Er circuleren meldingen van L0CK3D-ransomware die Synology NAS-apparaten versleutelt, waarbij slachtoffers merken dat hun bestandsextensies zijn gewijzigd. Het bronartikel, een gids van de SheMo Noransom-blog, beschrijft de activiteit als grootschalig en biedt noodhulpadvies. Het fragment dat ons ter beschikking staat is kort, dus dit bericht doet geen specifieke uitspraken over hoe de aanvallers binnenkomen, hoeveel apparaten getroffen zijn of hoe de losgeldeisen eruitzien. Wat we wel kunnen doen, is een verstandige Synology NAS L0CK3D-ransomware-herstelchecklist opstellen op basis van de beschreven symptomen en standaard incident response-praktijken.

Hoe je kunt vaststellen of L0CK3D je Synology NAS heeft getroffen

Het belangrijkste gemelde symptoom is gewijzigde bestandsextensies. Documenten, foto's en back-ups die voorheen normaal openden, dragen nu een onbekend achtervoegsel en openen niet meer in hun gebruikelijke apps. Andere tekenen die vaak met ransomware op een NAS worden geassocieerd, zijn:

  • Bestanden die plotseling niet meer kunnen worden bekeken of geopend vanuit File Station of een gekoppelde schijf
  • Een nieuw tekst- of HTML-bericht dat in gedeelde mappen verschijnt
  • Ongewoon hoge schijf- of CPU-activiteit zonder verklaring
  • Shares die er op de NAS normaal uitzien maar kapot zijn vanaf je computers, of andersom

Voordat je het ergste aanneemt, sluit eenvoudige oorzaken uit zoals een defecte schijf, een gewijzigde machtiging of een synchronisatieclient die misgaat. Als meerdere gedeelde mappen tegelijk de gewijzigde extensies vertonen, behandel het dan als een infectie tot het tegendeel is bewezen.

Eerste stappen: isoleer het apparaat en controleer de blootstelling

Snelheid is belangrijk, maar ervoor zorgen dat je het niet erger maakt net zo goed. Een rustige volgorde van handelen helpt.

1. Koppel de NAS los van het netwerk. Trek de Ethernet-kabel eruit en schakel Wi-Fi uit indien van toepassing. Dit stopt verdere versleuteling van gekoppelde shares en snijdt externe toegang af. Vermijd een harde uitschakeling als het enigszins kan; een nette afsluiting kan nuttige logbestanden bewaren, hoewel het stoppen van de verspreiding prioriteit heeft.

2. Controleer je andere apparaten. Als een pc of laptop de NAS als schijf had gekoppeld, kan dat apparaat de bron zijn, of als volgende aan de beurt zijn. Koppel het los en scan het voordat je iets opnieuw aansluit.

3. Documenteer wat je ziet. Fotografeer het scherm, noteer de bestandsextensie en bewaar eventuele losgeldbrief. Dit helpt bij latere analyse, verzekeringsclaims of meldingen aan autoriteiten.

4. Onderzoek hoe het apparaat was blootgesteld. Vraag jezelf af of de NAS bereikbaar was vanaf het internet via port forwarding, remote access-functies of een webbeheerpaneel. Overweeg of je verouderde DSM-firmware gebruikte, of beheerdersaccounts zwakke of hergebruikte wachtwoorden hadden, en of standaardaccounts of onnodige services nog actief waren. Het bronmateriaal vermeldt de toegangsmethode niet, dus je moet aannemen dat elk van deze relevant kan zijn en ze allemaal controleren.

5. Wijzig inloggegevens. Reset vanaf een schoon apparaat de wachtwoorden voor het NAS-beheerdersaccount, eventuele gedeelde accounts en alles wat anders op de NAS was opgeslagen of ervan toegankelijk was.

