Emergency Summary
GandCrab ist eine im Datenbestand von Ransomware Reverse erfasste Ransomware-Variante. Verschlüsselte Dateien tragen laut Datenbestand die Endung .GDCB, .KRAB. Als Lösegeldforderung ist unter anderem die Datei GDCB-DECRYPT.txt dokumentiert. Ein öffentlicher Decryptor ist in unserem Datenbestand nicht dokumentiert; prüfen Sie Backups, Decryptor-Quellen und Datenrettung getrennt.
- Dateiendung
.GDCB,.KRAB- Ransom Note
GDCB-DECRYPT.txt,DECRYPT-[victim_ID].html- Zielsysteme
- nicht belastbar dokumentiert
- Entschlüsselung
- Keine belastbaren Angaben
So erkennen Sie GandCrab
- Dateien erhalten die Endung
.GDCB(weitere dokumentierte Varianten:.KRAB). Ob die Endung angehängt oder der Dateiname vollständig ersetzt wird, kann je nach Variante abweichen. - In betroffenen Verzeichnissen liegt typischerweise eine der Dateien
GDCB-DECRYPT.txt,DECRYPT-[victim_ID].html. Kopieren Sie eine Ransom Note als Beweismittel, statt sie auf produktiven Systemen zu öffnen oder zu löschen.
Sofortmaßnahmen bei GandCrab
- Isolieren statt löschen: Betroffene Systeme vom Netzwerk trennen (LAN, WLAN, VPN). Ob ein System ausgeschaltet wird, hängt vom Szenario ab: Beim Ausschalten gehen flüchtige Spuren im Arbeitsspeicher verloren, bei laufender Verschlüsselung kann sofortiges Abschalten dennoch richtig sein.
- Verschlüsselte Originale nicht verändern: Keine Umbenennung von
.GDCB-Dateien, kein Cleanup-Tool und keine Neuinstallation auf den Originaldatenträgern. - Merkmale dokumentieren: Ransom Note (
GDCB-DECRYPT.txt), Dateiendung, Zeitpunkt der ersten Auffälligkeit und betroffene Systeme festhalten. - Backups schützen: Backup-Repositories nicht mit kompromittierten Systemen verbinden und Zugangsdaten zum Backup-System ändern – von einem sauberen Gerät aus.
- Logs sichern: Windows-Ereignisprotokolle, EDR-Telemetrie, Firewall- und VPN-Logs exportieren, bevor sie rotieren.
- Zwei Fragen getrennt klären: Wer dämmt den Angriff ein (Incident Response)? Wer prüft die Wiederherstellbarkeit der Daten (Datenrettung)?
Technische Merkmale
| Familie / Bezeichnung | GandCrab |
|---|---|
| Dateiendung(en) | .GDCB, .KRAB |
| Lösegeldnotiz (Ransom Note) | GDCB-DECRYPT.txt, DECRYPT-[victim_ID].html |
| Zielsysteme | nicht belastbar dokumentiert |
| Verschlüsselungsverfahren | AES (laut Altdatenbestand) |
| Decryptor-Verfügbarkeit | Keine belastbaren Angaben |
| Datenexfiltration / Double Extortion | nicht belastbar dokumentiert |
| Aktivität | nicht belastbar dokumentiert |
Kann GandCrab entschlüsselt werden?
Keine belastbaren Angaben
Für GandCrab liegen in unserem Datenbestand keine belastbaren Angaben zu einem öffentlichen Decryptor vor. Das bedeutet nicht, dass keiner existiert – prüfen Sie aktuelle Quellen.
Decryptoren immer zuerst an Kopien testen und nur aus seriösen Quellen beziehen, etwa über das Projekt No More Ransom. Angebliche Decryptoren aus Foren oder Videos sind häufig selbst Schadsoftware.
Mehr dazu: Ransomware entschlüsseln – Möglichkeiten und Grenzen.
