Verschillende Amerikaanse overheden op lokaal en staatsniveau zijn dit jaar getroffen door de GandCrab-ransomware, zo blijkt uit een document van het ministerie van Homeland Security. De aanvallen vonden in maart plaats en waren gericht tegen een netwerk van een stad in de staat Connecticut en een rechtelijke instantie.

Gandcrab is ransomware die zich onder andere via besmette advertenties en e-mailbijlagen verspreidt. Eenmaal actief versleutelt het allerlei bestanden. De ransomware versleutelde verschillende gemeenteservers, waaronder ook meerdere back-ups. De gemeente besloot het geld voor het ontsleutelen van de bestanden niet te betalen, wat leidde tot verlies van belastinggegevens en beoordelingsgegevens, zo blijkt uit een rapport van Homeland Security dat door Public Intelligence openbaar is gemaakt (pdf).

De aanval tegen de rechtelijke instantie zorgde voor veel besmette computers, maar weinig versleutelde bestanden. De infectie vond plaats via de server van een leverancier. Vervolgens bemachtigde de aanvaller inloggegevens van een gebruiker met hogere rechten en gebruikte die om in te loggen op twee servers van de rechtelijke instantie. Vanaf deze servers werd de ransomware via het smb-protocol op andere machines geïnstalleerd. Functionarissen slaagden erin om de communicatie van de ransomware met de externe ransomware-servers te blokkeren, wat de versleuteling van aanvullende hosts en dataverlies voorkwam.