Kampania ransomware o nazwie C3RB3R wymierzona jest w urządzenia Synology typu network-attached storage (NAS), a schemat jest znajomy: to urządzenia z nieaktualnym oprogramowaniem systemowym mają szyfrowane pliki. Jeśli przechowujesz zdjęcia rodzinne, dokumenty firmowe lub kopie zapasowe na urządzeniu Synology, ochrona przed ransomware C3RB3R na Synology NAS sprowadza się do krótkiej listy nawyków, które możesz wdrożyć już dziś.

Ten artykuł omawia, jak działa atak, jak odróżnić rzeczywisty incydent od blefu oraz co z tym zrobić.

Jak działa atak C3RB3R na Synology NAS

Według raportu Kaspersky'ego ransomware C3RB3R atakuje urządzenia Synology NAS z nieaktualnymi systemami operacyjnymi i szyfruje przechowywane na nich pliki. Niektóre opracowania społecznościowe i analizy bezpieczeństwa określają tę samą aktywność jako LOCK3D lub L0CK3D, więc podczas researchu możesz spotkać się z kilkoma wariantami pisowni.

NAS jest atrakcyjnym celem z prostego powodu: to miejsce, w którym ludzie gromadzą swoje dane. Dokumenty, zdjęcia, udostępniane foldery projektowe, a często także kopie zapasowe — wszystko w jednym miejscu, a urządzenie jest często dostępne z internetu na potrzeby zdalnego dostępu. Gdy oprogramowanie na tym urządzeniu pozostaje w tyle z aktualizacjami, atakujący mają więcej pola do działania.

Presja nie kończy się na szyfrowaniu. Jeśli ofiara odmawia zapłaty, przestępcy grożą upublicznieniem skradzionych danych. Mogą kontaktować się z ofiarami e-mailem lub przez media społecznościowe z tymi żądaniami.

Prawdziwe szyfrowanie czy oszustwo wymuszające okup: jak odróżnić

Nie każda groźna wiadomość oznacza, że zostałeś zhakowany. Kaspersky zauważa, że takie groźby często są niczym więcej niż oszustwem — schematem, który omówiono osobno w artykule o tym, jak oszuści wykorzystują e-mail do szantażu i wymuszania. Masowo rozsyłane żądania twierdzące, że posiadają Twoje dane, są powszechne, a wiele z nich to blefy wysyłane do tysięcy osób bez rzeczywistego dostępu.

Sam NAS jest najlepszym dowodem. Kilka praktycznych sprawdzeń:

  • Spójrz na swoje pliki. Jeśli dokumenty są niedostępne, zmieniono ich nazwy lub towarzyszy im notatka okupowa na urządzeniu, prawdopodobnie masz do czynienia z rzeczywistym szyfrowaniem. Jeśli wszystko otwiera się normalnie, sam e-mail to prawdopodobnie puste groźby.
  • Sprawdź urządzenie, nie wiadomość. Zaloguj się bezpośrednio do interfejsu DSM (nie przez link w e-mailu) i sprawdź, co dzieje się w systemie.
  • Bądź szczery co do ryzyka. Kaspersky jasno stwierdza, że jeśli Twój NAS został faktycznie zaszyfrowany, nie możesz wykluczyć kradzieży danych. Traktuj rzeczywisty incydent szyfrowania jako potencjalny wyciek danych, a nie tylko problem dostępności.

Rozróżnienie ma znaczenie, ponieważ właściwa reakcja jest inna. Blef wymaga zignorowania i zgłoszenia wiadomości. Rzeczywista infekcja wymaga powstrzymania i odzyskania.

Co zrobić, jeśli Twój NAS został zaszyfrowany

Jeśli pliki na Twoim urządzeniu są naprawdę zablokowane, działaj spokojnie i po kolei.

