Κυκλοφορούν αναφορές για ransomware L0CK3D που κρυπτογραφεί συσκευές Synology NAS, με τα θύματα να παρατηρούν ότι οι επεκτάσεις αρχείων τους έχουν παραποιηθεί. Το άρθρο πηγής, ένας οδηγός από το ιστολόγιο SheMo Noransom, περιγράφει τη δραστηριότητα ως μεγάλης κλίμακας και προσφέρει συμβουλές αντιμετώπισης έκτακτης ανάγκης. Το απόσπασμα που έχουμε στη διάθεσή μας είναι σύντομο, επομένως αυτή η ανάρτηση δεν ισχυρίζεται συγκεκριμένα στοιχεία για το πώς εισέρχονται οι επιτιθέμενοι, πόσες συσκευές επηρεάζονται ή πώς μοιάζουν τα αιτήματα λύτρων. Αυτό που μπορούμε να κάνουμε είναι να παραθέσουμε μια λογική λίστα ελέγχου ανάκτησης από ransomware L0CK3D σε Synology NAS, βασισμένη στα συμπτώματα που περιγράφηκαν και στις καθιερωμένες πρακτικές αντιμετώπισης περιστατικών.

Πώς να καταλάβετε αν το L0CK3D έχει χτυπήσει το Synology NAS σας

Το κύριο αναφερόμενο σύμπτωμα είναι οι αλλαγμένες επεκτάσεις αρχείων. Έγγραφα, φωτογραφίες και αντίγραφα ασφαλείας που άνοιγαν κανονικά τώρα φέρουν ένα άγνωστο επίθεμα και δεν ανοίγουν στις συνηθισμένες εφαρμογές τους. Άλλα σημάδια που συνήθως συνδέονται με ransomware σε ένα NAS περιλαμβάνουν:

  • Αρχεία που ξαφνικά δεν μπορούν να προβληθούν ή να ανοίξουν από το File Station ή από έναν αντιστοιχισμένο δίσκο
  • Ένα νέο σημείωμα κειμένου ή HTML που εμφανίζεται σε κοινόχρηστους φακέλους
  • Ασυνήθιστα υψηλή δραστηριότητα δίσκου ή CPU χωρίς εξήγηση
  • Κοινόχρηστοι φάκελοι που φαίνονται εντάξει στο NAS αλλά χαλασμένοι από τους υπολογιστές σας, ή το αντίστροφο

Πριν υποθέσετε το χειρότερο, αποκλείστε απλές αιτίες όπως ένας δίσκος που απέτυχε, μια αλλαγή δικαιωμάτων ή ένας πελάτης συγχρονισμού που πήγε στραβά. Αν πολλοί κοινόχρηστοι φάκελοι εμφανίζουν τις αλλαγμένες επεκτάσεις ταυτόχρονα, αντιμετωπίστε το ως μόλυνση μέχρι να αποδειχθεί το αντίθετο.

Πρώτα βήματα: απομονώστε τη συσκευή και ελέγξτε την έκθεση

Η ταχύτητα μετράει, αλλά το ίδιο και το να μην κάνετε τα πράγματα χειρότερα. Μια ήρεμη σειρά ενεργειών βοηθά.

1. Αποσυνδέστε το NAS από το δίκτυο. Αποσυνδέστε το καλώδιο Ethernet και απενεργοποιήστε το Wi-Fi αν ισχύει. Αυτό σταματά την περαιτέρω κρυπτογράφηση των συνδεδεμένων κοινόχρηστων φακέλων και κόβει κάθε απομακρυσμένη πρόσβαση. Αποφύγετε μια βίαιη απενεργοποίηση αν μπορείτε· το καθαρό τερματισμό λειτουργίας μπορεί να διατηρήσει χρήσιμα αρχεία καταγραφής, αν και η προτεραιότητά σας είναι να σταματήσετε την εξάπλωση.

2. Ελέγξτε τις άλλες συσκευές σας. Αν ένα PC ή φορητός υπολογιστής είχε το NAS συνδεδεμένο ως δίσκο, αυτό το μηχάνημα θα μπορούσε να είναι η πηγή, ή θα μπορούσε να είναι το επόμενο. Αποσυνδέστε το και σαρώστε το πριν επανασυνδέσετε οτιδήποτε.

