Kruže izvješća o L0CK3D ransomwareu koji enkriptira Synology NAS uređaje, a žrtve primjećuju da su im ekstenzije datoteka izmijenjene. Izvorni članak, vodič s bloga SheMo Noransom, opisuje aktivnost kao masovnu i nudi savjete za hitnu reakciju. Ulomak koji nam je dostupan je kratak, pa ovaj post ne tvrdi pojedinosti o tome kako napadači ulaze, koliko je uređaja pogođeno ili kako izgledaju zahtjevi za otkupninu. Ono što možemo učiniti jest sastaviti razuman kontrolni popis za oporavak od Synology NAS L0CK3D ransomwarea temeljen na opisanim simptomima i standardnoj praksi odgovora na incidente.

Kako prepoznati je li L0CK3D pogodio vaš Synology NAS

Glavni prijavljeni simptom su izmijenjene ekstenzije datoteka. Dokumenti, fotografije i sigurnosne kopije koje su se prije normalno otvarale sada nose nepoznati sufiks i ne otvaraju se u uobičajenim aplikacijama. Ostali znakovi koji se obično povezuju s ransomwareom na NAS-u uključuju:

  • Datoteke koje se odjednom ne mogu pregledati ni otvoriti iz File Stationa ili mapiranog pogona
  • Nova tekstualna ili HTML poruka koja se pojavljuje u zajedničkim mapama
  • Neuobičajeno visoka aktivnost diska ili procesora bez objašnjenja
  • Zajedničke mape koje na NAS-u izgledaju ispravno, ali su neispravne s vaših računala, ili obrnuto

Prije nego pretpostavite najgore, isključite jednostavne uzroke poput neispravnog pogona, promjene dozvola ili pogrešno konfiguriranog klijenta za sinkronizaciju. Ako više zajedničkih mapa istovremeno pokazuje izmijenjene ekstenzije, tretirajte to kao infekciju dok se ne dokaže suprotno.

Prvi koraci: izolirajte uređaj i provjerite izloženost

Brzina je važna, ali jednako je važno ne pogoršati stvari. Smiren redoslijed radnji pomaže.

1. Odspojite NAS s mreže. Iskopčajte Ethernet kabel i onemogućite Wi-Fi ako je primjenjivo. To zaustavlja daljnje enkriptiranje povezanih mapa i prekida svaki daljinski pristup. Izbjegnite prisilno isključivanje ako je ikako moguće; čisto isključivanje može sačuvati korisne zapise, iako je vaš prioritet zaustavljanje širenja.

2. Provjerite svoje ostale uređaje. Ako je računalo ili prijenosno računalo imalo NAS montiran kao pogon, taj stroj može biti izvor ili može biti sljedeći. Odspojite ga i skenirajte prije ponovnog povezivanja bilo čega.

3. Dokumentirajte što vidite. Fotografirajte zaslon, zabilježite ekstenziju datoteke i spremite svaku poruku s otkupninom. To pomaže pri kasnijoj analizi, osiguravajućim zahtjevima ili prijavama tijelima.

4. Pregledajte kako je uređaj bio izložen. Zapitajte se je li NAS bio dostupan s interneta putem prosljeđivanja portova, značajki daljinskog pristupa ili web administratorske ploče. Razmotrite jeste li koristili zastarjeli DSM firmware, jesu li administratorski računi koristili slabe ili ponovno korištene lozinke te jesu li zadani računi ili nepotrebne usluge još bili aktivni. Izvorni materijal ne navodi metodu ulaska, pa biste trebali pretpostaviti da bi bilo što od navedenog moglo biti relevantno i provjeriti svaku stavku.

5. Promijenite vjerodajnice. S čistog uređaja resetirajte lozinke za administratorski račun NAS-a, sve dijeljene račune i sve ostalo što je bilo pohranjeno na NAS-u ili dostupno s njega.

