Eine Ransomware-Kampagne namens C3RB3R zielt auf Synology-Netzwerkspeichergeräte (NAS) ab, und das Muster ist bekannt: Geräte mit veralteter Betriebssystemsoftware sind diejenigen, deren Dateien verschlüsselt werden. Wenn Sie Familienfotos, Geschäftsdokumente oder Backups auf einer Synology-Box aufbewahren, läuft C3RB3R Synology NAS Ransomware-Schutz auf eine kurze Liste von Gewohnheiten hinaus, mit denen Sie noch heute beginnen können.

Dieser Beitrag erläutert, wie der Angriff funktioniert, wie Sie einen echten Vorfall von einem Bluff unterscheiden und was Sie dagegen tun können.

Wie der C3RB3R-Angriff auf Synology NAS funktioniert

Laut dem Bericht von Kaspersky greift C3RB3R-Ransomware Synology NAS-Geräte an, die veraltete Betriebssysteme ausführen, und verschlüsselt die darauf gespeicherten Dateien. Einige Community- und Sicherheitsberichte bezeichnen dieselbe Aktivität als LOCK3D oder L0CK3D, daher können Ihnen bei der Recherche mehrere Schreibweisen begegnen.

Ein NAS ist aus einem einfachen Grund ein attraktives Ziel: Dort konzentrieren Menschen ihre Daten. Dokumente, Fotos, gemeinsame Projektordner und oft auch Backups befinden sich alle an einem Ort, und das Gerät ist häufig für den Fernzugriff aus dem Internet erreichbar. Wenn die Software auf diesem Gerät bei Updates ins Hintertreffen gerät, haben Angreifer mehr Spielraum.

Der Druck endet nicht bei der Verschlüsselung. Wenn das Opfer sich weigert zu zahlen, drohen die Kriminellen damit, die gestohlenen Daten öffentlich zu machen. Sie können Opfer per E-Mail oder über soziale Medien mit diesen Forderungen kontaktieren.

Echte Verschlüsselung oder Erpressungsbetrug: So erkennen Sie den Unterschied

Nicht jede Drohbotschaft bedeutet, dass Sie gehackt wurden. Kaspersky weist darauf hin, dass solche Drohungen oft nichts weiter als ein Betrug sind – ein Muster, das das Unternehmen separat in seinem Beitrag darüber behandelt hat, wie Betrüger E-Mails für Erpressung und Nötigung nutzen. Massenhaft versendete Forderungen, die behaupten, Ihre Daten zu besitzen, sind weit verbreitet, und viele sind Bluffs, die an Tausende von Menschen ohne tatsächlichen Zugriff verschickt werden.

Das NAS selbst ist der beste Beweis. Ein paar praktische Überprüfungen:

  • Sehen Sie sich Ihre Dateien an. Wenn Dokumente unzugänglich sind, umbenannt wurden oder von einer Lösegeldforderung auf dem Gerät begleitet werden, haben Sie wahrscheinlich einen echten Verschlüsselungsvorfall. Wenn alles normal geöffnet wird, ist eine E-Mail allein wahrscheinlich eine leere Drohung.
  • Überprüfen Sie das Gerät, nicht die Nachricht. Melden Sie sich direkt an der DSM-Oberfläche an (nicht über einen Link in einer E-Mail) und prüfen Sie, was auf dem System vor sich geht.
  • Seien Sie ehrlich über das Risiko. Kaspersky ist eindeutig: Wenn Ihr NAS tatsächlich verschlüsselt wurde, können Sie Datendiebstahl nicht ausschließen. Behandeln Sie einen echten Verschlüsselungsvorfall auch als potenzielle Datenoffenlegung, nicht nur als Verfügbarkeitsproblem.

Die Unterscheidung ist wichtig, weil die richtige Reaktion unterschiedlich ausfällt. Ein Bluff erfordert das Ignorieren und Melden der Nachricht. Eine echte Infektion erfordert Eindämmung und Wiederherstellung.

Was zu tun ist, wenn Ihr NAS verschlüsselt ist

Wenn die Dateien auf Ihrem Gerät wirklich gesperrt sind, handeln Sie ruhig und der Reihe nach.

