Raportit L0CK3D-kiristysohjelmasta, joka salaa Synology NAS -laitteita, kiertävät, ja uhrit ovat huomanneet tiedostotunnisteidensa muuttuneen. Lähdeartikkeli, SheMo Noransom -blogin opas, kuvailee toimintaa laajamittaiseksi ja tarjoaa hätätoimenpideohjeita. Käytettävissämme oleva ote on lyhyt, joten tämä kirjoitus ei väitä yksityiskohtia siitä, miten hyökkääjät pääsevät sisään, kuinka moni laite on saastunut tai miltä lunastusvaatimukset näyttävät. Voimme kuitenkin esittää järkevän Synology NAS L0CK3D -kiristysohjelman palautuslistan, joka rakentuu kuvattujen oireiden ja tavanomaisen incident response -käytännön ympärille.

Miten tunnistaa, onko L0CK3D iskenyt Synology NAS -laitteeseesi

Tärkein raportoitu oire on muuttuneet tiedostotunnisteet. Asiakirjat, valokuvat ja varmuuskopiot, jotka ennen avautuivat normaalisti, kantavat nyt tuntematonta päätettä eivätkä avaudu tavallisissa sovelluksissaan. Muita NAS-laitteiden kiristysohjelmiin yleisesti liitettyjä merkkejä ovat:

  • Tiedostot, joita ei yhtäkkiä voi esikatsella tai avata File Stationista tai verkkolevyltä
  • Uusi teksti- tai HTML-muistutus, joka ilmestyy jaettuihin kansioihin
  • Epätavallisen korkea levyn tai suorittimen aktiviteetti ilman selitystä
  • Jako-kohteet, jotka näyttävät NAS-laitteella kunnossa olevilta mutta ovat rikki tietokoneiltasi, tai päinvastoin

Ennen kuin oletat pahinta, sulje pois yksinkertaiset syyt, kuten rikkoutunut levy, käyttöoikeuksien muutos tai väärin toimiva synkronointiasiakasohjelma. Jos useat jaetut kansiot näyttävät muuttuneet tiedostotunnisteet yhtä aikaa, käsittele sitä tartuntana, kunnes toisin todistetaan.

Ensiaskeleet: eristä laite ja tarkista altistuminen

Nopeus on tärkeää, mutta yhtä tärkeää on olla pahentamatta tilannetta. Rauhallinen toimintajärjestys auttaa.

1. Irrota NAS verkosta. Vedä Ethernet-kaapeli irti ja poista Wi-Fi käytöstä, jos sovellettavissa. Tämä pysäyttää yhdistettyjen jakojen salauksen ja katkaisee etäyhteydet. Vältä kovaa virrankatkaisua, jos suinkin mahdollista; hallittu sammutus voi säilyttää hyödyllisiä lokeja, vaikka ensisijainen tavoitteesi onkin leviämisen pysäyttäminen.

2. Tarkista muut laitteesi. Jos PC tai kannettava oli liittänyt NAS-laitteen levyasemaksi, se laite voi olla lähde tai seuraava kohde. Irrota se ja skannaa se ennen minkään uudelleen yhdistämistä.

3. Dokumentoi se, mitä näet. Valokuvaa näyttö, kirjaa tiedostotunniste ja tallenna mahdollinen lunastusmuistutus. Tämä auttaa myöhemmässä analyysissä, vakuutusvaatimuksissa tai viranomaisille raportoinnissa.

4. Käy läpi, miten laite oli altistettu. Kysy itseltäsi, oliko NAS tavoitettavissa internetistä portinohjauksen, etäyhteysominaisuuksien tai verkkohallintapaneelin kautta. Harkitse, käytitkö vanhentunutta DSM-kesiohjelmistoa, käyttivätkö ylläpitotilit heikkoja tai uudelleenkäytettyjä salasanoja ja olivatko oletustilit tai tarpeettomat palvelut edelleen aktiivisia. Lähdemateriaali ei täsmennä sisäänpääsymenetelmää, joten sinun tulisi olettaa, että mikä tahansa näistä voi olla merkityksellinen, ja tarkistaa jokainen niistä.

5. Vaihda tunnistetiedot. Puhtaalta laitteelta nollaa NAS-järjestelmänvalvojan tilin, mahdollisten jaettujen tilien ja kaikkien muiden salasanat, jotka oli tallennettu NAS-laitteeseen tai jotka olivat siitä käytettävissä.

