Циркулират съобщения за L0CK3D рансъмуер, криптиращ Synology NAS устройства, като жертвите забелязват, че разширенията на файловете им са били променени. Изходната статия, ръководство от блога SheMo Noransom, описва активността като мащабна и предлага съвети за спешна реакция. Достъпният до нас откъс е кратък, така че тази публикация не претендира за конкретика относно това как нападателите проникват, колко устройства са засегнати или как изглеждат исканията за откуп. Това, което можем да направим, е да изложим разумен контролен списък за възстановяване от Synology NAS L0CK3D рансъмуер, изграден около описаните симптоми и стандартната практика за реакция при инциденти.

Как да разберете дали L0CK3D е ударил вашия Synology NAS

Основният докладван симптом е промяна на разширенията на файловете. Документи, снимки и резервни копия, които преди са се отваряли нормално, сега носят непознат суфикс и не се отварят в обичайните си приложения. Други признаци, често свързвани с рансъмуер на NAS, включват:

  • Файлове, които изведнъж не могат да бъдат преглеждани или отваряни от File Station или от свързан диск
  • Нова текстова или HTML бележка, появяваща се в споделените папки
  • Необичайно висока активност на диска или процесора без обяснение
  • Споделени папки, които изглеждат наред на NAS, но са счупени от вашите компютри, или обратното

Преди да приемете най-лошото, изключете прости причини като повреден диск, промяна на разрешения или синхронизиращ клиент, който се е объркал. Ако няколко споделени папки показват променените разширения едновременно, третирайте го като инфекция, докато не се докаже обратното.

Първи стъпки: изолирайте устройството и проверете излагането

Скоростта е важна, но също и това да не влошите нещата. Спокоен ред на операциите помага.

1. Изключете NAS от мрежата. Извадете Ethernet кабела и деактивирайте Wi-Fi, ако е приложимо. Това спира по-нататъшното криптиране на свързаните споделени папки и прекъсва всеки отдалечен достъп. Избягвайте твърдо изключване на захранването, ако можете; чистото изключване може да запази полезни логове, въпреки че приоритетът ви е да спрете разпространението.

2. Проверете другите си устройства. Ако компютър или лаптоп е имал NAS, монтиран като диск, тази машина може да е източникът или може да е следващата. Изключете я и я сканирайте, преди да свържете отново каквото и да било.

3. Документирайте какво виждате. Снимайте екрана, запишете разширението на файла и запазете всяка бележка за откуп. Това помага за по-късен анализ, застрахователни искове или доклади до властите.

4. Прегледайте как е било изложено устройството. Попитайте се дали NAS е бил достъпен от интернет чрез пренасочване на портове, функции за отдалечен достъп или уеб административен панел. Обмислете дали сте използвали остарял фърмуер на DSM, дали административните акаунти са използвали слаби или повторно използвани пароли и дали акаунти по подразбиране или ненужни услуги все още са били активни. Изходният материал не уточнява метода на проникване, така че трябва да приемете, че всеки от тези фактори може да е от значение, и да проверите всеки един.

5. Сменете идентификационните данни. От чисто устройство нулирайте паролите за административния акаунт на NAS, за всички споделени акаунти и за всичко друго, което е било съхранено на или достъпно от NAS.

Опции за възстановяване и защо плащането е лош залог

Най-чистото възстановяване е от резервно копие, до което нападателят не е могъл да достигне. Проверете дали имате копие на външен диск, който е бил изключен, на отделен NAS или в облачно резервно копие с история на версиите. Преди възстановяване изчистете и преизградете NAS с актуализиран фърмуер, за да не възстановявате в компрометирана система. Ако резервните ви копия също са били на същото устройство или свързана споделена папка, те може също да са криптирани, поради което дизайнът на резервното ви копие е от значение. Нашата статия за защо неизменяемите резервни копия все още биват удряни от рансъмуер обяснява къде дори добре замислените настройки се провалят.

Ако нямате чисто резервно копие, опциите ви се стесняват:

  • Търсете snapshot-и. Ако Btrfs snapshot-ите са били активирани и не са изтрити, може да успеете да се върнете назад. Проверете това, преди да правите каквото и да било друго с тома.
  • Проверете за публичен декриптор. Понякога се появяват безплатни инструменти за конкретни семейства рансъмуер. Проверете всеки инструмент от надежден източник, преди да го стартирате, и работете върху копия на данните.
  • Обмислете професионална помощ. Надеждна фирма за реакция при инциденти или възстановяване на данни може да прецени дали възстановяването е осъществимо.

Що се отнася до плащането, то е лош залог. Няма гаранция, че ще получите работещ декриптор, а плащането ви маркира като склонна мишена. Изследване, цитирано в нашето покритие на това как 64% от жертвите на рансъмуер вече отказват да плащат, предполага, че отказът все повече е нормата. За по-широк поглед върху това как престъпните групи се адаптират, вижте погледа на Group-IB върху развиващия се бизнес модел на рансъмуера.

Затягане на сигурността на вашия NAS, за да не бъде достъпен следващия път

Повечето компрометирания на NAS се свеждат до излагане и небрежност. Няколко промени затварят много от често срещаните врати:

  • Извадете го от публичния интернет. Премахнете пренасочването на портове и деактивирайте всяка функция за отдалечен достъп, която наистина не ви е нужна. Ако се нуждаете от отдалечен достъп, използвайте VPN към вашата домашна или офис мрежа, вместо да излагате NAS директно.
  • Поддържайте DSM и пакетите актуализирани. Активирайте автоматичните актуализации за сигурност, където е практично, и премахнете приложения, които вече не използвате.
  • Заключете акаунтите. Деактивирайте административния акаунт по подразбиране, използвайте дълги уникални пароли и включете двуфакторно удостоверяване.
  • Използвайте вградения Security Advisor. Той може да сигнализира за слаби пароли и рискови настройки.
  • Активирайте автоматично блокиране и ограничете достъпа по IP, където това пасва на вашата настройка.
  • Включете snapshot-и и ги поддържайте по разумен график.
  • Следвайте подхода 3-2-1. Пазете три копия на данните, на два вида носители, като едното е офлайн или по друг начин недостъпно.

Какво означава това за вас

Ако управлявате Synology NAS у дома или в малък бизнес, третирайте тези съобщения като повод да проверите настройката си, а не като причина за паника. Подробностите за кампанията L0CK3D са оскъдни в източника, с който разполагаме, така че избягвайте да действате въз основа на слухове за конкретни експлойти. Съсредоточете се върху това, което контролирате: дали вашият NAS е изложен, дали е пачнат и дали имате резервно копие, до което нападателят не може да се докосне. Ако вече сте засегнати, първо изолирайте устройството, след това преминете през възстановяването, без да изпращате пари на престъпници.

Изводи

Възстановяването от Synology NAS L0CK3D рансъмуер е далеч по-лесно, когато се подготвите преди атака. Днес влезте в своя NAS и вижте какво е изложено на интернет, потвърдете, че фърмуерът ви е актуален, и тествайте дали наистина можете да възстановите файл от резервно копие. След това прочетете за неизменяемите резервни копия и тенденцията жертвите да отказват да плащат, за да оформите план, който няма да се налага да импровизирате под натиск.