Rapporter om at L0CK3D-løsepenger krypterer Synology NAS-enheter sirkulerer, og ofre legger merke til at filendelsene deres er blitt tuklet med. Kildeartikkelen, en guide fra SheMo Noransom-bloggen, beskriver aktiviteten som omfattende og gir råd om nødrespons. Utdraget tilgjengelig for oss er kort, så dette innlegget hevder ikke noe konkret om hvordan angriperne kommer seg inn, hvor mange enheter som er rammet, eller hvordan løsepengekravene ser ut. Det vi kan gjøre, er å legge frem en fornuftig sjekkliste for gjenoppretting etter L0CK3D-løsepenger på Synology NAS, bygget rundt symptomene som er beskrevet og standard praksis for hendelseshåndtering.

Hvordan avgjøre om L0CK3D har rammet din Synology NAS

Det viktigste rapporterte symptomet er endrede filendelser. Dokumenter, bilder og sikkerhetskopier som tidligere åpnet normalt, har nå en ukjent endelse og åpnes ikke i de vanlige appene sine. Andre tegn som vanligvis forbindes med løsepenger på en NAS inkluderer:

  • Filer som plutselig ikke kan forhåndsvises eller åpnes fra File Station eller en tilkoblet stasjon
  • Et nytt tekst- eller HTML-notat som dukker opp i delte mapper
  • Uvanlig høy disk- eller CPU-aktivitet uten forklaring
  • Delinger som ser fine ut på NAS-en, men er ødelagte fra datamaskinene dine, eller omvendt

Før du antar det verste, utelukk enkle årsaker som en defekt disk, en endring i tillatelser eller en synkroniseringsklient som har gått galt. Hvis flere delte mapper viser de endrede endelsene samtidig, behandle det som en infeksjon til det motsatte er bevist.

Første trinn: Isoler enheten og sjekk eksponering

Hastighet er viktig, men det er også viktig å ikke gjøre ting verre. En rolig rekkefølge av operasjoner hjelper.

1. Koble NAS-en fra nettverket. Trekk ut Ethernet-kabelen, og deaktiver Wi-Fi hvis det er aktuelt. Dette stopper videre kryptering av tilkoblede delinger og kutter all ekstern tilgang. Unngå hard avslåing hvis du kan; en ren nedstenging kan bevare nyttige logger, selv om prioriteten din er å stoppe spredningen.

2. Sjekk de andre enhetene dine. Hvis en PC eller bærbar datamaskin hadde NAS-en montert som en stasjon, kan den maskinen være kilden, eller den kan være neste. Koble den fra og skann den før du kobler til noe igjen.

3. Dokumenter det du ser. Fotografer skjermen, noter filendelsen og lagre eventuelle løsepengekrav. Dette hjelper med senere analyse, forsikringskrav eller rapporter til myndighetene.

4. Gå gjennom hvordan enheten var eksponert. Spør deg selv om NAS-en var tilgjengelig fra internett via portviderekobling, eksterne tilgangsfunksjoner eller et nettbasert administrasjonspanel. Vurder om du kjørte utdatert DSM-fastvare, om administratorkontoer brukte svake eller gjenbrukte passord, og om standardkontoer eller unødvendige tjenester fortsatt var aktive. Kildematerialet spesifiserer ikke inngangsmetoden, så du bør anta at alle disse kan være relevante og sjekke hver enkelt.

5. Endre påloggingsinformasjon. Fra en ren enhet, tilbakestill passord for NAS-administratorkontoen, eventuelle delte kontoer og alt annet som var lagret på eller tilgjengelig fra NAS-en.

Gjenopprettingsalternativer og hvorfor det er et dårlig valg å betale

Den reneste gjenopprettingen er fra en sikkerhetskopi som angriperen ikke kunne nå. Sjekk om du har en kopi på en ekstern disk som var frakoblet, en separat NAS eller en skysikkerhetskopi med versjonshistorikk. Før du gjenoppretter, tøm og bygg NAS-en på nytt med oppdatert fastvare, slik at du ikke gjenoppretter til et kompromittert system. Hvis sikkerhetskopiene dine også var på samme enhet eller tilkoblede deling, kan de også være kryptert, og det er derfor utformingen av sikkerhetskopien din er viktig. Vår artikkel om hvorfor uforanderlige sikkerhetskopier fortsatt rammes av løsepenger forklarer hvor selv velmenende oppsett kommer til kort.

