Was ist das Hauptsymptom von L0CK3D-Ransomware auf einem Synology NAS?

Das wichtigste gemeldete Symptom sind veränderte Dateiendungen, bei denen Dokumente, Fotos und Backups ein unbekanntes Suffix tragen und sich in ihren üblichen Anwendungen nicht mehr öffnen lassen.

Was sollte ich zuerst tun, wenn ich vermute, dass mein Synology NAS infiziert ist?

Trennen Sie das NAS vom Netzwerk, indem Sie das Ethernet-Kabel abziehen und gegebenenfalls WLAN deaktivieren, was die weitere Verschlüsselung stoppt und den Fernzugriff unterbricht.

Sollte ich mein NAS sofort ausschalten, wenn es infiziert ist?

Vermeiden Sie nach Möglichkeit ein hartes Ausschalten, da ein sauberes Herunterfahren nützliche Protokolle bewahren kann, wobei das Stoppen der Ausbreitung die Priorität ist.

Wie kann ich Nicht-Ransomware-Ursachen ausschließen, bevor ich eine Infektion annehme?

Schließen Sie einfache Ursachen aus, wie eine ausgefallene Festplatte, eine geänderte Berechtigung oder einen fehlerhaften Sync-Client, aber wenn mehrere freigegebene Ordner gleichzeitig veränderte Endungen aufweisen, behandeln Sie es als Infektion, bis das Gegenteil bewiesen ist.

Welche Expositionsfaktoren sollte ich nach einer vermuteten Infektion prüfen?

Prüfen Sie, ob das NAS über Portweiterleitung, Fernzugriffsfunktionen oder ein Web-Admin-Panel aus dem Internet erreichbar war, und berücksichtigen Sie veraltete DSM-Firmware, schwache oder wiederverwendete Passwörter sowie aktive Standardkonten oder nicht benötigte Dienste.

Synology NAS von L0CK3D-Ransomware getroffen: Schritte zur Wiederherstellung

Es kursieren Berichte über L0CK3D-Ransomware, die Synology-NAS-Geräte verschlüsselt, wobei Opfer bemerken, dass ihre Dateiendungen manipuliert wurden. Der Quellartikel, ein Leitfaden aus dem SheMo Noransom-Blog, beschreibt die Aktivität als großflächig und bietet Notfallmaßnahmen an. Der uns vorliegende Auszug ist kurz, daher erhebt dieser Beitrag keine konkreten Angaben dazu, wie die Angreifer eindringen, wie viele Geräte betroffen sind oder wie die Lösegeldforderungen aussehen. Was wir tun können, ist eine sinnvolle Checkliste zur Wiederherstellung nach L0CK3D-Ransomware auf Synology NAS zusammenzustellen, die auf den beschriebenen Symptomen und gängiger Praxis bei der Incident-Response basiert.

Woran Sie erkennen, ob L0CK3D Ihren Synology NAS getroffen hat

Das wichtigste gemeldete Symptom sind veränderte Dateiendungen. Dokumente, Fotos und Backups, die sich früher normal öffnen ließen, tragen nun ein unbekanntes Suffix und lassen sich in ihren üblichen Anwendungen nicht mehr öffnen. Weitere Anzeichen, die häufig mit Ransomware auf einem NAS in Verbindung gebracht werden, sind:

Dateien, die plötzlich nicht mehr in File Station oder über ein zugeordnetes Laufwerk in der Vorschau angezeigt oder geöffnet werden können
Eine neue Text- oder HTML-Notiz, die in freigegebenen Ordnern erscheint
Ungewöhnlich hohe Festplatten- oder CPU-Aktivität ohne erkennbaren Grund
Freigaben, die auf dem NAS in Ordnung aussehen, von Ihren Computern aus aber defekt sind, oder umgekehrt

Bevor Sie das Schlimmste annehmen, schließen Sie einfache Ursachen aus, wie eine ausgefallene Festplatte, eine geänderte Berechtigung oder einen fehlerhaften Sync-Client. Wenn mehrere freigegebene Ordner gleichzeitig die veränderten Endungen aufweisen, behandeln Sie es als Infektion, bis das Gegenteil bewiesen ist.

