Jelentések keringenek arról, hogy a L0CK3D zsarolóvírus Synology NAS eszközöket titkosít, a áldozatok pedig azt tapasztalják, hogy fájlkiterjesztéseiket manipulálták. A forráscikk, a SheMo Noransom blog útmutatója nagyszabású tevékenységként írja le az esetet, és vészhelyzeti reagálási tanácsokat kínál. A rendelkezésünkre álló részlet rövid, ezért ez a bejegyzés nem állít konkrétumokat arról, hogyan jutnak be a támadók, hány eszközt érint a támadás, vagy milyen váltságdíj-követelések vannak. Amit tehetünk, hogy felvázolunk egy ésszerű Synology NAS L0CK3D zsarolóvírus helyreállítási ellenőrzőlistát a leírt tünetek és a szokásos incidenskezelési gyakorlat alapján.

Hogyan állapítható meg, hogy a L0CK3D elérte a Synology NAS-t

A fő jelentett tünet a megváltozott fájlkiterjesztés. A dokumentumok, fényképek és biztonsági mentések, amelyek korábban normálisan megnyíltak, most ismeretlen utótagot viselnek, és nem nyílnak meg a szokásos alkalmazásokban. A NAS-on előforduló zsarolóvírusokkal gyakran összefüggésbe hozott egyéb jelek:

  • Fájlok, amelyek hirtelen nem tekinthetők meg vagy nem nyithatók meg a File Stationból vagy egy csatlakoztatott meghajtóról
  • Új szöveges vagy HTML-üzenet jelenik meg a megosztott mappákban
  • Szokatlanul magas lemez- vagy CPU-aktivitás magyarázat nélkül
  • Megosztások, amelyek a NAS-on rendben lévőnek tűnnek, de a számítógépekről hibásak, vagy fordítva

Mielőtt a legrosszabbra gondolnánk, zárjuk ki az egyszerű okokat, például a meghibásodott meghajtót, a jogosultságváltozást vagy az elromlott szinkronizáló klienst. Ha egyszerre több megosztott mappa mutatja a megváltozott kiterjesztéseket, fertőzésként kezeljük, amíg az ellenkezője be nem bizonyosodik.

Első lépések: az eszköz izolálása és a kitettség ellenőrzése

A sebesség számít, de az is, hogy ne rontsunk a helyzeten. A nyugodt műveleti sorrend segít.

1. Válasszuk le a NAS-t a hálózatról. Húzzuk ki az Ethernet-kábelt, és kapcsoljuk ki a Wi-Fi-t, ha van. Ez megállítja a csatlakoztatott megosztások további titkosítását, és megszakítja a távoli hozzáférést. Kerüljük a kényszerített kikapcsolást, ha lehet; a tiszta leállítás hasznos naplókat őrizhet meg, bár a prioritás a terjedés megállítása.

2. Ellenőrizzük a többi eszközt. Ha egy PC vagy laptop a NAS-t meghajtóként csatlakoztatta, az a gép lehet a forrás, vagy lehet a következő. Válasszuk le, és vizsgáljuk át, mielőtt bármit újra csatlakoztatnánk.

3. Dokumentáljuk, amit látunk. Fényképezzük le a képernyőt, jegyezzük fel a fájlkiterjesztést, és mentsük el a váltságdíj-üzenetet. Ez segít a későbbi elemzésben, a biztosítási igényekben vagy a hatóságoknak tett bejelentésekben.

4. Vizsgáljuk felül, hogyan volt kitéve az eszköz. Kérdezzük meg magunktól, hogy a NAS elérhető volt-e az internetről porttovábbításon, távoli hozzáférési funkciókon vagy webes adminisztrációs panelen keresztül. Fontoljuk meg, hogy elavult DSM firmware-t futtattunk-e, hogy az admin fiókok gyenge vagy újrahasznált jelszavakat használtak-e, és hogy az alapértelmezett fiókok vagy szükségtelen szolgáltatások még aktívak voltak-e. A forrásanyag nem határozza meg a belépési módot, ezért feltételezzük, hogy ezek bármelyike releváns lehet, és ellenőrizzük mindegyiket.

5. Változtassuk meg a hitelesítő adatokat. Egy tiszta eszközről állítsuk vissza a NAS admin fiókjának, a megosztott fiókoknak és minden másnak a jelszavát, ami a NAS-on tárolódott vagy onnan elérhető volt.

Helyreállítási lehetőségek és miért rossz ötlet fizetni

A legtisztább helyreállítás egy olyan biztonsági mentésből történik, amelyet a támadó nem érhetett el. Ellenőrizzük, hogy van-e másolatunk egy leválasztott külső meghajtón, egy külön NAS-on vagy egy verziótörténettel rendelkező felhőmentésen. A visszaállítás előtt töröljük és építsük újra a NAS-t frissített firmware-rel, hogy ne egy kompromittált rendszerbe állítsunk vissza. Ha a biztonsági mentések is ugyanazon az eszközön vagy csatlakoztatott megosztáson voltak, azok is titkosítottak lehetnek, ezért fontos a biztonsági mentés tervezése. A miért kapnak el még mindig zsarolóvírusok megváltoztathatatlan biztonsági mentéseket című cikkünk elmagyarázza, hol maradnak el még a jó szándékú beállítások is.