3. Καταγράψτε αυτό που βλέπετε. Φωτογραφήστε την οθόνη, σημειώστε την επέκταση αρχείου και αποθηκεύστε οποιοδήποτε σημείωμα λύτρων. Αυτό βοηθά με τη μεταγενέστερη ανάλυση, τις αξιώσεις ασφάλισης ή τις αναφορές στις αρχές.

4. Εξετάστε πώς ήταν εκτεθειμένη η συσκευή. Ρωτήστε τον εαυτό σας αν το NAS ήταν προσβάσιμο από το διαδίκτυο μέσω προώθησης θυρών, λειτουργιών απομακρυσμένης πρόσβασης ή ενός πίνακα διαχείρισης ιστού. Σκεφτείτε αν εκτελούσατε ξεπερασμένο firmware DSM, αν οι λογαριασμοί διαχειριστή χρησιμοποιούσαν αδύναμους ή επαναχρησιμοποιημένους κωδικούς πρόσβασης και αν προεπιλεγμένοι λογαριασμοί ή περιττές υπηρεσίες ήταν ακόμα ενεργές. Το υλικό πηγής δεν προσδιορίζει τη μέθοδο εισόδου, επομένως θα πρέπει να υποθέσετε ότι οποιοδήποτε από αυτά θα μπορούσε να είναι σχετικό και να ελέγξετε το καθένα.

5. Αλλάξτε διαπιστευτήρια. Από μια καθαρή συσκευή, επαναφέρετε τους κωδικούς πρόσβασης για τον λογαριασμό διαχειριστή του NAS, τυχόν κοινόχρηστους λογαριασμούς και οτιδήποτε άλλο ήταν αποθηκευμένο στο NAS ή προσβάσιμο από αυτό.

Επιλογές ανάκτησης και γιατί το να πληρώσετε είναι κακό στοίχημα

Η καθαρότερη ανάκτηση είναι από ένα αντίγραφο ασφαλείας που ο επιτιθέμενος δεν μπορούσε να προσεγγίσει. Ελέγξτε αν έχετε ένα αντίγραφο σε έναν εξωτερικό δίσκο που ήταν αποσυνδεδεμένος, σε ένα ξεχωριστό NAS ή σε ένα αντίγραφο ασφαλείας cloud με ιστορικό εκδόσεων. Πριν κάνετε επαναφορά, σβήστε και ανοικοδομήστε το NAS με ενημερωμένο firmware ώστε να μην κάνετε επαναφορά σε ένα παραβιασμένο σύστημα. Αν τα αντίγραφα ασφαλείας σας ήταν επίσης στην ίδια συσκευή ή σε συνδεδεμένο κοινόχρηστο φάκελο, μπορεί να είναι επίσης κρυπτογραφημένα, γι' αυτό έχει σημασία ο σχεδιασμός του αντιγράφου ασφαλείας σας. Το άρθρο μας για το γιατί τα αμετάβλητα αντίγραφα ασφαλείας εξακολουθούν να δέχονται επιθέσεις ransomware εξηγεί πού υστερούν ακόμη και οι καλοπροαίρετες ρυθμίσεις.

Αν δεν έχετε καθαρό αντίγραφο ασφαλείας, οι επιλογές σας περιορίζονται:

  • Αναζητήστε στιγμιότυπα. Αν τα στιγμιότυπα Btrfs ήταν ενεργοποιημένα και δεν διαγράφηκαν, μπορεί να μπορείτε να κάνετε επαναφορά. Ελέγξτε το αυτό πριν κάνετε οτιδήποτε άλλο στον τόμο.
  • Ελέγξτε για δημόσιο αποκρυπτογραφητή. Μερικές φορές εμφανίζονται δωρεάν εργαλεία για συγκεκριμένες οικογένειες ransomware. Επαληθεύστε οποιοδήποτε εργαλείο από αξιόπιστη πηγή πριν το εκτελέσετε και εργαστείτε σε αντίγραφα των δεδομένων.
  • Εξετάστε την επαγγελματική βοήθεια. Μια αξιόπιστη εταιρεία αντιμετώπισης περιστατικών ή ανάκτησης δεδομένων μπορεί να αξιολογήσει αν η ανάκτηση είναι εφικτή.

Όσον αφορά την πληρωμή, είναι κακό στοίχημα. Δεν υπάρχει εγγύηση ότι θα λάβετε έναν λειτουργικό αποκρυπτογραφητή και η πληρωμή σας σημαδεύει ως πρόθυμο στόχο. Έρευνα που αναφέρεται στην κάλυψή μας για το πώς το 64% των θυμάτων ransomware αρνούνται πλέον να πληρώσουν υποδηλώνει ότι η άρνηση γίνεται ολοένα και περισσότερο ο κανόνας. Για μια ευρύτερη εικόνα του πώς προσαρμόζονται οι εγκληματικές ομάδες, δείτε την άποψη της Group-IB για το εξελισσόμενο επιχειρηματικό μοντέλο του ransomware.

