Der cirkulerer rapporter om L0CK3D-ransomware, der krypterer Synology NAS-enheder, hvor ofre bemærker, at deres filendelser er blevet manipuleret. Kildeartiklen, en guide fra SheMo Noransom-bloggen, beskriver aktiviteten som omfattende og giver råd om nødberedskab. Det uddrag, vi har adgang til, er kort, så dette indlæg hævder ikke noget konkret om, hvordan angriberne trænger ind, hvor mange enheder der er berørt, eller hvordan løsesumsanmodningerne ser ud. Det, vi kan gøre, er at opstille en fornuftig tjekliste til gendannelse efter Synology NAS L0CK3D-ransomware baseret på de beskrevne symptomer og standard praksis for hændelseshåndtering.

Sådan afgør du, om L0CK3D har ramt din Synology NAS

Det vigtigste rapporterede symptom er ændrede filendelser. Dokumenter, billeder og sikkerhedskopier, der plejede at åbne normalt, har nu et ukendt suffiks og åbner ikke i deres sædvanlige programmer. Andre tegn, der almindeligvis forbindes med ransomware på en NAS, omfatter:

  • Filer, der pludselig ikke kan forhåndsvises eller åbnes fra File Station eller en tilknyttet drev
  • En ny tekst- eller HTML-note, der dukker op i delte mapper
  • Usædvanligt høj disk- eller CPU-aktivitet uden forklaring
  • Delinger, der ser fine ud på NAS'en, men er brudte fra dine computere, eller omvendt

Før du antager det værste, skal du udelukke simple årsager såsom en defekt drev, en ændring af tilladelser eller en synkroniseringsklient, der er gået galt. Hvis flere delte mapper viser de ændrede filendelser på én gang, skal du behandle det som en infektion, indtil det modsatte er bevist.

Første skridt: Isoler enheden og tjek eksponering

Hastighed er vigtigt, men det er det også at undgå at gøre tingene værre. En rolig rækkefølge af handlinger hjælper.

1. Afbryd NAS'en fra netværket. Træk Ethernet-kablet ud, og deaktiver Wi-Fi, hvis det er relevant. Dette stopper yderligere kryptering af tilsluttede delinger og afskærer enhver fjernadgang. Undgå en hård nedlukning, hvis du kan; en ren nedlukning kan bevare nyttige logs, selvom din prioritet er at stoppe spredningen.

2. Tjek dine andre enheder. Hvis en pc eller bærbar havde NAS'en tilknyttet som et drev, kan den maskine være kilden eller være den næste. Afbryd den, og scan den, før du tilslutter noget igen.

3. Dokumentér, hvad du ser. Fotografér skærmen, notér filendelsen, og gem eventuelle løsesumsnoter. Dette hjælper med senere analyse, forsikringskrav eller rapporter til myndighederne.

4. Gennemgå, hvordan enheden var eksponeret. Spørg dig selv, om NAS'en var tilgængelig fra internettet via port forwarding, fjernadgangsfunktioner eller et webadministrationspanel. Overvej, om du kørte forældet DSM-firmware, om administratorkonti brugte svage eller genbrugte adgangskoder, og om standardkonti eller unødvendige tjenester stadig var aktive. Kildematerialet angiver ikke indgangsmetoden, så du bør antage, at enhver af disse kan være relevant og tjekke hver enkelt.

5. Skift legitimationsoplysninger. Fra en ren enhed skal du nulstille adgangskoder til NAS'ens administratorkonto, eventuelle delte konti og alt andet, der var gemt på eller tilgængeligt fra NAS'en.

