Objevují se zprávy o ransomwaru L0CK3D, který šifruje zařízení Synology NAS, přičemž si oběti všímají, že jejich přípony souborů byly pozměněny. Zdrojový článek, průvodce z blogu SheMo Noransom, popisuje tuto aktivitu jako rozsáhlou a nabízí rady pro nouzovou reakci. Výňatek, který máme k dispozici, je krátký, takže tento příspěvek netvrdí konkrétní informace o tom, jak útočníci pronikají dovnitř, kolik zařízení je zasaženo ani jak vypadají požadavky na výkupné. Co můžeme udělat, je sestavit rozumný kontrolní seznam pro obnovu ze ransomwaru L0CK3D na Synology NAS postavený na popsaných symptomech a standardní praxi reakce na incidenty.

Jak zjistit, zda L0CK3D zasáhl váš Synology NAS

Hlavním hlášeným symptomem jsou změněné přípony souborů. Dokumenty, fotografie a zálohy, které se dříve normálně otevíraly, nyní nesou neznámou příponu a v obvyklých aplikacích se neotevřou. Mezi další znaky běžně spojované s ransomwarem na NAS patří:

  • Soubory, které najednou nelze zobrazit náhledem ani otevřít z File Station nebo z připojeného disku
  • Nová textová nebo HTML poznámka objevující se ve sdílených složkách
  • Neobvykle vysoká aktivita disku nebo CPU bez vysvětlení
  • Sdílené složky, které na NAS vypadají v pořádku, ale z vašich počítačů jsou nefunkční, nebo naopak

Než budete předpokládat to nejhorší, vylučte jednoduché příčiny, jako je selhávající disk, změna oprávnění nebo selhání synchronizačního klienta. Pokud několik sdílených složek najednou vykazuje pozměněné přípony, považujte to za infekci, dokud se neprokáže opak.

První kroky: izolujte zařízení a zkontrolujte expozici

Rychlost je důležitá, ale stejně tak je důležité nezhoršovat situaci. Klidný sled kroků pomáhá.

1. Odpojte NAS od sítě. Vytáhněte ethernetový kabel a pokud je to relevantní, vypněte Wi-Fi. Tím se zastaví další šifrování připojených sdílených složek a přeruší se jakýkoli vzdálený přístup. Pokud je to možné, vyhněte se tvrdému vypnutí napájením; čisté vypnutí může zachovat užitečné záznamy, i když vaší prioritou je zastavit šíření.

2. Zkontrolujte svá ostatní zařízení. Pokud měl počítač nebo notebook NAS připojený jako disk, toto zařízení mohlo být zdrojem nebo může být další na řadě. Odpojte ho a proskenujte, než cokoli znovu připojíte.

3. Zdokumentujte, co vidíte. Vyfoťte obrazovku, poznamenejte si příponu souboru a uložte jakoukoli zprávu o výkupném. To pomůže při pozdější analýze, pojistných nárocích nebo oznámeních úřadům.

4. Projděte si, jak bylo zařízení vystaveno. Zeptejte se sami sebe, zda byl NAS dosažitelný z internetu prostřednictvím přesměrování portů, funkcí vzdáleného přístupu nebo webového administračního panelu. Zvažte, zda jste používali zastaralý firmware DSM, zda administrátorské účty používaly slabá nebo znovu použitá hesla a zda byly stále aktivní výchozí účty nebo nepotřebné služby. Zdrojový materiál nespecifikuje způsob vniknutí, takže byste měli předpokládat, že kterýkoli z těchto faktorů může být relevantní, a zkontrolovat každý z nich.

5. Změňte přihlašovací údaje. Z čistého zařízení resetujte hesla pro administrátorský účet NAS, všechny sdílené účty a cokoli dalšího, co bylo uloženo na NAS nebo z něj přístupné.

