Circulam relatos de que o ransomware L0CK3D está criptografando dispositivos NAS Synology, com vítimas notando que as extensões de seus arquivos foram alteradas. O artigo de origem, um guia do blog SheMo Noransom, descreve a atividade como de grande escala e oferece orientações de resposta de emergência. O trecho de que dispomos é curto, portanto este post não afirma detalhes sobre como os atacantes entram, quantos dispositivos foram afetados ou como são as exigências de resgate. O que podemos fazer é apresentar uma lista de verificação sensata para recuperação de ransomware L0CK3D em NAS Synology, baseada nos sintomas descritos e nas práticas padrão de resposta a incidentes.

Como saber se o L0CK3D atingiu seu NAS Synology

O principal sintoma relatado é a alteração das extensões de arquivos. Documentos, fotos e backups que antes abriam normalmente agora carregam um sufixo desconhecido e não abrem em seus aplicativos usuais. Outros sinais comumente associados a ransomware em um NAS incluem:

  • Arquivos que de repente não podem ser visualizados ou abertos pelo File Station ou por uma unidade mapeada
  • Uma nova nota de texto ou HTML aparecendo em pastas compartilhadas
  • Atividade de disco ou CPU anormalmente alta sem explicação
  • Compartilhamentos que parecem normais no NAS, mas quebrados nos seus computadores, ou o contrário

Antes de assumir o pior, descarte causas simples, como um disco com falha, uma alteração de permissões ou um cliente de sincronização com problema. Se várias pastas compartilhadas mostrarem as extensões alteradas ao mesmo tempo, trate como infecção até que se prove o contrário.

Primeiros passos: isole o dispositivo e verifique a exposição

A velocidade importa, mas não piorar as coisas também importa. Uma ordem calma de operações ajuda.

1. Desconecte o NAS da rede. Desplugue o cabo Ethernet e desative o Wi-Fi, se aplicável. Isso interrompe a criptografia adicional dos compartilhamentos conectados e corta qualquer acesso remoto. Evite um desligamento forçado se puder; desligar de forma limpa pode preservar logs úteis, embora sua prioridade seja impedir a propagação.

2. Verifique seus outros dispositivos. Se um PC ou notebook tinha o NAS montado como unidade, essa máquina pode ser a fonte, ou pode ser a próxima. Desconecte-a e faça uma varredura antes de reconectar qualquer coisa.

3. Documente o que você vê. Fotografe a tela, anote a extensão do arquivo e salve qualquer nota de resgate. Isso ajuda em análises posteriores, sinistros de seguro ou relatos às autoridades.

4. Revise como o dispositivo estava exposto. Pergunte a si mesmo se o NAS era acessível pela internet por meio de encaminhamento de portas, recursos de acesso remoto ou um painel de administração web. Considere se você estava executando firmware DSM desatualizado, se as contas de administrador usavam senhas fracas ou reutilizadas e se contas padrão ou serviços desnecessários ainda estavam ativos. O material de origem não especifica o método de entrada, então você deve assumir que qualquer um destes pode ser relevante e verificar cada um.

5. Altere as credenciais. A partir de um dispositivo limpo, redefina as senhas da conta de administrador do NAS, de quaisquer contas compartilhadas e de qualquer outra coisa que estivesse armazenada ou acessível no NAS.

Opções de recuperação e por que pagar é uma aposta ruim

A recuperação mais limpa é a partir de um backup que o atacante não conseguiu alcançar. Verifique se você tem uma cópia em um disco externo que estava desconectado, em um NAS separado ou em um backup em nuvem com histórico de versões. Antes de restaurar, apague e reconstrua o NAS com firmware atualizado, para não restaurar em um sistema comprometido. Se seus backups também estavam no mesmo dispositivo ou em um compartilhamento montado, eles podem estar criptografados também, e é por isso que o design do seu backup importa. Nosso artigo sobre por que backups imutáveis ainda são atingidos por ransomware explica onde até configurações bem-intencionadas falham.

Se você não tem um backup limpo, suas opções se estreitam:

  • Procure por snapshots. Se os snapshots Btrfs estavam habilitados e não foram excluídos, você pode conseguir reverter. Verifique isso antes de fazer qualquer outra coisa no volume.
  • Verifique se há um descriptografador público. Ferramentas gratuitas às vezes aparecem para famílias específicas de ransomware. Verifique qualquer ferramenta de uma fonte confiável antes de executá-la e trabalhe em cópias dos dados.
  • Considere ajuda profissional. Uma empresa respeitável de resposta a incidentes ou recuperação de dados pode avaliar se a recuperação é viável.

Quanto a pagar, é uma aposta ruim. Não há garantia de que você receberá um descriptografador funcional, e o pagamento marca você como um alvo disposto. Pesquisas citadas em nossa cobertura sobre como 64% das vítimas de ransomware agora se recusam a pagar sugerem que recusar é cada vez mais a norma. Para uma visão mais ampla de como grupos criminosos se adaptam, veja a análise da Group-IB sobre o modelo de negócios em evolução do ransomware.

Fortalecendo seu NAS para que não seja alcançável na próxima vez

A maioria dos comprometimentos de NAS se resume a exposição e negligência. Algumas mudanças fecham muitas das portas comuns:

  • Tire-o da internet pública. Remova os encaminhamentos de portas e desative qualquer recurso de acesso remoto que você realmente não precise. Se precisar de acesso remoto, use uma VPN para sua rede doméstica ou do escritório em vez de expor o NAS diretamente.
  • Mantenha o DSM e os pacotes atualizados. Habilite atualizações de segurança automáticas quando possível e remova aplicativos que você não usa mais.
  • Proteja as contas. Desative a conta de administrador padrão, use senhas longas e exclusivas e ative a autenticação de dois fatores.
  • Use o Security Advisor integrado. Ele pode sinalizar senhas fracas e configurações de risco.
  • Habilite o bloqueio automático e restrinja o acesso por IP quando isso se adequar à sua configuração.
  • Ative os snapshots e mantenha-os em uma programação sensata.
  • Siga a abordagem 3-2-1. Mantenha três cópias dos dados, em dois tipos de mídia, com uma offline ou de outra forma fora de alcance.

O que isso significa para você

Se você administra um NAS Synology em casa ou em uma pequena empresa, trate esses relatos como um incentivo para verificar sua configuração, não como motivo para pânico. Os detalhes da campanha L0CK3D são escassos na fonte que temos, então evite agir com base em rumores sobre exploits específicos. Concentre-se no que você controla: se seu NAS está exposto, se está corrigido e se você tem um backup que o atacante não consegue tocar. Se você já foi afetado, isole o dispositivo primeiro e depois trabalhe na recuperação sem enviar dinheiro a criminosos.

Principais conclusões

A recuperação de ransomware L0CK3D em NAS Synology é muito mais fácil quando você se prepara antes de um ataque. Hoje, faça login no seu NAS e veja o que está exposto à internet, confirme se seu firmware está atualizado e teste se você realmente consegue restaurar um arquivo a partir do backup. Depois, leia sobre backups imutáveis e a tendência de vítimas que se recusam a pagar para moldar um plano que você não precise improvisar sob pressão.