تتداول تقارير عن قيام برنامج الفدية L0CK3D بتشفير أجهزة NAS من Synology، حيث لاحظ الضحايا التلاعب بامتدادات ملفاتهم. المقال المصدر، وهو دليل من مدونة SheMo Noransom، يصف النشاط بأنه واسع النطاق ويقدّم نصائح للاستجابة الطارئة. المقتطف المتاح لنا قصير، لذا لا تدّعي هذه المقالة تفاصيل محددة حول كيفية دخول المهاجمين، أو عدد الأجهزة المتأثرة، أو شكل مطالب الفدية. ما يمكننا فعله هو وضع قائمة تحقق معقولة لاسترداد NAS من Synology بعد هجوم L0CK3D، مبنية على الأعراض الموصوفة وممارسات الاستجابة للحوادث المعتادة.
كيف تعرف ما إذا كان L0CK3D قد أصاب جهاز NAS من Synology
العرض الرئيسي المُبلَّغ عنه هو تغيّر امتدادات الملفات. فالمستندات والصور والنسخ الاحتياطية التي كانت تُفتح عادةً أصبحت الآن تحمل لاحقة غير مألوفة ولن تُفتح في تطبيقاتها المعتادة. وتشمل العلامات الأخرى المرتبطة عادةً ببرامج الفدية على NAS ما يلي:
- ملفات لا يمكن معاينتها أو فتحها فجأة من File Station أو من قرص مُعين
- ظهور ملاحظة نصية أو HTML جديدة في المجلدات المشتركة
- نشاط غير عادي ومرتفع للقرص أو المعالج دون تفسير
- مشاركات تبدو سليمة على NAS لكنها معطلة من أجهزة الكمبيوتر، أو العكس
قبل افتراض الأسوأ، استبعد الأسباب البسيطة مثل تعطّل قرص، أو تغيّر في الأذونات، أو خطأ في أحد عملاء المزامنة. وإذا ظهرت الامتدادات المتغيّرة في عدة مجلدات مشتركة في آنٍ واحد، فتعامل مع الأمر كإصابة حتى يثبت العكس.
الخطوات الأولى: عزل الجهاز وفحص مدى التعرّض
السرعة مهمة، لكن عدم تفاقم الأمور لا يقل أهمية. يساعد اتباع ترتيب هادئ للعمليات.
1. افصل NAS عن الشبكة. انزع كابل Ethernet، وعطّل Wi-Fi إن كان مطبقاً. هذا يوقف التشفير الإضافي للمشاركات المتصلة ويقطع أي وصول عن بُعد. تجنّب إيقاف التشغيل القسري إن أمكن؛ فالإيقاف النظيف قد يحفظ سجلات مفيدة، وإن كانت أولويتك هي وقف الانتشار.
2. افحص أجهزتك الأخرى. إذا كان جهاز كمبيوتر أو حاسوب محمول قد ثبّت NAS كقرص، فقد يكون ذلك الجهاز هو المصدر، أو قد يكون التالي. افصله وافحصه قبل إعادة توصيل أي شيء.
3. وثّق ما تراه. صوّر الشاشة، وسجّل امتداد الملف، واحفظ أي ملاحظة فدية. هذا يساعد في التحليل اللاحق، أو المطالبات التأمينية، أو الإبلاغ للسلطات.
4. راجع كيف كان الجهاز مكشوفاً. اسأل نفسك ما إذا كان NAS قابلاً للوصول من الإنترنت عبر إعادة توجيه المنافذ، أو ميزات الوصول عن بُعد، أو لوحة إدارة ويب. فكّر فيما إذا كنت تشغّل نسخة DSM قديمة، أو ما إذا كانت حسابات المسؤول تستخدم كلمات مرور ضعيفة أو معاد استخدامها، أو ما إذا كانت الحسابات الافتراضية أو الخدمات غير الضرورية لا تزال نشطة. المواد المصدر لا تحدد طريقة الدخول، لذا ينبغي أن تفترض أن أيّاً من هذه قد يكون ذا صلة وتفحص كل واحد منها.
5. غيّر بيانات الاعتماد. من جهاز نظيف، أعد تعيين كلمات المرور لحساب مسؤول NAS، وأي حسابات مشتركة، وأي شيء آخر كان مخزّناً على NAS أو قابلاً للوصول منه.
