Egy C3RB3R nevű zsarolóvírus-kampány célozza a Synology hálózati tároló (NAS) eszközöket, és a minta ismerős: az elavult operációs rendszert futtató eszközök azok, amelyeken titkosítják a fájlokat. Ha családi fotókat, üzleti dokumentumokat vagy biztonsági másolatokat tart egy Synology gépen, a C3RB3R Synology NAS zsarolóvírus-védelem néhány olyan szokásra vezethető vissza, amelyeket még ma elkezdhet.
Ez a bejegyzés végigveszi, hogyan működik a támadás, hogyan lehet megkülönböztetni egy valódi incidenst egy blöfftől, és mit kell tenni ellene.
Hogyan működik a C3RB3R támadás Synology NAS ellen
A Kaspersky beszámolója szerint a C3RB3R zsarolóvírus olyan Synology NAS eszközöket támad, amelyek elavult operációs rendszert futtatnak, és titkosítja a rajtuk tárolt fájlokat. Egyes közösségi és biztonsági írások ugyanezt a tevékenységet LOCK3D vagy L0CK3D néven említik, így a kutatás során több írásmóddal is találkozhat.
A NAS egyszerű okból vonzó célpont: itt összpontosítják az emberek az adataikat. A dokumentumok, fotók, megosztott projektmappák és gyakran a biztonsági másolatok is egy helyen vannak, és az eszköz gyakran elérhető az internetről a távoli hozzáféréshez. Amikor az eszközön lévő szoftver lemarad a frissítésekről, a támadóknak több mozgásterük van.
A nyomás nem áll meg a titkosításnál. Ha az áldozat nem fizet, a bűnözők azzal fenyegetőznek, hogy nyilvánosságra hozzák a ellopott adatokat. Ezekkel a követelésekkel e-mailben vagy közösségi médián keresztül kereshetik meg az áldozatokat.
Valódi titkosítás vagy zsarolási csalás: hogyan lehet megkülönböztetni
Nem minden fenyegető üzenet jelenti azt, hogy feltörték. A Kaspersky megjegyzi, hogy az ilyen fenyegetések gyakran nem többek puszta csalásnál, amely mintát külön is tárgyalt a csalók e-mailes zsarolásról és kizsákmányolásról szóló bejegyzésében. A tömegesen kiküldött követelések, amelyek azt állítják, hogy birtokukban vannak az adatai, gyakoriak, és sok közülük blöff, amelyet több ezer embernek küldenek el tényleges hozzáférés nélkül.
Maga a NAS a legjobb bizonyíték. Néhány gyakorlati ellenőrzés:
- Nézze meg a fájljait. Ha a dokumentumok elérhetetlenek, átnevezettek, vagy váltságdíj-követelés kíséri őket az eszközön, valószínűleg valódi titkosítási eseménnyel van dolga. Ha minden normálisan megnyílik, egy e-mail önmagában valószínűleg üres fenyegetés.
- Ellenőrizze az eszközt, ne az üzenetet. Jelentkezzen be közvetlenül a DSM felületére (ne egy e-mailben lévő linken keresztül), és tekintse át, mi történik a rendszeren.
- Legyen őszinte a kockázattal kapcsolatban. A Kaspersky egyértelmű: ha a NAS-át ténylegesen titkosították, nem zárhatja ki az adatlopást. A valódi titkosítási incidenst potenciális adatszivárgásként is kezelje, nem csak rendelkezésre állási problémaként.
A megkülönböztetés azért fontos, mert a helyes válasz eltér. Egy blöff esetén figyelmen kívül kell hagyni és jelenteni kell az üzenetet. Valódi fertőzés esetén elszigetelésre és helyreállításra van szükség.
Mit tegyen, ha a NAS-át titkosították
Ha az eszközén lévő fájlok valóban zárolva vannak, cselekedjen nyugodtan és sorrendben.
- Válassza le a NAS-t a hálózatról. Ez segít megállítani a további károkat, és elvágja a támadók esetleges távoli hozzáférését.
- Ne hagyatkozzon a bűnözők ígéreteire. A fizetés nem garantálja a fájlok visszaszerzését, és nem fordítja vissza a már megtörtént lopást sem.