Herstelopties en waarom betalen een slechte gok is

Het schoonste herstel is vanuit een back-up die de aanvaller niet kon bereiken. Controleer of je een kopie hebt op een externe schijf die was losgekoppeld, een aparte NAS of een cloudback-up met versiegeschiedenis. Voordat je herstelt, wis en bouw je de NAS opnieuw op met bijgewerkte firmware, zodat je niet herstelt in een gecompromitteerd systeem. Als je back-ups ook op hetzelfde apparaat of dezelfde gekoppelde share stonden, zijn ze mogelijk ook versleuteld — daarom is het ontwerp van je back-up van belang. Ons artikel over waarom immutable back-ups nog steeds door ransomware worden getroffen legt uit waar zelfs goedbedoelde opstellingen tekortschieten.

Als je geen schone back-up hebt, worden je opties beperkt:

  • Zoek naar snapshots. Als Btrfs-snapshots waren ingeschakeld en niet verwijderd, kun je mogelijk terugdraaien. Controleer dit voordat je iets anders met het volume doet.
  • Controleer op een publieke decryptor. Soms verschijnen er gratis tools voor specifieke ransomware-families. Verifieer elke tool bij een betrouwbare bron voordat je hem uitvoert, en werk op kopieën van de gegevens.
  • Overweeg professionele hulp. Een gerenommeerd incident response- of gegevensherstelbedrijf kan beoordelen of herstel haalbaar is.

Wat betalen betreft: het is een slechte gok. Er is geen garantie dat je een werkende decryptor krijgt, en betaling markeert je als een willig doelwit. Onderzoek aangehaald in onze berichtgeving over hoe 64% van de ransomware-slachtoffers nu weigert te betalen suggereert dat weigeren steeds de norm wordt. Voor een breder beeld van hoe criminele groepen zich aanpassen, zie Group-IB's kijk op het evoluerende verdienmodel van ransomware.

Je NAS beveiligen zodat hij de volgende keer niet bereikbaar is

De meeste NAS-compromissen komen neer op blootstelling en verwaarlozing. Een paar wijzigingen sluiten veel van de gangbare deuren:

  • Haal hem van het publieke internet. Verwijder port forwards en schakel elke remote access-functie uit die je niet echt nodig hebt. Als je externe toegang nodig hebt, gebruik dan een VPN naar je thuis- of kantoornetwerk in plaats van de NAS direct bloot te stellen.
  • Houd DSM en pakketten bijgewerkt. Schakel automatische beveiligingsupdates in waar praktisch, en verwijder apps die je niet meer gebruikt.
  • Beveilig accounts. Schakel het standaard beheerdersaccount uit, gebruik lange unieke wachtwoorden en schakel tweefactorauthenticatie in.
  • Gebruik de ingebouwde Security Advisor. Die kan zwakke wachtwoorden en riskante instellingen signaleren.
  • Schakel auto-block in en beperk toegang per IP waar dat bij je opstelling past.
  • Schakel snapshots in en houd ze op een verstandig schema.
  • Volg de 3-2-1-aanpak. Houd drie kopieën van gegevens, op twee soorten media, met één offline of anderszins buiten bereik.

Wat dit voor jou betekent

Als je thuis of in een klein bedrijf een Synology NAS draait, zie deze meldingen dan als een aanleiding om je opstelling te controleren, niet als een reden tot paniek. De details van de L0CK3D-campagne zijn summier in de bron die we hebben, dus vermijd handelen op basis van geruchten over specifieke exploits. Richt je op wat je kunt beheersen: of je NAS is blootgesteld, of hij is gepatcht, en of je een back-up hebt die de aanvaller niet kan aanraken. Als je al getroffen bent, isoleer dan eerst het apparaat en werk dan het herstel door zonder geld naar criminelen te sturen.

Belangrijkste punten

Synology NAS L0CK3D-ransomware-herstel is veel eenvoudiger wanneer je je voorbereidt vóór een aanval. Log vandaag nog in op je NAS en bekijk wat er aan het internet is blootgesteld, controleer of je firmware actueel is en test of je daadwerkelijk een bestand uit een back-up kunt herstellen. Lees je daarna in over immutable back-ups en de trend dat slachtoffers weigeren te betalen om een plan vorm te geven dat je niet onder druk hoeft te improviseren.