Кампания за рансъмуер, наречена C3RB3R, атакува устройства за мрежово съхранение (NAS) на Synology и моделът е познат: устройствата, работещи със остарял оперативен софтуер, са тези, чиито файлове биват криптирани. Ако съхранявате семейни снимки, бизнес документи или резервни копия на Synology устройство, защитата от рансъмуер C3RB3R за Synology NAS се свежда до кратък списък от навици, които можете да започнете още днес.
Тази публикация разглежда как работи атаката, как да различите истински инцидент от блъф и какво да правите по въпроса.
Как работи атаката C3RB3R срещу Synology NAS
Според доклада на Kaspersky, рансъмуерът C3RB3R атакува устройства Synology NAS, работещи със остарели оперативни системи, и криптира съхранените на тях файлове. Някои общностни и секюрнити публикации се позовават на същата дейност като LOCK3D или L0CK3D, така че може да срещнете няколко изписвания, докато проучвате.
NAS е привлекателна цел по проста причина: там хората концентрират данните си. Документи, снимки, споделени проектни папки и често резервни копия се намират на едно място, а устройството често е достъпно от интернет за отдалечен достъп. Когато софтуерът на това устройство изостава с актуализациите, атакуващите имат повече поле за действие.
Натискът не спира до криптирането. Ако жертвата откаже да плати, престъпниците заплашват да направят откраднатите данни публични. Те може да се свържат с жертвите по имейл или чрез социални медии с тези искания.
Истинско криптиране или измама за изнудване: как да различите
Не всяко заплашително съобщение означава, че сте били хакнати. Kaspersky отбелязва, че такива заплахи често не са нищо повече от измама — модел, който тя е разгледала отделно в публикацията си за това как измамниците използват имейл за изнудване и изнудване. Масово изпращаните искания, твърдящи, че държат вашите данни, са често срещани и много от тях са блъфове, изпратени до хиляди хора без реален достъп.
Самият NAS е най-доброто доказателство. Няколко практични проверки:
- Разгледайте файловете си. Ако документите са недостъпни, преименувани или придружени от бележка за откуп на устройството, вероятно имате работа с реален инцидент на криптиране. Ако всичко се отваря нормално, само имейлът вероятно е празна заплаха.
- Проверете устройството, не съобщението. Влезте в интерфейса на DSM директно (не чрез връзка в имейл) и прегледайте какво се случва в системата.
- Бъдете честни относно риска. Kaspersky е категорична, че ако вашият NAS действително е бил криптиран, не можете да изключите кражба на данни. Отнасяйте се към реален инцидент на криптиране и като потенциално излагане на данни, не само като проблем с достъпността.
Разграничението е важно, защото правилният отговор е различен. Блъфът изисква игнориране и докладване на съобщението. Истинската инфекция изисква ограничаване и възстановяване.
Какво да правите, ако вашият NAS е криптиран
Ако файловете на вашето устройство наистина са заключени, действайте спокойно и подредено.
- Изключете NAS от мрежата. Това помага да се спре по-нататъшна вреда и прекъсва всеки отдалечен достъп, който атакуващите може все още да имат.
- Не разчитайте на обещанията на престъпниците. Плащането не гарантира, че файловете ви ще се върнат, и не отменя вече случила се кражба.
- Приемете, че данните може да са били копирани. Помислете какво е било съхранявано там: лични документи, информация за клиенти, идентификационни данни. Сменете паролите за акаунти, чиито данни може да са били запазени на устройството, и обмислете кой може да трябва да бъде уведомен, ако данните принадлежат на клиенти или колеги.
- Възстановете от чисто резервно копие. Тук офлайн или отделните резервни копия доказват своята стойност. Преди да свържете отново каквото и да е, актуализирайте софтуера на NAS, за да не възстановявате върху същата уязвимост.
- Потърсете професионална помощ, ако данните са критични за бизнеса. Специалист по реагиране на инциденти може да помогне да се определи какво е било достъпено.
Контролен списък за укрепване на NAS: актуализации, изложени услуги, резервни копия, контрол на достъпа
Собствените насоки на Synology, както са отразени в източниците, преглеждащи тази кампания, посочват последователен набор от поправки. Нито една не изисква специални познания.
Актуализирайте всичко. Актуализирайте DSM, операционната система на NAS, и инсталираните от вас пакети. Synology призова потребителите с уязвими версии да актуализират незабавно. Включете автоматичните актуализации, където можете, и проверявайте устройството от време на време дори и тогава.
Затворете това, което не ви е нужно. Отваряйте само услуги, които действително използвате. Всеки изложен порт или функция за отдалечен достъп е врата, която някой може да опита. Ако не се нуждаете от достъп до NAS отвън от дома или офиса си, изключете директния интернет достъп до него.
Заключете влизанията. Уверете се, че Auto Block, Account Protection и многофакторното удостоверяване са включени. Използвайте уникални, дълги пароли за администраторските акаунти и избягвайте да оставяте пароли по подразбиране или споделени идентификационни данни.
Изпълнете вградените проверки. Synology Security Advisor може рутинно да сканира устройството за уязвимости и слаби настройки. Отнема минути и хваща онзи вид отклонения, които се натрупват с времето.
Поддържайте резервни копия, до които рансъмуерът не може да достигне. Резервно копие, което се намира на същия NAS или на споделена папка, към която NAS винаги може да пише, може да бъде криптирано заедно с всичко останало. Дръжте поне едно копие офлайн или по друг начин отделено, и тествайте дали можете да възстановите от него.
Какво означава това за вас
Ако притежавате Synology NAS, ключовият въпрос е дали е актуален и колко е изложен. Остарелият софтуер плюс достъп, изложен на интернет, е комбинацията, около която е изградена тази кампания. Ако не използвате NAS, но получите имейл, твърдящ, че някой има вашите файлове, помнете, че такива съобщения често са измами и първата стъпка е да проверите дали нещо действително се е случило.
За малките офиси NAS често съдържа данни за други хора, което повишава залога, ако кражба е възможна. Актуализирането и ограничаването на достъпа е по-евтино от всяко възстановяване.
Практически изводи
- Актуализирайте DSM и всички инсталирани пакети днес и включете автоматичните актуализации.
- Затворете портовете и услугите за отдалечен достъп, които не използвате.
- Включете Auto Block, Account Protection и многофакторно удостоверяване.
- Изпълнете Synology Security Advisor и отстранете отбелязаното.
- Поддържайте офлайн резервно копие и тествайте възстановяване.
- Ако пристигне съобщение за изнудване, първо проверете файловете си, преди да реагирате.
Одитът на вашата конфигурация сега е най-ефективната защита от рансъмуер C3RB3R за Synology NAS, която можете да въведете, и отнема далеч по-малко време от възстановяването след атака.
