En løsepengekampanje kalt C3RB3R retter seg mot Synology-nettverkslagringsenheter (NAS), og mønsteret er kjent: enheter som kjører utdatert operativsystemprogramvare, er de som får filene sine kryptert. Hvis du oppbevarer familiebilder, forretningsdokumenter eller sikkerhetskopier på en Synology-boks, koker C3RB3R-beskyttelse mot løsepengevirus på Synology NAS ned til en kort liste med vaner du kan begynne med i dag.
Dette innlegget går gjennom hvordan angrepet fungerer, hvordan du skiller en ekte hendelse fra en bløff, og hva du bør gjøre med det.
Hvordan C3RB3R-angrepet på Synology NAS fungerer
Ifølge Kasperskys rapportering angriper C3RB3R-løsepengevirus Synology NAS-enheter som kjører utdaterte operativsystemer, og krypterer filene som er lagret på dem. Noen community- og sikkerhetsskrifter omtaler den samme aktiviteten som LOCK3D eller L0CK3D, så du kan se flere stavemåter mens du undersøker.
En NAS er et attraktivt mål av en enkel grunn: det er der folk samler dataene sine. Dokumenter, bilder, delte prosjektmapper og ofte sikkerhetskopier ligger alle på ett sted, og enheten er ofte tilgjengelig fra internett for ekstern tilgang. Når programvaren på enheten henger etter med oppdateringer, får angripere mer spillerom.
Presset stopper ikke ved kryptering. Hvis offeret nekter å betale, truer kriminelle med å offentliggjøre de stjålne dataene. De kan kontakte ofre på e-post eller via sosiale medier med disse kravene.
Ekte kryptering eller utpressingssvindel: hvordan man kan se forskjellen
Ikke alle truende meldinger betyr at du er hacket. Kaspersky bemerker at slike trusler ofte ikke er annet enn svindel, et mønster de har dekket separat i innlegget sitt om hvordan svindlere bruker e-post til utpressing og avpressing. Masseutsendte krav som hevder å ha dataene dine, er vanlige, og mange er bløffer sendt til tusenvis av mennesker uten faktisk tilgang.
NAS-en selv er det beste beviset. Noen praktiske sjekker:
- Se på filene dine. Hvis dokumenter er utilgjengelige, omdøpt eller ledsaget av en løsepengeerklæring på enheten, har du sannsynligvis med en ekte krypteringshendelse å gjøre. Hvis alt åpnes normalt, er en e-post alene sannsynligvis en tom trussel.
- Sjekk enheten, ikke meldingen. Logg inn på DSM-grensesnittet direkte (ikke via en lenke i en e-post) og gjennomgå hva som skjer på systemet.
- Vær ærlig om risikoen. Kaspersky er tydelig på at hvis NAS-en din faktisk er blitt kryptert, kan du ikke utelukke datatyveri. Behandle en ekte krypteringshendelse også som en potensiell datalekkasje, ikke bare et tilgjengelighetsproblem.
Forskjellen er viktig fordi riktig respons er ulik. En bløff krever at du ignorerer og rapporterer meldingen. En ekte infeksjon krever inndemming og gjenoppretting.
Hva du bør gjøre hvis NAS-en din er kryptert
Hvis filene på enheten din virkelig er låst, handle rolig og i rekkefølge.
- Koble NAS-en fra nettverket. Dette hjelper med å stoppe ytterligere skade og kutter av enhver ekstern tilgang angriperne fortsatt måtte ha.
- Ikke stol på de kriminelles løfter. Å betale garanterer ikke at filene dine kommer tilbake, og det angrer ikke på noe tyveri som allerede har skjedd.
- Anta at dataene kan ha blitt kopiert. Tenk på hva som var lagret der: personlige dokumenter, kundeinformasjon, påloggingsdetaljer. Endre passord for kontoer hvis detaljer kan ha blitt oppbevart på enheten, og vurder hvem som kan trenge å varsles hvis dataene tilhører kunder eller kolleger.
- Gjenopprett fra en ren sikkerhetskopi. Det er her offline- eller separate sikkerhetskopier viser sin verdi. Før du kobler til noe igjen, oppdater NAS-programvaren slik at du ikke gjenoppretter til den samme svakheten.
- Søk profesjonell hjelp hvis dataene er forretningskritiske. En hendelsesresponsperson kan hjelpe med å avgjøre hva som ble aksessert.
Sjekkliste for herding av NAS: oppdateringer, eksponerte tjenester, sikkerhetskopier, tilgangskontroller
Synologys egen veiledning, slik den gjenspeiles i kildene som gjennomgår denne kampanjen, peker på et konsistent sett med tiltak. Ingen krever spesiell ekspertise.
Oppdater alt. Oppdater DSM, operativsystemet til NAS-en, og de installerte pakkene dine. Synology har oppfordret brukere som kjører sårbare versjoner, til å oppdatere umiddelbart. Aktiver automatiske oppdateringer der du kan, og sjekk enheten av og til selv da.
Lukk det du ikke trenger. Åpne bare tjenester du faktisk bruker. Hver eksponerte port eller eksterne tilgangsfunksjon er en dør noen kan prøve. Hvis du ikke trenger å nå NAS-en fra utsiden av hjemmet eller kontoret, slå av direkte internettilgang til den.
Lås ned pålogginger. Sørg for at Auto Block, Account Protection og multifaktorautentisering er aktivert. Bruk unike, lange passord for administratorkontoer, og unngå å la standard- eller delte påloggingsdetaljer bli stående.
Kjør de innebygde sjekkene. Synology Security Advisor kan rutinemessig skanne enheten for sårbarheter og svake innstillinger. Det tar minutter og fanger opp den typen drift som bygger seg opp over tid.
Hold sikkerhetskopier som løsepengevirus ikke kan nå. En sikkerhetskopi som ligger på samme NAS, eller på en deling NAS-en alltid kan skrive til, kan bli kryptert sammen med alt annet. Hold minst én kopi offline eller på annen måte adskilt, og test at du kan gjenopprette fra den.
Hva dette betyr for deg
Hvis du eier en Synology NAS, er nøkkelspørsmålet om den er oppdatert og hvor eksponert den er. Utdatert programvare kombinert med internettvendt tilgang er kombinasjonen denne kampanjen er bygget rundt. Hvis du ikke bruker NAS, men mottar en e-post som hevder noen har filene dine, husk at slike meldinger ofte er svindel, og at første steg er å verifisere om noe faktisk har skjedd.
For små kontorer inneholder en NAS ofte data om andre mennesker, noe som øker innsatsen hvis tyveri er mulig. Oppdatering og begrenset tilgang er billigere enn enhver gjenoppretting.
Handlingsrettede råd
- Oppdater DSM og alle installerte pakker i dag, og slå på automatiske oppdateringer.
- Lukk eksterne tilgangsporter og tjenester du ikke bruker.
- Aktiver Auto Block, Account Protection og multifaktorautentisering.
- Kjør Synology Security Advisor og fiks det den flagger.
- Hold en offline sikkerhetskopi og test en gjenoppretting.
- Hvis en utpressingsmelding kommer, sjekk filene dine først før du reagerer.
Å revidere oppsettet ditt nå er den mest effektive C3RB3R-beskyttelsen mot løsepengevirus på Synology NAS du kan sette på plass, og det tar langt mindre tid enn å gjenopprette etter et angrep.