Hvis du ikke har noen ren sikkerhetskopi, begrenses alternativene dine:

  • Se etter øyeblikksbilder. Hvis Btrfs-øyeblikksbilder var aktivert og ikke slettet, kan du kanskje rulle tilbake. Sjekk dette før du gjør noe annet med volumet.
  • Se etter en offentlig dekrypterer. Gratisverktøy dukker noen ganger opp for spesifikke løsepengefamilier. Verifiser eventuelle verktøy fra en pålitelig kilde før du kjører dem, og arbeid på kopier av dataene.
  • Vurder profesjonell hjelp. Et anerkjent firma for hendelseshåndtering eller datagjenoppretting kan vurdere om gjenoppretting er gjennomførbart.

Når det gjelder å betale, er det et dårlig valg. Det er ingen garanti for at du mottar en fungerende dekrypterer, og betaling markerer deg som et villig mål. Forskning sitert i vår dekning av hvordan 64 % av løsepengerofre nå nekter å betale tyder på at det å nekte blir stadig mer normalt. For et bredere perspektiv på hvordan kriminelle grupper tilpasser seg, se Group-IBs blikk på løsepengeprogramvarens utviklende forretningsmodell.

Herding av NAS-en din slik at den ikke er tilgjengelig neste gang

De fleste NAS-kompromitteringer koker ned til eksponering og forsømmelse. Noen få endringer lukker mange av de vanlige dørene:

  • Ta den av det offentlige internettet. Fjern portviderekoblinger og deaktiver eventuelle eksterne tilgangsfunksjoner du ikke virkelig trenger. Hvis du trenger ekstern tilgang, bruk en VPN inn til hjemme- eller kontornettverket ditt i stedet for å eksponere NAS-en direkte.
  • Hold DSM og pakker oppdatert. Aktiver automatiske sikkerhetsoppdateringer der det er praktisk, og fjern apper du ikke lenger bruker.
  • Lås ned kontoer. Deaktiver standardadministratorkontoen, bruk lange unike passord og aktiver tofaktorautentisering.
  • Bruk den innebygde sikkerhetsrådgiveren. Den kan flagge svake passord og risikable innstillinger.
  • Aktiver automatisk blokkering og begrens tilgang etter IP der det passer oppsettet ditt.
  • Aktiver øyeblikksbilder og hold dem på en fornuftig tidsplan.
  • Følg 3-2-1-tilnærmingen. Hold tre kopier av data, på to typer medier, med én offline eller på annen måte utilgjengelig.

Hva dette betyr for deg

Hvis du kjører en Synology NAS hjemme eller i en liten bedrift, bør du behandle disse rapportene som en oppfordring til å sjekke oppsettet ditt, ikke som en grunn til panikk. Detaljene i L0CK3D-kampanjen er sparsomme i kilden vi har, så unngå å handle på rykter om spesifikke sårbarheter. Fokuser på det du kontrollerer: om NAS-en din er eksponert, om den er oppdatert, og om du har en sikkerhetskopi som angriperen ikke kan røre. Hvis du allerede er rammet, isoler enheten først, og arbeid deg deretter gjennom gjenopprettingen uten å sende penger til kriminelle.

Viktige punkter

Gjenoppretting etter L0CK3D-løsepenger på Synology NAS er mye enklere når du forbereder deg før et angrep. I dag, logg inn på NAS-en din og se på hva som er eksponert mot internett, bekreft at fastvaren er oppdatert, og test at du faktisk kan gjenopprette en fil fra sikkerhetskopi. Deretter les om uforanderlige sikkerhetskopier og trenden med ofre som nekter å betale for å forme en plan du ikke trenger å improvisere under press.