Erste Schritte: Gerät isolieren und Exposition prüfen

Schnelligkeit zählt, aber auch, nichts schlimmer zu machen. Eine ruhige Reihenfolge der Vorgehensweise hilft.

1. Trennen Sie das NAS vom Netzwerk. Ziehen Sie das Ethernet-Kabel ab und deaktivieren Sie gegebenenfalls WLAN. Dies stoppt die weitere Verschlüsselung verbundener Freigaben und unterbricht jeden Fernzugriff. Vermeiden Sie nach Möglichkeit ein hartes Ausschalten; ein sauberes Herunterfahren kann nützliche Protokolle bewahren, wobei Ihre Priorität darin liegt, die Ausbreitung zu stoppen.

2. Prüfen Sie Ihre anderen Geräte. Wenn ein PC oder Laptop das NAS als Laufwerk eingebunden hatte, könnte dieser Rechner die Quelle sein oder als Nächstes betroffen sein. Trennen Sie ihn und scannen Sie ihn, bevor Sie irgendetwas wieder verbinden.

3. Dokumentieren Sie, was Sie sehen. Fotografieren Sie den Bildschirm, notieren Sie die Dateiendung und speichern Sie jede Lösegeldnotiz. Dies hilft bei späterer Analyse, Versicherungsansprüchen oder Meldungen an die Behörden.

4. Überprüfen Sie, wie das Gerät exponiert war. Fragen Sie sich, ob das NAS über Portweiterleitung, Fernzugriffsfunktionen oder ein Web-Admin-Panel aus dem Internet erreichbar war. Überlegen Sie, ob Sie veraltete DSM-Firmware verwendet haben, ob Admin-Konten schwache oder wiederverwendete Passwörter nutzten und ob Standardkonten oder nicht benötigte Dienste noch aktiv waren. Das Quellmaterial gibt die Eintrittsmethode nicht an, daher sollten Sie davon ausgehen, dass jeder dieser Punkte relevant sein könnte, und jeden einzelnen prüfen.

5. Ändern Sie die Zugangsdaten. Setzen Sie von einem sauberen Gerät aus die Passwörter für das NAS-Admin-Konto, alle gemeinsam genutzten Konten und alles andere zurück, das auf dem NAS gespeichert oder von ihm aus zugänglich war.

Wiederherstellungsoptionen und warum Bezahlen ein schlechter Einsatz ist

Die sauberste Wiederherstellung erfolgt aus einem Backup, das der Angreifer nicht erreichen konnte. Prüfen Sie, ob Sie eine Kopie auf einer externen Festplatte haben, die getrennt war, auf einem separaten NAS oder in einem Cloud-Backup mit Versionsverlauf. Bevor Sie wiederherstellen, wischen Sie das NAS und bauen Sie es mit aktualisierter Firmware neu auf, damit Sie nicht in ein kompromittiertes System wiederherstellen. Wenn Ihre Backups ebenfalls auf demselben Gerät oder einer eingebundenen Freigabe lagen, sind sie möglicherweise ebenfalls verschlüsselt – deshalb ist das Design Ihres Backups entscheidend. Unser Beitrag dazu, warum unveränderliche Backups trotzdem von Ransomware getroffen werden, erklärt, wo selbst gut gemeinte Setups zu kurz greifen.

Wenn Sie kein sauberes Backup haben, verengen sich Ihre Optionen:

Suchen Sie nach Snapshots. Wenn Btrfs-Snapshots aktiviert und nicht gelöscht wurden, können Sie möglicherweise zurückrollen. Prüfen Sie dies, bevor Sie irgendetwas anderes mit dem Volume tun.
Prüfen Sie auf einen öffentlichen Entschlüsseler. Manchmal erscheinen kostenlose Tools für bestimmte Ransomware-Familien. Verifizieren Sie jedes Tool aus einer seriösen Quelle, bevor Sie es ausführen, und arbeiten Sie mit Kopien der Daten.
Ziehen Sie professionelle Hilfe in Betracht. Eine seriöse Incident-Response- oder Datenrettungsfirma kann einschätzen, ob eine Wiederherstellung machbar ist.

