Ransomwarová kampaň s názvem C3RB3R cílí na zařízení Synology NAS (network-attached storage) a vzorec je známý: zařízení se zastaralým operačním systémem jsou ta, kterým útočníci šifrují soubory. Pokud na Synology boxu uchováváte rodinné fotografie, firemní dokumenty nebo zálohy, ochrana Synology NAS před ransomwarem C3RB3R se redukuje na krátký seznam návyků, se kterými můžete začít ještě dnes.

Tento článek popisuje, jak útok funguje, jak rozeznat skutečný incident od blafu a co s tím dělat.

Jak útok C3RB3R na Synology NAS funguje

Podle zprávy společnosti Kaspersky ransomware C3RB3R útočí na zařízení Synology NAS provozující zastaralé operační systémy a šifruje soubory, které jsou na nich uloženy. Některé komunitní a bezpečnostní texty označují stejnou aktivitu jako LOCK3D nebo L0CK3D, takže při zkoumání můžete narazit na několik variant pravopisu.

NAS je atraktivním cílem z jednoduchého důvodu: je to místo, kam lidé soustřeďují svá data. Dokumenty, fotografie, sdílené projektové složky a často i zálohy leží všechny na jednom místě a zařízení je frequently dostupné z internetu pro vzdálený přístup. Když software na tomto zařízení zaostává za aktualizacemi, mají útočníci více prostoru k práci.

Nátlak nekončí u šifrování. Pokud oběť odmítne zaplatit, zločinci hrozí zveřejněním odcizených dat. Mohou oběti kontaktovat e-mailem nebo prostřednictvím sociálních sítí s těmito požadavky.

Skutečné šifrování nebo vyděračský podvod: jak to rozeznat

Ne každá výhružná zpráva znamená, že jste byli napadeni. Kaspersky poznamenává, že takové hrozby často nejsou ničím jiným než podvodem – vzorec, kterému se věnovala samostatně ve svém příspěvku o tom, jak podvodníci využívají e-mail k vydírání a extorzi. Hromadně rozesílané požadavky tvrdící, že drží vaše data, jsou běžné a mnohé z nich jsou blafy rozesílané tisícům lidí bez jakéhokoli skutečného přístupu.

Nejlepším důkazem je samotný NAS. Několik praktických kontrol:

  • Podívejte se na své soubory. Pokud jsou dokumenty nedostupné, přejmenované nebo doprovázené výkupným na zařízení, pravděpodobně máte co do činění se skutečným šifrováním. Pokud se vše otevírá normálně, samotný e-mail je pravděpodobně prázdná hrozba.
  • Zkontrolujte zařízení, ne zprávu. Přihlaste se přímo do rozhraní DSM (ne přes odkaz v e-mailu) a zkontrolujte, co se v systému děje.
  • Buďte upřímní ohledně rizika. Kaspersky jasně uvádí, že pokud byl váš NAS skutečně zašifrován, nelze vyloučit krádež dat. Skutečný incident šifrování berte jako možné ohrožení dat, nejen jako problém dostupnosti.

Rozdíl je důležitý, protože správná reakce se liší. Blaf vyžaduje ignorování a nahlášení zprávy. Skutečná infekce vyžaduje izolaci a obnovu.

Co dělat, pokud je váš NAS zašifrován

Pokud jsou soubory na vašem zařízení skutečně uzamčeny, jednejte klidně a popořadě.

  1. Odpojte NAS od sítě. Pomůže to zastavit další škody a odříznout jakýkoli vzdálený přístup, který útočníci ještě mohou mít.
  2. Nespoléhejte na sliby zločinců. Zaplacení nezaručuje, že se vaše soubory vrátí, a neodčiní žádnou krádež, která již nastala.
  3. Předpokládejte, že data mohla být zkopírována. Zamyslete se nad tím, co tam bylo uloženo: osobní dokumenty, informace o zákaznících, přihlašovací údaje. Změňte hesla u účtů, jejichž údaje mohly být na zařízení uloženy, a zvažte, koho bude třeba informovat, pokud data patří klientům nebo kolegům.
  4. Obnovte z čisté zálohy. Zde se projeví hodnota offline nebo oddělených záloh. Před opětovným připojením čehokoli aktualizujte software NAS, abyste neobnovovali na stejnou slabinu.
  5. Vyhledejte odbornou pomoc, pokud jsou data pro firmu kritická. Incident responder může pomoci určit, k čemu bylo přistupováno.

Kontrolní seznam zabezpečení NAS: aktualizace, vystavené služby, zálohy, řízení přístupu

Vlastní doporučení společnosti Synology, jak je reflektují zdroje zkoumající tuto kampaň, ukazují na konzistentní sadu opatření. Žádné z nich nevyžaduje zvláštní odbornost.

Aktualizujte vše. Aktualizujte DSM, operační systém NAS, a nainstalované balíčky. Synology vyzvala uživatele provozující zranitelné verze k okamžité aktualizaci. Kde můžete, povolte automatické aktualizace, a i tak zařízení občas zkontrolujte.

Zavřete, co nepotřebujete. Otevírejte pouze služby, které skutečně používáte. Každý vystavený port nebo funkce vzdáleného přístupu jsou dveře, které může někdo zkusit. Pokud nepotřebujete přistupovat k NAS zvenčí domova nebo kanceláře, vypněte k němu přímý přístup z internetu.

Zabezpečte přihlašování. Ujistěte se, že jsou povoleny Auto Block, Account Protection a vícefaktorová autentizace. Používejte jedinečná, dlouhá hesla pro administrátorské účty a vyhněte se ponechání výchozích nebo sdílených přihlašovacích údajů.

Spouštějte vestavěné kontroly. Synology Security Advisor může rutinně skenovat zařízení na zranitelnosti a slabá nastavení. Zabere to minuty a zachytí druh odklonu, který se postupem času hromadí.

Uchovávejte zálohy, ke kterým se ransomware nedostane. Záloha, která leží na stejném NAS nebo na sdílené složce, do které NAS může vždy zapisovat, může být zašifrována spolu se vším ostatním. Uchovávejte alespoň jednu kopii offline nebo jinak oddělenou a testujte, že z ní dokážete obnovit.

Co to pro vás znamená

Pokud vlastníte Synology NAS, klíčovou otázkou je, zda je aktuální a jak je vystaven. Zastaralý software plus přístup z internetu je kombinace, na které je tato kampaň postavena. Pokud NAS nepoužíváte, ale obdržíte e-mail tvrdící, že někdo má vaše soubory, pamatujte, že takové zprávy jsou často podvody a prvním krokem je ověřit, zda se skutečně něco stalo.

Pro malé kanceláře NAS často uchovává data o jiných lidech, což zvyšuje sázky, pokud je krádež možná. Aktualizace a omezení přístupu jsou levnější než jakákoli obnova.

Praktická doporučení

  • Aktualizujte DSM a všechny nainstalované balíčky ještě dnes a zapněte automatické aktualizace.
  • Zavřete porty a služby vzdáleného přístupu, které nepoužíváte.
  • Povolte Auto Block, Account Protection a vícefaktorovou autentizaci.
  • Spusťte Synology Security Advisor a opravte, co označí.
  • Uchovávejte offline zálohu a otestujte obnovu.
  • Pokud dorazí vyděračská zpráva, nejprve zkontrolujte své soubory, než zareagujete.

Audit vašeho nastavení nyní je nejúčinnější ochrana Synology NAS před ransomwarem C3RB3R, kterou můžete zavést, a zabere mnohem méně času než obnova po útoku.