Ενισχύοντας το NAS σας ώστε να μην είναι προσβάσιμο την επόμενη φορά

Οι περισσότερες παραβιάσεις NAS καταλήγουν σε έκθεση και αμέλεια. Μερικές αλλαγές κλείνουν πολλές από τις συνηθισμένες πόρτες:

  • Βγάλτε το από το δημόσιο διαδίκτυο. Αφαιρέστε τις προωθήσεις θυρών και απενεργοποιήστε οποιαδήποτε λειτουργία απομακρυσμένης πρόσβασης δεν χρειάζεστε πραγματικά. Αν χρειάζεστε απομακρυσμένη πρόσβαση, χρησιμοποιήστε ένα VPN στο οικιακό ή εταιρικό σας δίκτυο αντί να εκθέτετε το NAS απευθείας.
  • Διατηρήστε το DSM και τα πακέτα ενημερωμένα. Ενεργοποιήστε τις αυτόματες ενημερώσεις ασφαλείας όπου είναι πρακτικό και αφαιρέστε εφαρμογές που δεν χρησιμοποιείτε πλέον.
  • Κλειδώστε τους λογαριασμούς. Απενεργοποιήστε τον προεπιλεγμένο λογαριασμό διαχειριστή, χρησιμοποιήστε μεγάλους μοναδικούς κωδικούς πρόσβασης και ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων.
  • Χρησιμοποιήστε τον ενσωματωμένο Σύμβουλο Ασφαλείας. Μπορεί να επισημάνει αδύναμους κωδικούς πρόσβασης και επικίνδυνες ρυθμίσεις.
  • Ενεργοποιήστε την αυτόματη αποκλεισμό και περιορίστε την πρόσβαση ανά IP όπου ταιριάζει στη ρύθμισή σας.
  • Ενεργοποιήστε τα στιγμιότυπα και διατηρήστε τα σε ένα λογικό πρόγραμμα.
  • Ακολουθήστε την προσέγγιση 3-2-1. Κρατήστε τρία αντίγραφα δεδομένων, σε δύο τύπους μέσων, με ένα εκτός σύνδεσης ή με άλλο τρόπο εκτός πρόσβασης.

Τι σημαίνει αυτό για εσάς

Αν διαχειρίζεστε ένα Synology NAS στο σπίτι ή σε μια μικρή επιχείρηση, αντιμετωπίστε αυτές τις αναφορές ως αφορμή για να ελέγξετε τη ρύθμισή σας, όχι ως λόγο για πανικό. Οι λεπτομέρειες της εκστρατείας L0CK3D είναι περιορισμένες στην πηγή που έχουμε, επομένως αποφύγετε να ενεργείτε βάσει φημών για συγκεκριμένες εκμεταλλεύσεις. Εστιάστε σε αυτό που ελέγχετε: αν το NAS σας είναι εκτεθειμένο, αν είναι ενημερωμένο και αν έχετε ένα αντίγραφο ασφαλείας που ο επιτιθέμενος δεν μπορεί να αγγίξει. Αν έχετε ήδη επηρεαστεί, απομονώστε πρώτα τη συσκευή και μετά προχωρήστε στην ανάκτηση χωρίς να στέλνετε χρήματα σε εγκληματίες.

Βασικά συμπεράσματα

Η ανάκτηση από ransomware L0CK3D σε Synology NAS είναι πολύ ευκολότερη όταν προετοιμάζεστε πριν από μια επίθεση. Σήμερα, συνδεθείτε στο NAS σας και δείτε τι είναι εκτεθειμένο στο διαδίκτυο, επιβεβαιώστε ότι το firmware σας είναι ενημερωμένο και δοκιμάστε ότι μπορείτε πραγματικά να επαναφέρετε ένα αρχείο από αντίγραφο ασφαλείας. Στη συνέχεια, διαβάστε για τα αμετάβλητα αντίγραφα ασφαλείας και την τάση των θυμάτων να αρνούνται να πληρώσουν για να διαμορφώσετε ένα σχέδιο που δεν θα χρειαστεί να αυτοσχεδιάσετε υπό πίεση.