Možnosti obnovy a proč je placení špatná sázka

Nejčistší obnova je ze zálohy, ke které útočník neměl přístup. Zkontrolujte, zda máte kopii na externím disku, který byl odpojen, na samostatném NAS nebo v cloudové záloze s historií verzí. Před obnovením NAS vymažte a znovu sestavte s aktualizovaným firmwarem, abyste neobnovovali do kompromitovaného systému. Pokud byly vaše zálohy také na stejném zařízení nebo připojené sdílené složce, mohou být také zašifrované, a proto záleží na návrhu vaší zálohy. Náš článek o tom, proč neměnné zálohy stále zasahuje ransomware vysvětluje, kde i dobře míněná nastavení selhávají.

Pokud nemáte čistou zálohu, vaše možnosti se zužují:

  • Hledejte snapshoty. Pokud byly povoleny snapshoty Btrfs a nebyly smazány, možná budete moci provést rollback. Zkontrolujte to, než s svazkem uděláte cokoli dalšího.
  • Zkontrolujte, zda existuje veřejný dešifrovací nástroj. Někdy se objeví bezplatné nástroje pro konkrétní rodiny ransomwaru. Ověřte jakýkoli nástroj z důvěryhodného zdroje, než ho spustíte, a pracujte s kopiemi dat.
  • Zvažte odbornou pomoc. Renomovaná firma pro reakci na incidenty nebo obnovu dat může posoudit, zda je obnova proveditelná.

Co se týče placení, je to špatná sázka. Neexistuje žádná záruka, že obdržíte funkční dešifrovací nástroj, a platba vás označí za ochotný cíl. Výzkum citovaný v našem zpravodajství o tom, jak 64 % obětí ransomwaru nyní odmítá platit, naznačuje, že odmítnutí je stále více normou. Pro širší pohled na to, jak se kriminální skupiny přizpůsobují, viz pohled Group-IB na vyvíjející se obchodní model ransomwaru.

Zpevnění vašeho NAS, aby příště nebyl dosažitelný

Většina kompromitací NAS se scvrkává na expozici a zanedbání. Několik změn zavře mnoho běžných dveří:

  • Vyjměte ho z veřejného internetu. Odstraňte přesměrování portů a vypněte jakoukoli funkci vzdáleného přístupu, kterou skutečně nepotřebujete. Pokud potřebujete vzdálený přístup, použijte VPN do své domácí nebo kancelářské sítě místo přímého vystavení NAS.
  • Udržujte DSM a balíčky aktualizované. Kde je to praktické, povolte automatické bezpečnostní aktualizace a odstraňte aplikace, které již nepoužíváte.
  • Zabezpečte účty. Vypněte výchozí administrátorský účet, používejte dlouhá jedinečná hesla a zapněte dvoufázové ověřování.
  • Používejte vestavěného Security Advisor. Může upozornit na slabá hesla a riskantní nastavení.
  • Povolte automatické blokování a omezte přístup podle IP, kde to vyhovuje vašemu nastavení.
  • Zapněte snapshoty a udržujte je v rozumném plánu.
  • Dodržujte přístup 3-2-1. Uchovávejte tři kopie dat na dvou typech médií, přičemž jedna je offline nebo jinak mimo dosah.

Co to znamená pro vás

Pokud provozujete Synology NAS doma nebo v malé firmě, berte tyto zprávy jako podnět ke kontrole svého nastavení, ne jako důvod k panice. Podrobnosti o kampani L0CK3D jsou ve zdroji, který máme, řídké, takže se vyhněte jednání na základě fám o konkrétních zneužitích. Zaměřte se na to, co můžete ovlivnit: zda je váš NAS vystaven, zda je záplatovaný a zda máte zálohu, na kterou útočník nemůže dosáhnout. Pokud jste již zasaženi, nejprve izolujte zařízení a poté projděte obnovou, aniž byste posílali peníze zločincům.

Hlavní body

Obnova ze ransomwaru L0CK3D na Synology NAS je mnohem snazší, když se připravíte před útokem. Dnes se přihlaste ke svému NAS a podívejte se, co je vystaveno internetu, ověřte, že váš firmware je aktuální, a otestujte, že skutečně dokážete obnovit soubor ze zálohy. Poté si přečtěte o neměnných zálohách a trendu obětí odmítajících platit, abyste vytvořili plán, který nebudete muset improvizovat pod tlakem.