C3RB3Rと呼ばれるランサムウェアキャンペーンがSynologyのネットワーク接続ストレージ（NAS）デバイスを標的にしており、そのパターンは見慣れたものです。古いオペレーティングシステムのソフトウェアを実行しているデバイスがファイルを暗号化されるのです。家族の写真、ビジネス文書、バックアップをSynologyのボックスに保存しているなら、C3RB3R Synology NAS ランサムウェア対策は、今日から始められるいくつかの習慣に集約されます。

この記事では、攻撃の仕組み、本物のインシデントとブラフの見分け方、そしてそれに対して何をすべきかを順に説明します。

Synology NASに対するC3RB3R攻撃の仕組み

Kasperskyの報告によると、C3RB3Rランサムウェアは古いオペレーティングシステムを実行しているSynology NASデバイスを攻撃し、そこに保存されているファイルを暗号化します。一部のコミュニティやセキュリティの記事では同じ活動をLOCK3DやL0CK3Dと呼んでいるため、調査中に複数の表記を目にすることがあるかもしれません。

NASが魅力的な標的となる理由は単純です。それは人々がデータを集中させる場所だからです。文書、写真、共有プロジェクトフォルダ、そして多くの場合バックアップまでもが一か所に置かれ、リモートアクセスのためにインターネットから頻繁に到達可能です。そのデバイスのソフトウェアがアップデートに遅れると、攻撃者にはより多くの余地が生まれます。

圧力は暗号化だけにとどまりません。被害者が支払いを拒否すれば、犯罪者は盗んだデータを公開すると脅します。彼らはこれらの要求をメールやソーシャルメディアを通じて被害者に連絡することがあります。

本物の暗号化か恐喝詐欺か：見分け方

脅迫的なメッセージがすべてハッキングされたことを意味するわけではありません。Kasperskyは、そのような脅威はしばしば単なる詐欺に過ぎないと指摘しており、これは詐欺師が恐喝や脅迫にメールをどのように利用するかについての記事で別途取り上げたパターンです。あなたのデータを保持していると主張する大量送信の要求はよくあることで、その多くは実際のアクセスなしに何千人もの人々に送られるブラフです。

NAS自体が最良の証拠です。いくつかの実用的な確認方法があります：

  • ファイルを確認する。 文書にアクセスできない、名前が変更されている、またはデバイス上に身代金メモが添えられている場合、実際の暗号化イベントに対処している可能性が高いです。すべてが正常に開くなら、メールだけではおそらく空虚な脅威です。
  • メッセージではなくデバイスを確認する。 （メール内のリンクではなく）DSMインターフェースに直接ログインし、システム上で何が起きているかを確認してください。
  • リスクについて正直になる。 Kasperskyは、NASが実際に暗号化された場合、データ窃取を排除できないと明確に述べています。実際の暗号化インシデントは、可用性の問題だけでなく、潜在的なデータ漏洩としても扱うべきです。

この区別が重要なのは、適切な対応が異なるからです。ブラフにはメッセージを無視して報告することが求められます。本物の感染には封じ込めと復旧が求められます。

NASが暗号化された場合の対処法

デバイス上のファイルが本当にロックされている場合は、冷静に順序立てて行動してください。

  1. NASをネットワークから切断する。 これにより更なる被害を防ぎ、攻撃者がまだ持っている可能性のあるリモートアクセスを遮断できます。
  2. 犯罪者の約束に頼らない。 支払ってもファイルが戻る保証はなく、すでに発生した窃取を取り消すこともできません。
  3. データがコピーされた可能性を想定する。 そこに何が保存されていたかを考えてください：個人文書、顧客情報、認証情報。デバイスに詳細が保存されていた可能性のあるアカウントのパスワードを変更し、データが顧客や同僚のものである場合に誰に通知する必要があるかを検討してください。
  4. クリーンなバックアップから復元する。 ここでオフラインまたは分離されたバックアップがその価値を証明します。何かを再接続する前にNASのソフトウェアを更新し、同じ弱点に復元しないようにしてください。
  5. データが業務上重要な場合は専門家の助けを求める。 インシデントレスポンダーが何にアクセスされたかの特定を支援できます。

NAS hardening checklist: updates, exposed services, backups, access controls

このキャンペーンをレビューした情報源に反映されているSynology自身のガイダンスは、一貫した一連の修正を指し示しています。特別な専門知識は必要ありません。

すべてを更新する。 DSM、NASのオペレーティングシステム、およびインストール済みパッケージを更新してください。Synologyは脆弱なバージョンを実行しているユーザーに直ちに更新するよう促しています。可能な場合は自動更新を有効にし、そうであっても時々デバイスを確認してください。

不要なものを閉じる。 実際に使用するサービスのみを公開してください。公開されたポートやリモートアクセス機能はすべて、誰かが試せるドアです。自宅やオフィスの外部からNASにアクセスする必要がない場合は、NASへの直接のインターネットアクセスをオフにしてください。

ログインを厳格に保護する。 Auto Block、Account Protection、および多要素認証が有効になっていることを確認してください。管理者アカウントには固有の長いパスワードを使用し、デフォルトまたは共有の認証情報を放置しないでください。

組み込みのチェックを実行する。 Synology Security Advisorは定期的にデバイスの脆弱性と弱い設定をスキャンできます。数分で完了し、時間とともに蓄積する種類のドリフトを捉えます。

ランサムウェアが到達できないバックアップを維持する。 同じNAS上にある、またはNASが常に書き込める共有上にあるバックアップは、他のすべてと一緒に暗号化される可能性があります。少なくとも1つのコピーをオフラインまたは別の方法で分離して保持し、そこから復元できることをテストしてください。

これがあなたにとって意味すること

Synology NASを所有している場合、重要な問題はそれが最新かどうか、そしてどの程度露出しているかです。古いソフトウェアとインターネットに面したアクセスの組み合わせが、このキャンペーンが構築されている組み合わせです。NASを使用していないが、誰かがあなたのファイルを持っていると主張するメールを受け取った場合は、そのようなメッセージはしばしば詐欺であり、最初のステップは実際に何かが起きたかどうかを確認することであることを覚えておいてください。

小規模オフィスにとって、NASはしばしば他の人々に関するデータを保持しており、窃取が可能な場合にはリスクが高まります。更新とアクセスの制限は、あらゆる復旧よりも安価です。

実行可能な要点

  • 今日、DSMとインストール済みのすべてのパッケージを更新し、自動更新をオンにする。
  • 使用していないリモートアクセスポートとサービスを閉じる。
  • Auto Block、Account Protection、および多要素認証を有効にする。
  • Synology Security Advisorを実行し、指摘された問題を修正する。
  • オフラインバックアップを維持し、復元をテストする。
  • 恐喝メッセージが届いた場合、反応する前にまずファイルを確認する。

今すぐ設定を監査することが、実施できる最も効果的なC3RB3R Synology NASランサムウェア対策であり、攻撃からの復旧よりもはるかに短い時間で済みます。