Mogućnosti oporavka i zašto je plaćanje loša oklada

Najočitiji oporavak je iz sigurnosne kopije do koje napadač nije mogao doći. Provjerite imate li kopiju na vanjskom pogonu koji je bio odspojen, zasebnom NAS-u ili u oblaku sa poviješću verzija. Prije vraćanja obrišite i ponovno izgradite NAS s ažuriranim firmwareom kako ne biste vraćali u kompromitirani sustav. Ako su i vaše sigurnosne kopije bile na istom uređaju ili montiranoj mapi, možda su i one enkriptirane, zbog čega je dizajn vaše sigurnosne kopije važan. Naš članak o zašto immutable sigurnosne kopije i dalje bivaju pogođene ransomwareom objašnjava gdje i dobro namjeravane postavke podbacuju.

Ako nemate čistu sigurnosnu kopiju, vaše se opcije sužavaju:

  • Potražite snimke. Ako su Btrfs snimke bile omogućene i nisu obrisane, možda možete izvršiti vraćanje. Provjerite to prije bilo čega drugog na volumenu.
  • Provjerite postoji li javni dekriptor. Besplatni alati ponekad se pojave za određene obitelji ransomwarea. Provjerite svaki alat iz uglednog izvora prije pokretanja i radite na kopijama podataka.
  • Razmotrite profesionalnu pomoć. Ugledna tvrtka za odgovor na incidente ili oporavak podataka može procijeniti je li oporavak izvediv.

Što se tiče plaćanja, to je loša oklada. Nema jamstva da ćete dobiti radni dekriptor, a plaćanje vas označava kao voljnu metu. Istraživanje citirano u našem izvještaju o tome kako 64% žrtava ransomwarea sada odbija platiti sugerira da je odbijanje sve češće pravilo. Za širi pogled na to kako se kriminalne skupine prilagođavaju, pogledajte Group-IB-ov pregled evoluirajućeg poslovnog modela ransomwarea.

Jačanje vašeg NAS-a kako sljedeći put ne bi bio dostupan

Većina kompromitacija NAS-a svodi se na izloženost i nemar. Nekoliko promjena zatvara mnoga uobičajena vrata:

  • Uklonite ga s javnog interneta. Uklonite prosljeđivanja portova i onemogućite sve značajke daljinskog pristupa koje vam zaista nisu potrebne. Ako trebate daljinski pristup, koristite VPN u svoju kućnu ili uredsku mrežu umjesto izlaganja NAS-a izravno.
  • Održavajte DSM i pakete ažuriranima. Omogućite automatska sigurnosna ažuriranja gdje je to praktično i uklonite aplikacije koje više ne koristite.
  • Zaključajte račune. Onemogućite zadani administratorski račun, koristite duge jedinstvene lozinke i uključite dvofaktorsku autentifikaciju.
  • Koristite ugrađeni Security Advisor. Može označiti slabe lozinke i rizične postavke.
  • Omogućite automatsko blokiranje i ograničite pristup po IP-u gdje to odgovara vašoj postavci.
  • Uključite snimke i držite ih po razumnom rasporedu.
  • Slijedite pristup 3-2-1. Držite tri kopije podataka, na dvije vrste medija, s jednom izvan mreže ili na drugi način izvan dosega.

Što to znači za vas

Ako vodite Synology NAS kod kuće ili u malom poduzeću, tretirajte ova izvješća kao poticaj da provjerite svoju postavku, a ne kao razlog za paniku. Pojedinosti o kampanji L0CK3D oskudne su u izvoru koji imamo, pa izbjegavajte djelovati na temelju glasina o određenim ranjivostima. Usredotočite se na ono što kontrolirate: je li vaš NAS izložen, je li zakrpan i imate li sigurnosnu kopiju koju napadač ne može dotaknuti. Ako ste već pogođeni, prvo izolirajte uređaj, a zatim prođite kroz oporavak bez slanja novca kriminalcima.

Ključni zaključci

Oporavak od Synology NAS L0CK3D ransomwarea daleko je lakši kada se pripremite prije napada. Danas se prijavite na svoj NAS i pogledajte što je izloženo internetu, potvrdite da je vaš firmware aktualan i testirajte možete li zaista vratiti datoteku iz sigurnosne kopije. Zatim pročitajte o immutable sigurnosnim kopijama i trendu žrtava koje odbijaju platiti kako biste oblikovali plan koji nećete morati improvizirati pod pritiskom.