- Tételezze fel, hogy az adatokat másolhatták. Gondolja végig, mi volt ott tárolva: személyes dokumentumok, ügyféladatok, hitelesítő adatok. Változtassa meg azon fiókok jelszavait, amelyek adatai az eszközön lehettek, és fontolja meg, kit kell értesíteni, ha az adatok ügyfelekhez vagy kollégákhoz tartoznak.
- Állítsa helyre tiszta biztonsági másolatból. Itt bizonyítják értéküket az offline vagy különálló biztonsági másolatok. Mielőtt bármit újra csatlakoztatna, frissítse a NAS szoftverét, hogy ne ugyanarra a gyengeségre állítson vissza.
- Kérjen szakmai segítséget, ha az adatok üzletileg kritikusak. Egy incidenskezelő segíthet megállapítani, mihez fértek hozzá.
NAS megerősítési ellenőrzőlista: frissítések, kitett szolgáltatások, biztonsági másolatok, hozzáférés-vezérlés
A Synology saját útmutatása, ahogyan a kampányt áttekintő források tükrözik, következetes javítási csomagra mutat. Egyik sem igényel különleges szakértelmet.
Frissítsen mindent. Frissítse a DSM-et, a NAS operációs rendszerét és a telepített csomagokat. A Synology sürgette a sebezhető verziókat futtató felhasználókat, hogy azonnal frissítsenek. Engedélyezze az automatikus frissítéseket, ahol lehet, és még akkor is ellenőrizze az eszközt alkalmanként.
Zárja be, amire nincs szüksége. Csak a ténylegesen használt szolgáltatásokat nyissa meg. Minden kitett port vagy távoli hozzáférési funkció egy ajtó, amelyen valaki megpróbálhat bejutni. Ha nem kell elérnie a NAS-t otthonán vagy irodáján kívülről, kapcsolja ki a közvetlen internet-hozzáférést.
Zárja le a bejelentkezéseket. Győződjön meg arról, hogy az Auto Block, a fiókvédelem és a többtényezős hitelesítés engedélyezve van. Használjon egyedi, hosszú jelszavakat az adminisztrátori fiókokhoz, és kerülje az alapértelmezett vagy megosztott hitelesítő adatok megtartását.
Futtassa a beépített ellenőrzéseket. A Synology Security Advisor rendszeresen átvizsgálhatja az eszközt sebezhetőségek és gyenge beállítások után. Néhány percet vesz igénybe, és elkapja azt az elcsúszást, amely idővel felhalmozódik.
Tartson olyan biztonsági másolatokat, amelyeket a zsarolóvírus nem érhet el. Az ugyanazon a NAS-on, vagy olyan megosztáson lévő biztonsági másolat, amelyre a NAS mindig írhat, minden mással együtt titkosítható. Tartson legalább egy példányt offline vagy más módon elkülönítve, és tesztelje, hogy vissza tud állítani belőle.
Mit jelent ez Önnek
Ha Synology NAS-t birtokol, a kulcskérdés az, hogy naprakész-e, és mennyire kitett. Az elavult szoftver plusz internetről elérhető hozzáférés az a kombináció, amelyre ez a kampány épül. Ha nem használ NAS-t, de kap egy e-mailt, amely azt állítja, hogy valakinek megvannak a fájljai, ne feledje, hogy az ilyen üzenetek gyakran csalások, és az első lépés annak ellenőrzése, hogy valóban történt-e valami.
Kis irodák esetében a NAS gyakran másokra vonatkozó adatokat tárol, ami növeli a tétet, ha a lopás lehetséges. A frissítés és a hozzáférés korlátozása olcsóbb, mint bármilyen helyreállítás.
Gyakorlati tanulságok
- Frissítse a DSM-et és az összes telepített csomagot még ma, és kapcsolja be az automatikus frissítéseket.
- Zárja be a nem használt távoli hozzáférési portokat és szolgáltatásokat.
- Engedélyezze az Auto Blockot, a fiókvédelmet és a többtényezős hitelesítést.
- Futtassa a Synology Security Advisort, és javítsa ki, amit jelez.
- Tartson fenn offline biztonsági másolatot, és tesztelje a visszaállítást.
- Ha zsaroló üzenet érkezik, először ellenőrizze a fájljait, mielőtt reagálna.
A beállítások mostani auditálása a leghatékonyabb C3RB3R Synology NAS zsarolóvírus-védelem, amelyet megvalósíthat, és sokkal kevesebb időt vesz igénybe, mint egy támadás utáni helyreállítás.