Palautusvaihtoehdot ja miksi maksaminen on huono veto

Puhtain palautus tapahtuu varmuuskopiosta, johon hyökkääjä ei päässyt käsiksi. Tarkista, onko sinulla kopio ulkoisella asemalla, joka oli irrotettuna, erillisellä NAS-laitteella tai pilvivarmuuskopiossa, jossa on versiohistoria. Ennen palauttamista pyyhi ja rakenna NAS uudelleen päivitetyllä kesiohjelmistolla, jotta et palauta tietoja vaarantuneeseen järjestelmään. Jos varmuuskopiosi olivat myös samalla laitteella tai liitetyllä jaolla, ne voivat olla myös salattuja, minkä vuoksi varmuuskopiointisi suunnittelu on tärkeää. Artikkelimme miksi muuttumattomat varmuuskopiot joutuvat silti kiristysohjelmien kohteeksi selittää, missä jopa hyväntahtoiset asetukset jäävät vajaiksi.

Jos sinulla ei ole puhdasta varmuuskopiota, vaihtoehtosi kaventuvat:

  • Etsi tilannevedoksia. Jos Btrfs-tilannevedokset olivat käytössä eikä niitä ollut poistettu, saatat pystyä palauttamaan aiempaan tilaan. Tarkista tämä ennen kuin teet mitään muuta tietomäärälle.
  • Tarkista, onko olemassa julkinen salauksenpurkutyökalu. Ilmaisia työkaluja ilmestyy joskus tietyille kiristysohjelmaperheille. Varmista työkalun luotettavuus hyvämaineisesta lähteestä ennen sen suorittamista ja työskentele tietojen kopioilla.
  • Harkitse ammattiapua. Hyvämaineinen incident response- tai tietojenpalautusyritys voi arvioida, onko palautus toteutettavissa.

Mitä tulee maksamiseen, se on huono veto. Ei ole takeita siitä, että saat toimivan salauksenpurkutyökalun, ja maksaminen merkitsee sinut halukkaaksi kohteeksi. Tutkimus, johon viittaamme käsittelyssämme siitä, miten 64 % kiristysohjelmien uhreista kieltäytyy nyt maksamasta, viittaa siihen, että kieltäytyminen on yhä yleisempää. Laajemman kuvan siitä, miten rikollisryhmät sopeutuvat, saat lukemalla Group-IB:n katsauksen kiristysohjelmien kehittyvään liiketoimintamalliin.

NAS-laitteesi suojaaminen, jotta se ei ole tavoitettavissa seuraavalla kerralla

Useimmat NAS-laitteiden kompromissit johtuvat altistumisesta ja laiminlyönnistä. Muutamat muutokset sulkevat monia yleisiä ovia:

  • Poista se julkisesta internetistä. Poista portinohjaukset ja poista käytöstä kaikki etäyhteysominaisuudet, joita et todella tarvitse. Jos tarvitset etäyhteyden, käytä VPN:ää koti- tai toimistoverkkoosi sen sijaan, että altistaisit NAS-laitteen suoraan.
  • Pidä DSM ja paketit ajan tasalla. Ota automaattiset tietoturvapäivitykset käyttöön, missä käytännöllistä, ja poista sovellukset, joita et enää käytä.
  • Lukitse tilit. Poista oletusjärjestelmänvalvojan tili käytöstä, käytä pitkiä yksilöllisiä salasanoja ja ota kaksivaiheinen todennus käyttöön.
  • Käytä sisäänrakennettua Security Advisor -työkalua. Se voi merkitä heikot salasanat ja riskialttiit asetukset.
  • Ota automaattinen esto käyttöön ja rajoita pääsyä IP-osoitteen perusteella, missä se sopii asetuksisi.
  • Ota tilannevedokset käyttöön ja pidä ne järkevässä aikataulussa.
  • Noudata 3-2-1-lähestymistapaa. Pidä kolme kopiota tiedoista kahdella eri tietovälineellä, joista yksi on offline-tilassa tai muuten ulottumattomissa.

Mitä tämä tarkoittaa sinulle

Jos ylläpidät Synology NAS -laitetta kotona tai pienyrityksessä, käsittele näitä raportteja kehotuksena tarkistaa asetuksesi, ei syynä paniikkiin. L0CK3D-kampanjan yksityiskohdat ovat niukat käytettävissämme olevassa lähteessä, joten vältä toimimasta huhujen perusteella tietyistä haavoittuvuuksista. Keskity siihen, mitä hallitset: onko NAS-laitteesi altistettu, onko se päivitetty ja onko sinulla varmuuskopio, johon hyökkääjä ei pääse käsiksi. Jos olet jo saastunut, eristä laite ensin ja käy sitten läpi palautus lähettämättä rahaa rikollisille.

Keskeiset huomiot

Synology NAS L0CK3D -kiristysohjelman palautus on paljon helpompaa, kun valmistaudut ennen hyökkäystä. Kirjaudu tänään NAS-laitteeseesi ja katso, mikä on altistettu internetille, varmista, että kesiohjelmistosi on ajan tasalla, ja testaa, että pystyt todella palauttamaan tiedoston varmuuskopiosta. Lue sitten lisää muuttumattomista varmuuskopioista ja uhrien kieltäytymisen trendistä maksaa muokataksesi suunnitelman, jota sinun ei tarvitse improvisoida paineen alla.