  1. Odłącz NAS od sieci. Pomaga to zatrzymać dalsze szkody i odcina wszelki zdalny dostęp, który atakujący mogą jeszcze mieć.
  2. Nie polegaj na obietnicach przestępców. Zapłata nie gwarantuje odzyskania plików i nie cofa kradzieży, która już nastąpiła.
  3. Zakładaj, że dane mogły zostać skopiowane. Pomyśl, co było tam przechowywane: dokumenty osobiste, informacje o klientach, dane uwierzytelniające. Zmień hasła do kont, których dane mogły znajdować się na urządzeniu, i zastanów się, kogo może trzeba powiadomić, jeśli dane należą do klientów lub współpracowników.
  4. Przywróć z czystej kopii zapasowej. To tutaj kopie offline lub oddzielne kopie zapasowe dowodzą swojej wartości. Przed ponownym podłączeniem czegokolwiek zaktualizuj oprogramowanie NAS, aby nie przywracać danych na tę samą słabość.
  5. Szukaj profesjonalnej pomocy, jeśli dane są krytyczne dla biznesu. Specjalista ds. reagowania na incydenty może pomóc ustalić, do czego uzyskano dostęp.

Lista kontrolna zabezpieczania NAS: aktualizacje, eksponowane usługi, kopie zapasowe, kontrola dostępu

Wskazówki samego Synology, odzwierciedlone w źródłach omawiających tę kampanię, wskazują na spójny zestaw poprawek. Żadna nie wymaga specjalistycznej wiedzy.

Aktualizuj wszystko. Aktualizuj DSM, system operacyjny NAS, oraz zainstalowane pakiety. Synology apelowało do użytkowników z podatnymi wersjami o natychmiastową aktualizację. Włącz automatyczne aktualizacje, gdzie to możliwe, i nawet wtedy od czasu do czasu sprawdzaj urządzenie.

Zamknij to, czego nie potrzebujesz. Otwieraj tylko usługi, których faktycznie używasz. Każdy eksponowany port lub funkcja zdalnego dostępu to drzwi, które ktoś może próbować otworzyć. Jeśli nie potrzebujesz dostępu do NAS spoza domu lub biura, wyłącz bezpośredni dostęp do niego z internetu.

Zabezpiecz logowania. Upewnij się, że Auto Block, Account Protection i uwierzytelnianie wieloskładnikowe są włączone. Używaj unikalnych, długich haseł do kont administracyjnych i unikaj pozostawiania domyślnych lub współdzielonych danych uwierzytelniających.

Uruchamiaj wbudowane kontrole. Synology Security Advisor może rutynowo skanować urządzenie pod kątem luk i słabych ustawień. Zajmuje to kilka minut i wychwytuje rodzaj dryfu, który narasta z czasem.

Utrzymuj kopie zapasowe, do których ransomware nie dotrze. Kopia zapasowa, która znajduje się na tym samym NAS lub na udziale, do którego NAS zawsze może zapisywać, może zostać zaszyfrowana razem ze wszystkim innym. Utrzymuj co najmniej jedną kopię offline lub w inny sposób oddzieloną i testuj, czy możesz z niej przywrócić dane.

Co to oznacza dla Ciebie

Jeśli posiadasz Synology NAS, kluczowe pytanie brzmi, czy jest aktualny i jak bardzo jest eksponowany. Nieaktualne oprogramowanie w połączeniu z dostępem z internetu to kombinacja, na której opiera się ta kampania. Jeśli nie używasz NAS, ale otrzymujesz e-mail twierdzący, że ktoś ma Twoje pliki, pamiętaj, że takie wiadomości często są oszustwami, a pierwszym krokiem jest sprawdzenie, czy cokolwiek faktycznie się wydarzyło.

Dla małych biur NAS często przechowuje dane dotyczące innych osób, co zwiększa stawkę, jeśli kradzież jest możliwa. Aktualizacja i ograniczenie dostępu są tańsze niż jakiekolwiek odzyskiwanie.

Praktyczne wnioski

  • Zaktualizuj DSM i wszystkie zainstalowane pakiety już dziś i włącz automatyczne aktualizacje.
  • Zamknij porty i usługi zdalnego dostępu, których nie używasz.
  • Włącz Auto Block, Account Protection i uwierzytelnianie wieloskładnikowe.
  • Uruchom Synology Security Advisor i napraw to, co zgłosi.
  • Utrzymuj kopię zapasową offline i testuj przywracanie.
  • Jeśli otrzymasz wiadomość szantażową, najpierw sprawdź swoje pliki, zanim zareagujesz.

Audyt Twojej konfiguracji teraz to najskuteczniejsza ochrona przed ransomware C3RB3R na Synology NAS, jaką możesz wdrożyć, i zajmuje znacznie mniej czasu niż odzyskiwanie po ataku.