Apa gejala utama ransomware L0CK3D pada Synology NAS?

Gejala utama yang dilaporkan adalah perubahan ekstensi file, di mana dokumen, foto, dan cadangan memiliki akhiran yang tidak dikenal dan tidak akan terbuka di aplikasi biasa.

Apa yang harus saya lakukan pertama kali jika saya mencurigai Synology NAS saya terinfeksi?

Putuskan NAS dari jaringan dengan mencabut kabel Ethernet dan menonaktifkan Wi-Fi jika berlaku, yang menghentikan enkripsi lebih lanjut dan memutus akses jarak jauh.

Bagaimana saya dapat menyingkirkan penyebab non-ransomware sebelum berasumsi terjadi infeksi?

Singkirkan penyebab sederhana seperti drive yang rusak, perubahan izin, atau klien sinkronisasi yang bermasalah, tetapi jika beberapa folder bersama menunjukkan ekstensi yang diubah sekaligus, anggap itu sebagai infeksi sampai terbukti sebaliknya.

Faktor paparan apa yang harus saya periksa setelah dugaan infeksi?

Tinjau apakah NAS dapat dijangkau dari internet melalui port forwarding, fitur akses jarak jauh, atau panel admin web, dan pertimbangkan firmware DSM yang usang, kata sandi yang lemah atau digunakan ulang, serta akun default atau layanan yang tidak diperlukan yang masih aktif.

Synology NAS Terkena Ransomware L0CK3D: Langkah-Langkah Pemulihan

Q: Haruskah saya segera mematikan NAS saya jika terinfeksi?

Hindari mematikan daya secara paksa jika memungkinkan, karena mematikan dengan bersih dapat mempertahankan log yang berguna, meskipun menghentikan penyebaran adalah prioritas.

Laporan tentang ransomware L0CK3D yang mengenkripsi perangkat Synology NAS mulai beredar, dengan para korban menyadari bahwa ekstensi file mereka telah diubah. Artikel sumber, sebuah panduan dari blog SheMo Noransom, menggambarkan aktivitas ini sebagai skala besar dan menawarkan saran tanggap darurat. Kutipan yang tersedia bagi kami singkat, sehingga postingan ini tidak mengklaim detail spesifik tentang bagaimana penyerang masuk, berapa banyak perangkat yang terdampak, atau seperti apa tuntutan tebusannya. Yang dapat kami lakukan adalah menyusun daftar periksa pemulihan ransomware L0CK3D pada Synology NAS yang masuk akal, dibangun berdasarkan gejala yang dijelaskan dan praktik respons insiden standar.

Cara mengetahui apakah L0CK3D telah menyerang Synology NAS Anda

Gejala utama yang dilaporkan adalah perubahan ekstensi file. Dokumen, foto, dan cadangan yang sebelumnya terbuka normal kini memiliki akhiran yang tidak dikenal dan tidak akan terbuka di aplikasi biasa. Tanda-tanda lain yang umumnya terkait dengan ransomware pada NAS meliputi:

File yang tiba-tiba tidak dapat dipratinjau atau dibuka dari File Station atau drive yang dipetakan
Catatan teks atau HTML baru muncul di folder bersama
Aktivitas disk atau CPU yang luar biasa tinggi tanpa penjelasan
Share yang terlihat baik-baik saja di NAS tetapi rusak dari komputer Anda, atau sebaliknya

Sebelum berasumsi yang terburuk, singkirkan penyebab sederhana seperti drive yang rusak, perubahan izin, atau klien sinkronisasi yang bermasalah. Jika beberapa folder bersama menunjukkan ekstensi yang diubah sekaligus, anggap itu sebagai infeksi sampai terbukti sebaliknya.

Langkah pertama: isolasi perangkat dan periksa paparan

Kecepatan itu penting, tetapi tidak memperburuk keadaan juga sama pentingnya. Urutan operasi yang tenang akan membantu.

1. Putuskan NAS dari jaringan. Cabut kabel Ethernet, dan nonaktifkan Wi-Fi jika berlaku. Ini menghentikan enkripsi lebih lanjut pada share yang terhubung dan memutus akses jarak jauh apa pun. Hindari mematikan daya secara paksa jika memungkinkan; mematikan dengan bersih dapat mempertahankan log yang berguna, meskipun prioritas Anda adalah menghentikan penyebaran.

2. Periksa perangkat Anda yang lain. Jika PC atau laptop memiliki NAS yang dipasang sebagai drive, mesin itu bisa menjadi sumbernya, atau bisa menjadi target berikutnya. Putuskan dan pindai sebelum menghubungkan apa pun kembali.

3. Dokumentasikan apa yang Anda lihat. Foto layar, catat ekstensi file, dan simpan catatan tebusan apa pun. Ini membantu analisis selanjutnya, klaim asuransi, atau laporan kepada pihak berwenang.

4. Tinjau bagaimana perangkat terekspos. Tanyakan pada diri sendiri apakah NAS dapat dijangkau dari internet melalui port forwarding, fitur akses jarak jauh, atau panel admin web. Pertimbangkan apakah Anda menjalankan firmware DSM yang usang, apakah akun admin menggunakan kata sandi yang lemah atau digunakan ulang, dan apakah akun default atau layanan yang tidak diperlukan masih aktif. Materi sumber tidak menyebutkan metode masuknya, jadi Anda harus menganggap salah satu dari ini bisa relevan dan periksa masing-masingnya.

