En ransomwarekampagne ved navn C3RB3R er målrettet mod Synology-netværkslagerenheder (NAS), og mønstret er velkendt: Enheder, der kører forældet styresystemsoftware, er dem, der får deres filer krypteret. Hvis du opbevarer familiefotos, forretningsdokumenter eller backups på en Synology-boks, handler C3RB3R Synology NAS-ransomwarebeskyttelse om en kort liste af vaner, du kan begynde på allerede i dag.

Dette indlæg gennemgår, hvordan angrebet fungerer, hvordan man skelner en ægte hændelse fra en bluf, og hvad man skal gøre ved det.

Sådan fungerer C3RB3R-angrebet på Synology NAS

Ifølge Kasperskys rapportering angriber C3RB3R-ransomware Synology NAS-enheder, der kører forældede styresystemer, og krypterer de filer, der er gemt på dem. Nogle community- og sikkerhedsartikler omtaler den samme aktivitet som LOCK3D eller L0CK3D, så du kan støde på flere stavemåder, mens du undersøger sagen.

En NAS er et attraktivt mål af en simpel grund: Det er der, folk samler deres data. Dokumenter, fotos, delte projektmapper og ofte også backups ligger alle på ét sted, og enheden er hyppigt tilgængelig fra internettet til fjernadgang. Når softwaren på den pågældende enhed sakker bagud med opdateringer, får angriberne mere albuerum.

Presset stopper ikke ved kryptering. Hvis offeret nægter at betale, truer kriminelle med at offentliggøre de stjålne data. De kan kontakte ofre via e-mail eller gennem sociale medier med disse krav.

Ægte kryptering eller afpresningssvindel: sådan skelner du

Ikke enhver truende besked betyder, at du er blevet hacket. Kaspersky bemærker, at sådanne trusler ofte ikke er andet end svindel – et mønster, de har dækket separat i deres indlæg om, hvordan svindlere bruger e-mail til afpresning og udpresning. Masseudsendte krav om at have dine data er almindelige, og mange er bluf beskeder sendt til tusindvis af personer uden nogen faktisk adgang.

Selve NAS'en er det bedste bevis. Et par praktiske kontroller:

  • Se på dine filer. Hvis dokumenter er utilgængelige, omdøbt eller ledsaget af en ransomnote på enheden, har du sandsynligvis at gøre med en ægte krypteringshændelse. Hvis alt åbner normalt, er en e-mail alene sandsynligvis en tom trussel.
  • Tjek enheden, ikke beskeden. Log ind på DSM-grænsefladen direkte (ikke gennem et link i en e-mail), og gennemgå, hvad der sker på systemet.
  • Vær ærlig om risikoen. Kaspersky er klar i mælet om, at hvis din NAS faktisk er blevet krypteret, kan du ikke udelukke datatyveri. Behandl en ægte krypteringshændelse som en potentiel datalækage også, ikke kun et tilgængelighedsproblem.

Forskellen er vigtig, fordi det rigtige svar er forskelligt. En bluf kræver, at man ignorerer og rapporterer beskeden. En ægte infektion kræver inddæmning og gendannelse.

Hvad du skal gøre, hvis din NAS er krypteret

Hvis filerne på din enhed virkelig er låst, skal du handle roligt og i rækkefølge.

  1. Afbryd NAS'en fra netværket. Dette hjælper med at stoppe yderligere skade og afskærer enhver fjernadgang, som angriberne måtte have stadig.
  2. Stol ikke på de kriminelles løfter. Betaling garanterer ikke, at dine filer kommer tilbage, og den fortryder ikke et tyveri, der allerede er sket.
  3. Antag, at dataene kan være blevet kopieret. Tænk over, hvad der var gemt der: personlige dokumenter, kundeoplysninger, loginoplysninger. Skift adgangskoder til konti, hvis oplysninger kan have været opbevaret på enheden, og overvej, hvem der måske skal underrettes, hvis dataene tilhører kunder eller kolleger.
  4. Gendan fra en ren backup. Det er her, offline- eller separate backups viser deres værd. Før du tilslutter noget igen, skal du opdatere NAS-softwaren, så du ikke gendanner oven på den samme svaghed.
  5. Søg professionel hjælp, hvis dataene er forretningskritiske. En incident responder kan hjælpe med at fastslå, hvad der blev tilgået.

Tjekliste til hærdning af NAS: opdateringer, eksponerede tjenester, backups, adgangskontroller

Synologys egen vejledning, som den afspejles i kilderne, der gennemgår denne kampagne, peger på et konsistent sæt af rettelser. Ingen af dem kræver særlig ekspertise.

Opdater alt. Opdater DSM, NAS'ens styresystem og dine installerede pakker. Synology har opfordret brugere med sårbare versioner til at opdatere med det samme. Aktivér automatiske opdateringer, hvor du kan, og tjek enheden lejlighedsvis, selv da.

Luk det, du ikke har brug for. Åbn kun tjenester, du faktisk bruger. Enhver eksponeret port eller fjernadgangsfunktion er en dør, nogen kan forsøge at åbne. Hvis du ikke har brug for at nå NAS'en udefra dit hjem eller kontor, skal du slå direkte internetadgang til den fra.

Lås logins. Sørg for, at Auto Block, Account Protection og multifaktorautentificering er aktiveret. Brug unikke, lange adgangskoder til administratorkonti, og undgå at lade standard- eller delte loginoplysninger være på plads.

Kør de indbyggede kontroller. Synology Security Advisor kan rutinemæssigt scanne enheden for sårbarheder og svage indstillinger. Det tager få minutter og fanger den form for drift, der ophober sig over tid.

Hold backups, som ransomware ikke kan nå. En backup, der ligger på samme NAS eller på en delt mappe, som NAS'en altid kan skrive til, kan blive krypteret sammen med alt andet. Hold mindst én kopi offline eller på anden måde adskilt, og test, at du kan gendanne fra den.

Hvad det betyder for dig

Hvis du ejer en Synology NAS, er det centrale spørgsmål, om den er opdateret, og hvor eksponeret den er. Forældet software kombineret med internetvendt adgang er den kombination, som denne kampagne er bygget op omkring. Hvis du ikke bruger en NAS, men modtager en e-mail, der hævder, at nogen har dine filer, så husk, at sådanne beskeder ofte er svindel, og at det første skridt er at verificere, om der faktisk er sket noget.

For små kontorer indeholder en NAS ofte data om andre mennesker, hvilket øger indsatsen, hvis tyveri er muligt. Opdatering og begrænsning af adgang er billigere end enhver gendannelse.

Handlingsrettede hovedpointer

  • Opdater DSM og alle installerede pakker i dag, og aktivér automatiske opdateringer.
  • Luk fjernadgangsporte og tjenester, du ikke bruger.
  • Aktivér Auto Block, Account Protection og multifaktorautentificering.
  • Kør Synology Security Advisor, og ret det, den flagger.
  • Hold en offline-backup, og test en gendannelse.
  • Hvis en afpresningsbesked ankommer, så tjek dine filer først, før du reagerer.

At revidere din opsætning nu er den mest effektive C3RB3R Synology NAS-ransomwarebeskyttelse, du kan etablere, og det tager langt mindre tid end at komme sig efter et angreb.