NAS Synology colpito dal ransomware L0CK3D: passi per il ripristino

Circolano segnalazioni del ransomware L0CK3D che crittografa i dispositivi NAS Synology, con le vittime che notano le estensioni dei propri file manomesse. L'articolo di origine, una guida del blog SheMo Noransom, descrive l'attività come su larga scala e offre consigli per la risposta di emergenza. L'estratto a nostra disposizione è breve, quindi questo post non afferma dettagli specifici su come gli attaccanti riescano a entrare, su quanti dispositivi siano colpiti o su come siano formulate le richieste di riscatto. Ciò che possiamo fare è delineare una checklist ragionevole per il ripristino dal ransomware L0CK3D su NAS Synology, basata sui sintomi descritti e sulle pratiche standard di risposta agli incidenti.

Come capire se L0CK3D ha colpito il tuo NAS Synology

Il sintomo principale segnalato è il cambio delle estensioni dei file. Documenti, foto e backup che prima si aprivano normalmente ora portano un suffisso sconosciuto e non si aprono più nelle solite applicazioni. Altri segnali comunemente associati al ransomware su un NAS includono:

• File che improvvisamente non possono essere visualizzati in anteprima o aperti da File Station o da un'unità mappata
• Una nuova nota di testo o HTML che compare nelle cartelle condivise
• Attività del disco o della CPU insolitamente elevata senza spiegazione
• Condivisioni che sembrano a posto sul NAS ma risultano rotte dai tuoi computer, o viceversa

Prima di dare per scontato il peggio, escludi cause semplici come un disco guasto, un cambio di permessi o un client di sincronizzazione impazzito. Se diverse cartelle condivise mostrano contemporaneamente le estensioni alterate, trattalo come un'infezione fino a prova contraria.

Primi passi: isolare il dispositivo e verificare l'esposizione

La rapidità conta, ma anche non peggiorare le cose. Un ordine di operazioni calmo aiuta.

1. Scollega il NAS dalla rete. Stacca il cavo Ethernet e disabilita il Wi-Fi se applicabile. Questo ferma l'ulteriore crittografia delle condivisioni collegate e interrompe qualsiasi accesso remoto. Evita uno spegnimento forzato se puoi farne a meno; uno spegnimento pulito può preservare log utili, anche se la tua priorità è fermare la diffusione.

2. Controlla gli altri tuoi dispositivi. Se un PC o un portatile aveva il NAS montato come unità, quella macchina potrebbe essere la fonte, o potrebbe essere la prossima. Scollegala e scansionala prima di ricollegare qualsiasi cosa.

3. Documenta ciò che vedi. Fotografa lo schermo, annota l'estensione del file e salva qualsiasi nota di riscatto. Questo aiuta per analisi successive, richieste assicurative o segnalazioni alle autorità.

4. Rivedi come il dispositivo era esposto. Chiediti se il NAS fosse raggiungibile da internet tramite port forwarding, funzionalità di accesso remoto o un pannello di amministrazione web. Considera se stavi eseguendo firmware DSM obsoleto, se gli account admin usavano password deboli o riutilizzate e se account predefiniti o servizi non necessari fossero ancora attivi. Il materiale di origine non specifica il metodo di ingresso, quindi dovresti presumere che ognuno di questi possa essere rilevante e verificarli tutti.

5. Cambia le credenziali. Da un dispositivo pulito, reimposta le password per l'account admin del NAS, per qualsiasi account condiviso e per qualsiasi altra cosa fosse memorizzata o accessibile dal NAS.

Opzioni di ripristino e perché pagare è un cattivo affare

Il ripristino più pulito avviene da un backup che l'attaccante non poteva raggiungere. Verifica se hai una copia su un'unità esterna che era scollegata, su un NAS separato o su un backup cloud con cronologia delle versioni. Prima di ripristinare, cancella e ricostruisci il NAS con firmware aggiornato, così non ripristini in un sistema compromesso. Se anche i tuoi backup erano sullo stesso dispositivo o su una condivisione montata, potrebbero essere anch'essi crittografati, ed è per questo che il design del tuo backup conta. Il nostro articolo sul perché i backup immutabili vengono comunque colpiti dal ransomware spiega dove anche le configurazioni ben intenzionate falliscono.

Se non hai un backup pulito, le tue opzioni si restringono:

• Cerca gli snapshot. Se gli snapshot Btrfs erano abilitati e non sono stati eliminati, potresti riuscire a eseguire un rollback. Verifica questo prima di fare qualsiasi altra cosa al volume.
• Verifica se esiste un decryptor pubblico. A volte compaiono strumenti gratuiti per specifiche famiglie di ransomware. Verifica qualsiasi strumento da una fonte affidabile prima di eseguirlo e lavora su copie dei dati.
• Considera un aiuto professionale. Un'azienda affidabile di risposta agli incidenti o di recupero dati può valutare se il ripristino sia fattibile.

Quanto al pagare, è un cattivo affare. Non c'è garanzia di ricevere un decryptor funzionante, e il pagamento ti segnala come un bersaglio disponibile. La ricerca citata nella nostra copertura sul fatto che il 64% delle vittime di ransomware ora rifiuta di pagare suggerisce che rifiutare sia sempre più la norma. Per una visione più ampia di come i gruppi criminali si adattano, vedi l'analisi di Group-IB sull'evoluzione del modello di business del ransomware.

Rafforzare il tuo NAS perché non sia raggiungibile la prossima volta

La maggior parte delle compromissioni dei NAS si riduce a esposizione e negligenza. Poche modifiche chiudono molte delle porte comuni:

• Toglilo da internet pubblico. Rimuovi i port forward e disabilita qualsiasi funzionalità di accesso remoto di cui non hai davvero bisogno. Se hai bisogno di accesso remoto, usa una VPN verso la tua rete domestica o aziendale invece di esporre direttamente il NAS.
• Mantieni aggiornati DSM e i pacchetti. Abilita gli aggiornamenti di sicurezza automatici dove praticabile e rimuovi le app che non usi più.
• Blocca gli account. Disabilita l'account admin predefinito, usa password lunghe e uniche e attiva l'autenticazione a due fattori.
• Usa il Security Advisor integrato. Può segnalare password deboli e impostazioni rischiose.
• Abilita il blocco automatico e limita l'accesso per IP dove si adatta alla tua configurazione.
• Attiva gli snapshot e mantienili con una pianificazione sensata.
• Segui l'approccio 3-2-1. Mantieni tre copie dei dati, su due tipi di supporto, con una offline o comunque fuori portata.

Cosa significa per te

Se gestisci un NAS Synology a casa o in una piccola azienda, tratta queste segnalazioni come uno stimolo a controllare la tua configurazione, non come un motivo per farti prendere dal panico. I dettagli della campagna L0CK3D sono scarni nella fonte che abbiamo, quindi evita di agire su voci riguardanti exploit specifici. Concentrati su ciò che controlli: se il tuo NAS è esposto, se è aggiornato e se hai un backup che l'attaccante non può toccare. Se sei già colpito, isola prima il dispositivo, poi procedi con il ripristino senza inviare denaro ai criminali.

Punti chiave

Il ripristino dal ransomware L0CK3D su NAS Synology è molto più facile quando ti prepari prima di un attacco. Oggi, accedi al tuo NAS e guarda cosa è esposto a internet, conferma che il firmware sia aggiornato e verifica di poter effettivamente ripristinare un file dal backup. Poi informati sui backup immutabili e sulla tendenza delle vittime a rifiutare di pagare per costruire un piano che non dovrai improvvisare sotto pressione.