5. Ubah kredensial. Dari perangkat yang bersih, atur ulang kata sandi untuk akun admin NAS, akun bersama apa pun, dan apa pun yang tersimpan di atau dapat diakses dari NAS.

Opsi pemulihan dan mengapa membayar adalah taruhan yang buruk

Pemulihan paling bersih adalah dari cadangan yang tidak dapat dijangkau penyerang. Periksa apakah Anda memiliki salinan di drive eksternal yang terputus, NAS terpisah, atau cadangan cloud dengan riwayat versi. Sebelum memulihkan, hapus dan bangun ulang NAS dengan firmware yang diperbarui agar Anda tidak memulihkan ke sistem yang telah dikompromikan. Jika cadangan Anda juga berada di perangkat yang sama atau share yang dipasang, cadangan tersebut mungkin juga terenkripsi, itulah sebabnya desain cadangan Anda penting. Artikel kami tentang mengapa cadangan immutable tetap terkena ransomware menjelaskan di mana bahkan pengaturan yang niatnya baik pun gagal.

Jika Anda tidak memiliki cadangan yang bersih, pilihan Anda menyempit:

Cari snapshot. Jika snapshot Btrfs diaktifkan dan tidak dihapus, Anda mungkin dapat melakukan rollback. Periksa ini sebelum melakukan apa pun pada volume.
Periksa apakah ada dekriptor publik. Alat gratis terkadang muncul untuk keluarga ransomware tertentu. Verifikasi alat apa pun dari sumber tepercaya sebelum menjalankannya, dan kerjakan pada salinan data.
Pertimbangkan bantuan profesional. Perusahaan respons insiden atau pemulihan data yang bereputasi dapat menilai apakah pemulihan layak dilakukan.

Adapun membayar, itu adalah taruhan yang buruk. Tidak ada jaminan Anda akan menerima dekriptor yang berfungsi, dan pembayaran menandai Anda sebagai target yang bersedia. Penelitian yang dikutip dalam liputan kami tentang bagaimana 64% korban ransomware kini menolak membayar menunjukkan bahwa menolak semakin menjadi norma. Untuk pandangan yang lebih luas tentang bagaimana kelompok kriminal beradaptasi, lihat tinjauan Group-IB tentang model bisnis ransomware yang terus berkembang.

Memperkuat NAS Anda agar tidak dapat dijangkau lagi di lain waktu

Sebagian besar kompromi NAS bermuara pada paparan dan kelalaian. Beberapa perubahan menutup banyak pintu umum:

Jauhkan dari internet publik. Hapus port forward dan nonaktifkan fitur akses jarak jauh yang tidak benar-benar Anda butuhkan. Jika Anda memerlukan akses jarak jauh, gunakan VPN ke jaringan rumah atau kantor Anda daripada mengekspos NAS secara langsung.
Jaga DSM dan paket tetap diperbarui. Aktifkan pembaruan keamanan otomatis jika memungkinkan, dan hapus aplikasi yang tidak lagi Anda gunakan.
Kunci akun. Nonaktifkan akun admin default, gunakan kata sandi panjang yang unik, dan aktifkan autentikasi dua faktor.
Gunakan Security Advisor bawaan. Ini dapat menandai kata sandi lemah dan pengaturan berisiko.
Aktifkan pemblokiran otomatis dan batasi akses berdasarkan IP jika sesuai dengan pengaturan Anda.
Aktifkan snapshot dan pertahankan pada jadwal yang wajar.
Ikuti pendekatan 3-2-1. Simpan tiga salinan data, pada dua jenis media, dengan satu offline atau di luar jangkauan.

Apa Artinya Ini Bagi Anda

Jika Anda menjalankan Synology NAS di rumah atau di usaha kecil, perlakukan laporan ini sebagai dorongan untuk memeriksa pengaturan Anda, bukan sebagai alasan untuk panik. Detail kampanye L0CK3D sangat minim dalam sumber yang kami miliki, jadi hindari bertindak berdasarkan rumor tentang eksploitasi tertentu. Fokus pada apa yang Anda kendalikan: apakah NAS Anda terekspos, apakah sudah ditambal, dan apakah Anda memiliki cadangan yang tidak dapat disentuh penyerang. Jika Anda sudah terdampak, isolasi perangkat terlebih dahulu, lalu kerjakan pemulihan tanpa mengirim uang kepada penjahat.

Poin Penting

Pemulihan ransomware L0CK3D pada Synology NAS jauh lebih mudah jika Anda bersiap sebelum serangan. Hari ini, masuk ke NAS Anda dan lihat apa yang terekspos ke internet, pastikan firmware Anda terkini, dan uji apakah Anda benar-benar dapat memulihkan file dari cadangan. Kemudian baca tentang cadangan immutable dan tren korban yang menolak membayar untuk membentuk rencana yang tidak perlu Anda improvisasi di bawah tekanan.