  1. Trennen Sie das NAS vom Netzwerk. Dies hilft, weiteren Schaden zu stoppen, und kappt jeden Fernzugriff, den die Angreifer möglicherweise noch haben.
  2. Verlassen Sie sich nicht auf die Versprechen der Kriminellen. Zahlen garantiert nicht, dass Ihre Dateien zurückkommen, und es macht einen bereits erfolgten Diebstahl nicht rückgängig.
  3. Gehen Sie davon aus, dass die Daten möglicherweise kopiert wurden. Denken Sie darüber nach, was dort gespeichert war: persönliche Dokumente, Kundeninformationen, Zugangsdaten. Ändern Sie Passwörter für Konten, deren Daten möglicherweise auf dem Gerät gespeichert waren, und überlegen Sie, wer benachrichtigt werden muss, falls die Daten Kunden oder Kollegen gehören.
  4. Stellen Sie aus einem sauberen Backup wieder her. Hier zeigen Offline- oder separate Backups ihren Wert. Bevor Sie irgendetwas wieder anschließen, aktualisieren Sie die NAS-Software, damit Sie nicht auf derselben Schwachstelle wiederherstellen.
  5. Suchen Sie professionelle Hilfe, wenn die Daten geschäftskritisch sind. Ein Incident-Responder kann dabei helfen, festzustellen, worauf zugegriffen wurde.

NAS-Härtungscheckliste: Updates, exponierte Dienste, Backups, Zugriffskontrollen

Die eigene Anleitung von Synology, wie sie in den Quellen zu dieser Kampagne wiedergegeben wird, verweist auf eine konsistente Reihe von Maßnahmen. Keine erfordert besondere Fachkenntnisse.

Aktualisieren Sie alles. Aktualisieren Sie DSM, das Betriebssystem des NAS, und Ihre installierten Pakete. Synology hat Nutzer mit verwundbaren Versionen eindringlich aufgefordert, sofort zu aktualisieren. Aktivieren Sie automatische Updates, wo Sie können, und überprüfen Sie das Gerät auch dann gelegentlich.

Schließen Sie, was Sie nicht brauchen. Öffnen Sie nur Dienste, die Sie tatsächlich nutzen. Jeder exponierte Port oder jede Fernzugriffsfunktion ist eine Tür, die jemand versuchen kann. Wenn Sie nicht von außerhalb Ihres Zuhauses oder Büros auf das NAS zugreifen müssen, deaktivieren Sie den direkten Internetzugang dazu.

Sichern Sie Anmeldungen ab. Stellen Sie sicher, dass Auto Block, Kontoschutz und Multifaktor-Authentifizierung aktiviert sind. Verwenden Sie einzigartige, lange Passwörter für Administratorkonten und vermeiden Sie es, Standard- oder gemeinsam genutzte Zugangsdaten zu belassen.

Führen Sie die integrierten Prüfungen aus. Synology Security Advisor kann das Gerät routinemäßig auf Schwachstellen und schwache Einstellungen scannen. Es dauert Minuten und erfasst die Art von Drift, die sich mit der Zeit aufbaut.

Bewahren Sie Backups auf, die Ransomware nicht erreichen kann. Ein Backup, das auf demselben NAS oder auf einer Freigabe liegt, auf die das NAS immer schreiben kann, kann zusammen mit allem anderen verschlüsselt werden. Bewahren Sie mindestens eine Kopie offline oder anderweitig getrennt auf und testen Sie, ob Sie daraus wiederherstellen können.

Was das für Sie bedeutet

Wenn Sie ein Synology NAS besitzen, ist die entscheidende Frage, ob es aktuell ist und wie exponiert es ist. Veraltete Software plus internetseitiger Zugriff ist die Kombination, um die diese Kampagne herum aufgebaut ist. Wenn Sie kein NAS verwenden, aber eine E-Mail erhalten, die behauptet, jemand habe Ihre Dateien, denken Sie daran, dass solche Nachrichten häufig Betrug sind und der erste Schritt darin besteht, zu überprüfen, ob tatsächlich etwas passiert ist.

Für kleine Büros enthält ein NAS oft Daten über andere Personen, was die Einsätze erhöht, falls Diebstahl möglich ist. Aktualisieren und Einschränken des Zugriffs ist billiger als jede Wiederherstellung.

Handlungsempfehlungen

  • Aktualisieren Sie heute DSM und alle installierten Pakete, und aktivieren Sie automatische Updates.
  • Schließen Sie Fernzugriffsports und -dienste, die Sie nicht nutzen.
  • Aktivieren Sie Auto Block, Kontoschutz und Multifaktor-Authentifizierung.
  • Führen Sie Synology Security Advisor aus und beheben Sie, was gemeldet wird.
  • Bewahren Sie ein Offline-Backup auf und testen Sie eine Wiederherstellung.
  • Wenn eine Erpressungsnachricht eintrifft, prüfen Sie zuerst Ihre Dateien, bevor Sie reagieren.

Eine Überprüfung Ihres Setups jetzt ist der effektivste C3RB3R Synology NAS Ransomware-Schutz, den Sie einrichten können, und sie dauert weit weniger Zeit als die Wiederherstellung nach einem Angriff.