L0CK3DランサムウェアがSynology NASデバイスを暗号化しているという報告が広まっており、被害者はファイル拡張子が改ざんされていることに気づいています。ソース記事であるSheMo Noransomブログのガイドは、この活動を大規模なものと表現し、緊急対応のアドバイスを提供しています。入手可能な抜粋は短いため、本記事では攻撃者の侵入方法、影響を受けたデバイスの数、身代金要求の内容について具体的な主張は行いません。できることは、報告されている症状と標準的なインシデント対応の実践に基づいた、妥当なSynology NAS L0CK3Dランサムウェア復旧チェックリストを提示することです。

L0CK3DがSynology NASを攻撃したかどうかを見分ける方法

報告されている主な症状は、ファイル拡張子の変更です。以前は正常に開けていたドキュメント、写真、バックアップが、見慣れない接尾辞を付けられ、通常のアプリで開けなくなります。NAS上のランサムウェアに関連してよく見られるその他の兆候には、以下があります：

  • File Stationやマップ済みドライブから突然プレビューやオープンができなくなったファイル
  • 共有フォルダに新しいテキストまたはHTMLのメモが出現する
  • 説明のつかない異常に高いディスクまたはCPUアクティビティ
  • NAS上では正常に見えるがコンピュータからは壊れて見える共有、またはその逆

最悪の事態を想定する前に、ドライブの故障、権限の変更、同期クライアントの誤動作など、単純な原因を除外してください。複数の共有フォルダで同時に拡張子の変更が見られる場合は、そうでないと証明されるまで感染として扱ってください。

最初のステップ：デバイスを隔離し、露出を確認する

スピードは重要ですが、事態を悪化させないことも同様に重要です。冷静な作業順序が助けになります。

1. NASをネットワークから切断する。 イーサネットケーブルを抜き、該当する場合はWi-Fiを無効にします。これにより接続された共有のさらなる暗号化が止まり、リモートアクセスも遮断されます。できれば強制電源オフは避けてください。クリーンなシャットダウンは有用なログを保存できる可能性がありますが、優先事項は拡散の阻止です。

2. 他のデバイスを確認する。 PCやラップトップがNASをドライブとしてマウントしていた場合、そのマシンが感染源であるか、次に感染する可能性があります。切断してスキャンしてから再接続してください。

3. 見たものを記録する。 画面を撮影し、ファイル拡張子をメモし、身代金メモを保存します。これは後の分析、保険請求、当局への報告に役立ちます。

4. デバイスがどのように露出していたかを確認する。 NASがポートフォワーディング、リモートアクセス機能、Web管理パネルを通じてインターネットから到達可能であったかどうかを自問してください。古いDSMファームウェアを実行していなかったか、管理者アカウントが弱いまたは再利用されたパスワードを使用していなかったか、デフォルトアカウントや不要なサービスがまだ有効になっていなかったかを検討してください。ソース資料は侵入方法を特定していないため、これらのいずれも関連する可能性があると想定し、それぞれを確認する必要があります。

5. 認証情報を変更する。 クリーンなデバイスから、NASの管理者アカウント、共有アカウント、およびNAS上に保存されていた、またはNASからアクセス可能であったその他すべてのパスワードをリセットします。

復旧の選択肢と、身代金を支払うのが悪い賭けである理由

最もクリーンな復旧は、攻撃者が到達できなかったバックアップからのものです。切断されていた外付けドライブ、別のNAS、またはバージョン履歴付きのクラウドバックアップにコピーがあるかどうかを確認してください。復元する前に、更新されたファームウェアでNASをワイプして再構築し、侵害されたシステムに復元しないようにしてください。バックアップも同じデバイスやマウントされた共有上にあった場合、それらも暗号化されている可能性があります。これがバックアップの設計が重要な理由です。不変バックアップがそれでもランサムウェアの被害に遭う理由に関する記事では、善意の設定であってもどこで不十分になるかを説明しています。

クリーンなバックアップがない場合、選択肢は狭まります：

  • スナップショットを探す。 Btrfsスナップショットが有効で削除されていなければ、ロールバックできる可能性があります。ボリュームに対して何かをする前にこれを確認してください。
  • 公開されている復号ツールを確認する。 特定のランサムウェアファミリー向けの無料ツールが時々登場します。実行する前に信頼できるソースのツールであることを確認し、データのコピーに対して作業してください。
  • 専門家の助けを検討する。 信頼できるインシデント対応またはデータ復旧企業が復旧が可能かどうかを評価できます。

身代金の支払いについては、悪い賭けです。動作する復号ツールを受け取れる保証はなく、支払いはあなたを進んで応じるターゲットとして示すことになります。ランサムウェア被害者の64%が現在支払いを拒否しているという報道で引用された調査は、拒否がますます標準になっていることを示唆しています。犯罪グループがどのように適応するかについてのより広い視点は、Group-IBによるランサムウェアの進化するビジネスモデルの考察をご覧ください。

次回到達されないようにNASを強化する

NASの侵害のほとんどは、露出と怠慢に帰着します。いくつかの変更で一般的なドアの多くを閉じることができます：

  • 公共のインターネットから切り離す。 ポートフォワーディングを削除し、本当に必要でないリモートアクセス機能を無効にします。リモートアクセスが必要な場合は、NASを直接露出させるのではなく、自宅やオフィスのネットワークへのVPNを使用してください。
  • DSMとパッケージを最新の状態に保つ。 実用的な場合は自動セキュリティ更新を有効にし、使わなくなったアプリを削除します。
  • アカウントをロックダウンする。 デフォルトの管理者アカウントを無効にし、長くユニークなパスワードを使用し、二要素認証をオンにします。
  • 組み込みのSecurity Advisorを使用する。 弱いパスワードや危険な設定にフラグを立てることができます。
  • 自動ブロックを有効にし、IPによるアクセスを制限する（設定に合う場合）。
  • スナップショットをオンにし、適切なスケジュールで維持します。
  • 3-2-1アプローチに従う。 データのコピーを3つ、2種類のメディアに保持し、1つをオフラインまたは他の方法で到達不能にします。

これがあなたにとって意味すること

自宅や中小企業でSynology NASを運用している場合、これらの報告はパニックの理由ではなく、設定を確認するきっかけとして扱ってください。L0CK3Dキャンペーンの詳細は入手したソースでは乏しいため、特定のエクスプロイトに関する噂に基づいて行動することは避けてください。自分がコントロールできることに集中してください：NASが露出しているか、パッチが適用されているか、攻撃者が触れられないバックアップがあるか。すでに被害を受けている場合は、まずデバイスを隔離し、犯罪者にお金を送ることなく復旧に取り組んでください。

要点

Synology NAS L0CK3Dランサムウェアの復旧は、攻撃前に準備しておけばはるかに容易です。今日、NASにログインしてインターネットに露出しているものを確認し、ファームウェアが最新であることを確かめ、バックアップから実際にファイルを復元できることをテストしてください。その後、不変バックアップと被害者が支払いを拒否する傾向について読み、プレッシャーの下で即興する必要のない計画を策定してください。