Recovery-Optionen
Welche Methode greift, hängt vom Schadensbild ab. Keine der folgenden Optionen ist in jedem Fall möglich – sie sollten aber geprüft werden, bevor über eine Lösegeldzahlung nachgedacht wird.
| Verfahren | Voraussetzung | Grenze |
|---|---|---|
| Restore aus sauberem Backup | Backup ist unverändert, offline oder immutable und frei von Persistenz der Angreifer. | Backups können verschlüsselt, gelöscht oder bereits kompromittiert sein. |
| Snapshot-Recovery | Storage- oder Hypervisor-Snapshots wurden nicht gelöscht. | Angreifer löschen Snapshots häufig gezielt. |
| Schattenkopien (VSS) | Volume Shadow Copies sind noch vorhanden. | Werden von vielen Familien vor der Verschlüsselung gelöscht. |
| Dateisystem-Rekonstruktion | Verwertbare Strukturen (MFT, Inodes, Journale) und unverschlüsselte Bereiche existieren. | Abhängig vom Schadensbild; kein Ersatz für einen Schlüssel. |
| VM-/VMDK-/VHDX-Recovery | Virtuelle Festplatten sind nur teilweise verschlüsselt oder Datastores rekonstruierbar. | Abhängig von Variante und Verschlüsselungsmodus. |
| RAID-/NAS-Recovery | Datenträger sind physisch lesbar, RAID-Parameter rekonstruierbar. | Rebuilds oder Initialisierungen vor der Analyse können Daten zerstören. |
| Raw Recovery / Carving | Dateiinhalte liegen unverschlüsselt in freien oder nicht überschriebenen Bereichen. | Dateinamen und Ordnerstruktur gehen oft verloren. |
| Datenbank-/Applikations-Recovery | Datenbankdateien oder Transaktionslogs sind teilweise intakt. | Technisch aufwendig, Ergebnis vorher nicht garantierbar. |
Welcher Hilfeweg passt?
Häufige Fragen
Gibt es einen Decryptor für GandCrab?
Stand unserer Daten: Keine belastbaren Angaben. Prüfen Sie Decryptoren nur an Kopien und nur aus seriösen Quellen wie No More Ransom.
Welche Dateiendung nutzt GandCrab?
Dokumentiert sind die Endungen .GDCB, .KRAB. Je nach Variante kann die Endung abweichen; vergleichen Sie zusätzlich die Ransom Note.
Wie heißt die Ransom Note von GandCrab?
Dokumentiert ist GDCB-DECRYPT.txt, DECRYPT-[victim_ID].html. Sichern Sie eine Kopie der Notiz als Beweismittel und nehmen Sie keinen Kontakt zu den Angreifern auf, bevor das Vorgehen abgestimmt ist.
Soll ich den betroffenen Server ausschalten?
Das hängt vom Szenario ab. Zuerst isolieren (Netzwerk trennen). Beim Ausschalten gehen flüchtige forensische Spuren verloren; läuft die Verschlüsselung jedoch noch oder breitet sie sich aus, kann ein sofortiges Abschalten richtig sein. Stimmen Sie das möglichst mit einem Incident-Response-Team ab.
Darf ich die verschlüsselten Dateien kopieren?
Ja – Kopien verschlüsselter Dateien auf ein separates, sauberes Medium sind sinnvoll, damit spätere Entschlüsselungs- oder Rettungsversuche nicht an den Originalen stattfinden. Arbeiten Sie dabei nicht von kompromittierten Systemen aus.
Sind meine Backups ebenfalls betroffen?
Möglicherweise. Angreifer suchen gezielt nach Backup-Servern, Repositories und Snapshots. Prüfen Sie Backups isoliert, bevor Sie sie mit dem Netzwerk verbinden, und validieren Sie Restore Points auf Persistenz.
Passende Ratgeber
Quellen und weiterführende Referenzen
Angaben aus dem bestehenden Ransomware-Reverse-Datenbestand (Übernahme beim Relaunch, nicht einzeln fachlich geprüft). Felder ohne belastbare Daten sind als solche gekennzeichnet.