Was das Bezahlen betrifft: Es ist ein schlechter Einsatz. Es gibt keine Garantie, dass Sie einen funktionierenden Entschlüsseler erhalten, und die Zahlung markiert Sie als williges Ziel. Forschung, auf die wir in unserer Berichterstattung darüber eingehen, wie 64 % der Ransomware-Opfer inzwischen die Zahlung verweigern, deutet darauf hin, dass die Verweigerung zunehmend die Norm ist. Für einen breiteren Blick darauf, wie kriminelle Gruppen sich anpassen, siehe Group-IBs Analyse des sich entwickelnden Geschäftsmodells von Ransomware.

Ihren NAS härten, damit er beim nächsten Mal nicht erreichbar ist

Die meisten NAS-Kompromittierungen lassen sich auf Exposition und Vernachlässigung zurückführen. Ein paar Änderungen schließen viele der üblichen Türen:

Nehmen Sie es vom öffentlichen Internet. Entfernen Sie Portweiterleitungen und deaktivieren Sie jede Fernzugriffsfunktion, die Sie nicht wirklich benötigen. Wenn Sie Fernzugriff brauchen, nutzen Sie ein VPN in Ihr Heim- oder Büronetzwerk, statt das NAS direkt zu exponieren.
Halten Sie DSM und Pakete aktuell. Aktivieren Sie wo praktikabel automatische Sicherheitsupdates und entfernen Sie Apps, die Sie nicht mehr nutzen.
Sichern Sie Konten ab. Deaktivieren Sie das Standard-Admin-Konto, verwenden Sie lange eindeutige Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung.
Nutzen Sie den integrierten Security Advisor. Er kann schwache Passwörter und riskante Einstellungen melden.
Aktivieren Sie Auto-Block und beschränken Sie den Zugriff per IP, wo es zu Ihrem Setup passt.
Aktivieren Sie Snapshots und halten Sie sie auf einem sinnvollen Zeitplan.
Folgen Sie dem 3-2-1-Ansatz. Halten Sie drei Kopien der Daten auf zwei Arten von Medien, wobei eine offline oder anderweitig unerreichbar ist.

Was das für Sie bedeutet

Wenn Sie einen Synology NAS zu Hause oder in einem kleinen Unternehmen betreiben, nehmen Sie diese Berichte als Anlass, Ihr Setup zu prüfen, nicht als Grund zur Panik. Die Details der L0CK3D-Kampagne sind in unserer Quelle dünn, daher vermeiden Sie es, aufgrund von Gerüchten über bestimmte Exploits zu handeln. Konzentrieren Sie sich auf das, was Sie kontrollieren: ob Ihr NAS exponiert ist, ob es gepatcht ist und ob Sie ein Backup haben, das der Angreifer nicht anfassen kann. Wenn Sie bereits betroffen sind, isolieren Sie zuerst das Gerät und arbeiten Sie dann die Wiederherstellung durch, ohne Geld an Kriminelle zu senden.

Wichtigste Erkenntnisse

Die Wiederherstellung nach L0CK3D-Ransomware auf einem Synology NAS ist weit einfacher, wenn Sie sich vor einem Angriff vorbereiten. Melden Sie sich heute an Ihrem NAS an und prüfen Sie, was aus dem Internet exponiert ist, bestätigen Sie, dass Ihre Firmware aktuell ist, und testen Sie, ob Sie tatsächlich eine Datei aus dem Backup wiederherstellen können. Lesen Sie dann über unveränderliche Backups und den Trend, dass Opfer die Zahlung verweigern, um einen Plan zu gestalten, den Sie nicht unter Druck improvisieren müssen.