Ha nincs tiszta biztonsági mentésünk, a lehetőségek szűkülnek:

  • Keressünk pillanatképeket. Ha a Btrfs pillanatképek engedélyezve voltak és nem törölték őket, visszaállíthatunk. Ezt ellenőrizzük, mielőtt bármi mást tennénk a kötettel.
  • Keressünk nyilvános visszafejtőt. Ingyenes eszközök néha megjelennek adott zsarolóvírus-családokhoz. Ellenőrizzünk minden eszközt megbízható forrásból, mielőtt futtatnánk, és az adatok másolatain dolgozzunk.
  • Fontoljuk meg a szakmai segítséget. Egy jó hírű incidenskezelési vagy adatmentési cég felmérheti, hogy a helyreállítás megvalósítható-e.

Ami a fizetést illeti, rossz ötlet. Nincs garancia arra, hogy működő visszafejtőt kapunk, és a fizetés készséges célponttá tesz minket. A 64% a zsarolóvírus-áldozatoknak most megtagadja a fizetést című tudósításunkban idézett kutatás szerint a megtagadás egyre inkább a norma. A bűnözői csoportok alkalmazkodásának szélesebb áttekintéséhez lásd a Group-IB pillantását a zsarolóvírus fejlődő üzleti modelljére.

A NAS megerősítése, hogy legközelebb ne legyen elérhető

A legtöbb NAS-kompromittálódás a kitettségre és a hanyagságra vezethető vissza. Néhány változtatás bezárja a gyakori ajtókat:

  • Vegyük le a nyilvános internetről. Távolítsuk el a porttovábbításokat, és kapcsoljuk ki minden távoli hozzáférési funkciót, amelyre valóban nincs szükségünk. Ha távoli hozzáférésre van szükségünk, használjunk VPN-t az otthoni vagy irodai hálózatba, ahelyett hogy közvetlenül kitennénk a NAS-t.
  • Tartsuk naprakészen a DSM-et és a csomagokat. Engedélyezzük az automatikus biztonsági frissítéseket, ahol gyakorlatias, és távolítsuk el a már nem használt alkalmazásokat.
  • Zárjuk le a fiókokat. Tiltsuk le az alapértelmezett admin fiókot, használjunk hosszú egyedi jelszavakat, és kapcsoljuk be a kétfaktoros hitelesítést.
  • Használjuk a beépített Security Advisort. Jelezheti a gyenge jelszavakat és a kockázatos beállításokat.
  • Engedélyezzük az automatikus blokkolást és korlátozzuk a hozzáférést IP alapján, ahol illik a beállításainkhoz.
  • Kapcsoljuk be a pillanatképeket, és tartsuk ésszerű ütemezés szerint.
  • Kövessük a 3-2-1 megközelítést. Tartsunk három adatpéldányt, kétféle adathordozón, egy pedig legyen offline vagy más módon elérhetetlen.

Mit jelent ez Önnek

Ha otthon vagy egy kisvállalkozásban Synology NAS-t üzemeltet, kezelje ezeket a jelentéseket úgy, mint egy emlékeztetőt a beállítások ellenőrzésére, nem pedig pánikra okot adó okot. A L0CK3D kampány részletei szűkösek a rendelkezésünkre álló forrásban, ezért kerüljük a konkrét sebezhetőségekről szóló pletykák alapján való cselekvést. Összpontosítsunk arra, amit irányítunk: hogy a NAS ki van-e téve, hogy naprakész-e, és hogy van-e olyan biztonsági mentésünk, amelyhez a támadó nem fér hozzá. Ha már érintettek vagyunk, először izoláljuk az eszközt, majd dolgozzuk végig a helyreállítást anélkül, hogy pénzt küldenénk a bűnözőknek.

Kulcsfontosságú tanulságok

A Synology NAS L0CK3D zsarolóvírus helyreállítás sokkal könnyebb, ha a támadás előtt felkészülünk. Ma jelentkezzünk be a NAS-ra, és nézzük meg, mi van kitéve az internetnek, erősítsük meg, hogy a firmware naprakész, és teszteljük, hogy valóban vissza tudunk-e állítani egy fájlt a biztonsági mentésből. Utána olvassunk a megváltoztathatatlan biztonsági mentésekről és az áldozatok fizetésmegtagadási tendenciájáról, hogy olyan tervet alakítsunk ki, amelyet nem kell nyomás alatt rögtönöznünk.