خيارات الاسترداد ولماذا الدفع رهان خاسر
أكثر عمليات الاسترداد نظافةً هي من نسخة احتياطية لم يتمكن المهاجم من الوصول إليها. تحقق مما إذا كانت لديك نسخة على قرص خارجي كان مفصولاً، أو على NAS منفصل، أو نسخة احتياطية سحابية بسجل إصدارات. قبل الاستعادة، امسح NAS وأعد بناءه ببرنامج ثابت محدّث حتى لا تستعيد إلى نظام مخترق. وإذا كانت نسخك الاحتياطية أيضاً على الجهاز نفسه أو على مشاركة مُثبَّتة، فقد تكون مشفّرة أيضاً، ولهذا فإن تصميم نسختك الاحتياطية مهم. تشرح مقالتنا حول لماذا لا تزال النسخ الاحتياطية غير القابلة للتغيير تتعرّض لبرامج الفدية أين تقصّر حتى الإعدادات حسنة النية.
إذا لم تكن لديك نسخة احتياطية نظيفة، فإن خياراتك تضيق:
- ابحث عن اللقطات (snapshots). إذا كانت لقطات Btrfs مفعّلة ولم تُحذف، فقد تتمكن من التراجع. تحقق من هذا قبل فعل أي شيء آخر بالوحدة التخزينية.
- ابحث عن أداة فك تشفير عامة. تظهر أدوات مجانية أحياناً لعائلات محددة من برامج الفدية. تحقق من أي أداة من مصدر موثوق قبل تشغيلها، واعمل على نسخ من البيانات.
- فكّر في المساعدة الاحترافية. يمكن لشركة موثوقة متخصصة في الاستجابة للحوادث أو استرداد البيانات أن تقيّم جدوى الاسترداد.
أما بالنسبة للدفع، فهو رهان خاسر. لا يوجد ضمان بأنك ستتلقى أداة فك تشفير عاملة، والدفع يجعلك هدفاً راغباً. تشير الأبحاث المذكورة في تغطيتنا لكيفية رفض 64% من ضحايا برامج الفدية الدفع الآن إلى أن الرفض أصبح هو القاعدة بشكل متزايد. للحصول على نظرة أوسع لكيفية تكيّف الجماعات الإجرامية، راجع نظرة Group-IB على نموذج عمل برامج الفدية المتطور.
تحصين NAS حتى لا يكون قابلاً للوصول في المرة القادمة
معظم اختراقات NAS تعود إلى التعرّض والإهمال. بعض التغييرات تغلق الكثير من الأبواب الشائعة:
- أخرجه من الإنترنت العام. أزل إعادة توجيه المنافذ وعطّل أي ميزة وصول عن بُعد لا تحتاجها فعلاً. إذا كنت بحاجة إلى وصول عن بُعد، فاستخدم VPN إلى شبكة منزلك أو مكتبك بدلاً من تعريض NAS مباشرةً.
- أبقِ DSM والحزم محدّثة. فعّل تحديثات الأمان التلقائية حيثما كان عملياً، وأزل التطبيقات التي لم تعد تستخدمها.
- أحكم إغلاق الحسابات. عطّل حساب المسؤول الافتراضي، واستخدم كلمات مرور طويلة وفريدة، وفعّل المصادقة الثنائية.
- استخدم مستشار الأمان المدمج. يمكنه الإشارة إلى كلمات المرور الضعيفة والإعدادات الخطرة.
- فعّل الحظر التلقائي وقيّد الوصول حسب IP حيثما يناسب إعدادك.
- فعّل اللقطات واحتفظ بها وفق جدول معقول.
- اتبع نهج 3-2-1. احتفظ بثلاث نسخ من البيانات، على نوعين من الوسائط، مع نسخة واحدة غير متصلة بالإنترنت أو بعيدة عن المتناول بأي شكل آخر.
ماذا يعني هذا لك
إذا كنت تشغّل NAS من Synology في المنزل أو في شركة صغيرة، فتعامل مع هذه التقارير كدافع للتحقق من إعدادك، لا كسبب للذعر. تفاصيل حملة L0CK3D ضئيلة في المصدر المتاح لدينا، لذا تجنّب التصرف بناءً على شائعات حول ثغرات محددة. ركّز على ما تتحكم به: ما إذا كان NAS مكشوفاً، وما إذا كان محدّثاً، وما إذا كانت لديك نسخة احتياطية لا يستطيع المهاجم لمسها. وإذا كنت متأثراً بالفعل، فاعزل الجهاز أولاً، ثم اعمل على الاسترداد دون إرسال أموال إلى المجرمين.
الخلاصة
يكون استرداد NAS من Synology بعد هجوم فدية L0CK3D أسهل بكثير عندما تستعد قبل الهجوم. اليوم، سجّل الدخول إلى NAS وانظر إلى ما هو مكشوف على الإنترنت، وتأكد من أن برنامجك الثابت محدّث، واختبر أنك تستطيع فعلاً استعادة ملف من النسخة الاحتياطية. ثم اقرأ عن النسخ الاحتياطية غير القابلة للتغيير واتجاه رفض الضحايا للدفع لتشكّل خطة لن تضطر إلى ارتجالها تحت الضغط.
