Krążą doniesienia o ransomware L0CK3D szyfrującym urządzenia Synology NAS, a ofiary zauważają, że rozszerzenia ich plików zostały zmienione. Artykuł źródłowy, poradnik z bloga SheMo Noransom, opisuje tę aktywność jako zakrojoną na szeroką skalę i oferuje porady dotyczące reagowania kryzysowego. Udostępniony nam fragment jest krótki, więc ten wpis nie twierdzi, że zna szczegóły dotyczące tego, jak napastnicy wchodzą do systemu, ile urządzeń jest dotkniętych ani jak wyglądają żądania okupu. Możemy natomiast przedstawić rozsądną listę kontrolną odzyskiwania po ransomware L0CK3D na Synology NAS, opartą na opisanych objawach i standardowych praktykach reagowania na incydenty.

Jak rozpoznać, czy L0CK3D zaatakował Twój Synology NAS

Głównym zgłaszanym objawem są zmienione rozszerzenia plików. Dokumenty, zdjęcia i kopie zapasowe, które wcześniej otwierały się normalnie, mają teraz nieznany sufiks i nie otwierają się w swoich zwykłych aplikacjach. Inne oznaki powszechnie kojarzone z ransomware na NAS obejmują:

  • Pliki, których nagle nie można wyświetlić podglądu ani otworzyć z File Station lub zmapowanego dysku
  • Nowa notatka tekstowa lub HTML pojawiająca się w folderach udostępnionych
  • Nietypowo wysoka aktywność dysku lub procesora bez wyjaśnienia
  • Udziały, które wyglądają dobrze na NAS, ale są zepsute z poziomu komputerów, lub odwrotnie

Zanim założysz najgorsze, wyklucz proste przyczyny, takie jak awaria dysku, zmiana uprawnień czy błędnie działający klient synchronizacji. Jeśli kilka folderów udostępnionych jednocześnie pokazuje zmienione rozszerzenia, traktuj to jako infekcję, dopóki nie zostanie udowodnione inaczej.

Pierwsze kroki: odizoluj urządzenie i sprawdź ekspozycję

Szybkość ma znaczenie, ale równie ważne jest, aby nie pogorszyć sytuacji. Spokojna kolejność działań pomaga.

1. Odłącz NAS od sieci. Odłącz kabel Ethernet i wyłącz Wi-Fi, jeśli dotyczy. To zatrzymuje dalsze szyfrowanie podłączonych udziałów i odcina wszelki zdalny dostęp. Unikaj twardego wyłączenia zasilania, jeśli możesz tego uniknąć; czyste zamknięcie może zachować przydatne logi, choć priorytetem jest zatrzymanie rozprzestrzeniania się.

2. Sprawdź swoje pozostałe urządzenia. Jeśli komputer PC lub laptop miał zamontowany NAS jako dysk, ta maszyna może być źródłem lub może być następna. Odłącz ją i przeskanuj, zanim cokolwiek ponownie podłączysz.

3. Udokumentuj to, co widzisz. Zrób zdjęcie ekranu, zanotuj rozszerzenie pliku i zapisz wszelkie notatki z żądaniem okupu. Pomaga to w późniejszej analizie, roszczeniach ubezpieczeniowych lub zgłoszeniach do organów.

4. Przeanalizuj, jak urządzenie było eksponowane. Zadaj sobie pytanie, czy NAS był osiągalny z internetu przez przekierowanie portów, funkcje zdalnego dostępu lub panel administracyjny WWW. Zastanów się, czy używałeś nieaktualnego oprogramowania sprzętowego DSM, czy konta administratora używały słabych lub wielokrotnie używanych haseł oraz czy domyślne konta lub niepotrzebne usługi były nadal aktywne. Materiał źródłowy nie określa metody wejścia, więc powinieneś założyć, że każdy z tych czynników może być istotny, i sprawdzić każdy z nich.

5. Zmień dane uwierzytelniające. Z czystego urządzenia zresetuj hasła do konta administratora NAS, wszelkich kont współdzielonych i wszystkiego innego, co było przechowywane na NAS lub dostępne z NAS.