Gendannelsesmuligheder og hvorfor det er et dårligt sats at betale

Den reneste gendannelse er fra en sikkerhedskopi, som angriberen ikke kunne nå. Tjek, om du har en kopi på et eksternt drev, der var afbrudt, en separat NAS eller en cloud-sikkerhedskopi med versionshistorik. Før du gendanner, skal du slette og genopbygge NAS'en med opdateret firmware, så du ikke gendanner ind i et kompromitteret system. Hvis dine sikkerhedskopier også var på den samme enhed eller tilknyttede deling, kan de også være krypteret, hvilket er grunden til, at designet af din sikkerhedskopiering er vigtigt. Vores artikel om hvorfor uforanderlige sikkerhedskopier stadig rammes af ransomware forklarer, hvor selv velmenende opsætninger kommer til kort.

Hvis du ikke har nogen ren sikkerhedskopi, indsnævres dine muligheder:

  • Se efter snapshots. Hvis Btrfs-snapshots var aktiveret og ikke slettet, kan du muligvis rulle tilbage. Tjek dette, før du gør noget andet ved diskenheden.
  • Tjek for en offentlig dekryptor. Gratis værktøjer dukker nogle gange op til specifikke ransomware-familier. Verificér ethvert værktøj fra en pålidelig kilde, før du kører det, og arbejd på kopier af dataene.
  • Overvej professionel hjælp. Et anset firma inden for hændelseshåndtering eller datagendannelse kan vurdere, om gendannelse er mulig.

Hvad angår betaling, er det et dårligt sats. Der er ingen garanti for, at du modtager en fungerende dekryptor, og betaling markerer dig som et villigt mål. Forskning citeret i vores dækning af, hvordan 64 % af ransomware-ofre nu nægter at betale, tyder på, at afvisning i stigende grad er normen. For et bredere billede af, hvordan kriminelle grupper tilpasser sig, se Group-IB's blik på ransomware'ens udviklende forretningsmodel.

Hærdning af din NAS, så den ikke er tilgængelig næste gang

De fleste NAS-kompromitteringer skyldes eksponering og forsømmelse. Et par ændringer lukker mange af de almindelige døre:

  • Tag den af det offentlige internet. Fjern port forwarding, og deaktiver enhver fjernadgangsfunktion, du ikke virkelig har brug for. Hvis du har brug for fjernadgang, skal du bruge en VPN til dit hjemme- eller kontornetværk i stedet for at eksponere NAS'en direkte.
  • Hold DSM og pakker opdaterede. Aktivér automatiske sikkerhedsopdateringer, hvor det er praktisk, og fjern apps, du ikke længere bruger.
  • Lås konti. Deaktiver standardadministratorkontoen, brug lange unikke adgangskoder, og slå to-faktor-godkendelse til.
  • Brug den indbyggede Security Advisor. Den kan markere svage adgangskoder og risikable indstillinger.
  • Aktivér auto-block, og begræns adgang efter IP, hvor det passer til din opsætning.
  • Slå snapshots til, og hold dem på en fornuftig tidsplan.
  • Følg 3-2-1-tilgangen. Opbevar tre kopier af data på to typer medier, med én offline eller på anden måde uden for rækkevidde.

Hvad dette betyder for dig

Hvis du driver en Synology NAS derhjemme eller i en lille virksomhed, skal du behandle disse rapporter som en anledning til at tjekke din opsætning, ikke som en grund til panik. Detaljerne om L0CK3D-kampagnen er sparsomme i den kilde, vi har, så undgå at handle på rygter om specifikke exploits. Fokusér på det, du kontrollerer: om din NAS er eksponeret, om den er patchet, og om du har en sikkerhedskopi, som angriberen ikke kan røre. Hvis du allerede er berørt, skal du isolere enheden først og derefter arbejde dig gennem gendannelsen uden at sende penge til kriminelle.

Vigtigste pointer

Gendannelse efter Synology NAS L0CK3D-ransomware er langt lettere, når du forbereder dig før et angreb. I dag bør du logge ind på din NAS og se på, hvad der er eksponeret mod internettet, bekræfte at din firmware er aktuel, og teste, at du faktisk kan gendanne en fil fra sikkerhedskopi. Læs derefter om uforanderlige sikkerhedskopier og tendensen med ofre, der nægter at betale for at forme en plan, du ikke behøver at improvisere under pres.