭不必要的文件共享权限。
5、更改账户密码，设置强密码，避免使用统一的密码，因为统一的密码会导致一台被攻破，多台遭殃。
6、GandCrab勒索软件会利用RDP(远程桌面协议），如果业务上无需使用RDP的，建议关闭RDP。
最后，建议对全网进行一次安全检查和杀毒扫描，加强防护工作。