Opcje odzyskiwania i dlaczego płacenie to zły zakład

Najczystsze odzyskiwanie odbywa się z kopii zapasowej, do której napastnik nie mógł dotrzeć. Sprawdź, czy masz kopię na dysku zewnętrznym, który był odłączony, na osobnym NAS lub w kopii zapasowej w chmurze z historią wersji. Przed przywróceniem wyczyść i odbuduj NAS z zaktualizowanym oprogramowaniem sprzętowym, aby nie przywracać do zainfekowanego systemu. Jeśli Twoje kopie zapasowe były również na tym samym urządzeniu lub zamontowanym udziale, mogą być także zaszyfrowane — dlatego tak ważny jest projekt Twojej kopii zapasowej. Nasz artykuł o tym, dlaczego niezmienne kopie zapasowe wciąż padają ofiarą ransomware wyjaśnia, gdzie nawet dobrze zaplanowane konfiguracje zawodzą.

Jeśli nie masz czystej kopii zapasowej, Twoje opcje się zawężają:

  • Poszukaj migawek. Jeśli migawki Btrfs były włączone i nie zostały usunięte, możesz być w stanie przywrócić poprzedni stan. Sprawdź to, zanim zrobisz cokolwiek innego z wolumenem.
  • Sprawdź, czy istnieje publiczny deszyfrator. Czasami pojawiają się darmowe narzędzia dla konkretnych rodzin ransomware. Zweryfikuj każde narzędzie z renomowanego źródła przed uruchomieniem i pracuj na kopiach danych.
  • Rozważ profesjonalną pomoc. Renomowana firma zajmująca się reagowaniem na incydenty lub odzyskiwaniem danych może ocenić, czy odzyskanie jest wykonalne.

Co do płacenia — to zły zakład. Nie ma gwarancji, że otrzymasz działający deszyfrator, a płatność oznacza Cię jako chętny cel. Badania cytowane w naszym materiale o tym, jak 64% ofiar ransomware odmawia teraz płacenia, sugerują, że odmowa staje się normą. Aby uzyskać szerszy obraz tego, jak grupy przestępcze się dostosowują, zobacz analizę Group-IB dotyczącą ewolucji modelu biznesowego ransomware.

Zabezpieczanie NAS, aby nie był osiągalny następnym razem

Większość kompromitacji NAS sprowadza się do ekspozycji i zaniedbania. Kilka zmian zamyka wiele typowych drzwi:

  • Usuń go z publicznego internetu. Usuń przekierowania portów i wyłącz wszelkie funkcje zdalnego dostępu, których naprawdę nie potrzebujesz. Jeśli potrzebujesz zdalnego dostępu, używaj VPN do swojej sieci domowej lub biurowej, zamiast wystawiać NAS bezpośrednio.
  • Utrzymuj DSM i pakiety w aktualnej wersji. Włącz automatyczne aktualizacje zabezpieczeń, gdzie to praktyczne, i usuwaj aplikacje, których już nie używasz.
  • Zabezpiecz konta. Wyłącz domyślne konto administratora, używaj długich unikalnych haseł i włącz uwierzytelnianie dwuskładnikowe.
  • Korzystaj z wbudowanego doradcy bezpieczeństwa. Może on oznaczyć słabe hasła i ryzykowne ustawienia.
  • Włącz automatyczne blokowanie i ogranicz dostęp według adresu IP, jeśli pasuje to do Twojej konfiguracji.
  • Włącz migawki i utrzymuj je według rozsądnego harmonogramu.
  • Stosuj podejście 3-2-1. Przechowuj trzy kopie danych, na dwóch rodzajach nośników, z jedną offline lub w inny sposób poza zasięgiem.

Co to oznacza dla Ciebie

Jeśli używasz Synology NAS w domu lub w małej firmie, potraktuj te doniesienia jako bodziec do sprawdzenia swojej konfiguracji, a nie jako powód do paniki. Szczegóły kampanii L0CK3D są skąpe w posiadanym przez nas źródle, więc unikaj działania na podstawie plotek o konkretnych exploitach. Skup się na tym, co kontrolujesz: czy Twój NAS jest eksponowany, czy jest załatany i czy masz kopię zapasową, której napastnik nie może dosięgnąć. Jeśli już jesteś dotknięty, najpierw odizoluj urządzenie, a następnie przeprowadź odzyskiwanie bez wysyłania pieniędzy przestępcom.

Najważniejsze wnioski

Odzyskiwanie po ransomware L0CK3D na Synology NAS jest znacznie łatwiejsze, gdy przygotujesz się przed atakiem. Dziś zaloguj się do swojego NAS i sprawdź, co jest eksponowane do internetu, potwierdź, że oprogramowanie sprzętowe jest aktualne, i przetestuj, czy rzeczywiście możesz przywrócić plik z kopii zapasowej. Następnie przeczytaj o niezmiennych kopiach zapasowych i trendzie ofiar odmawiających płacenia, aby ukształtować plan, którego nie będziesz musiał improwizować pod presją.