O campanie de ransomware numită C3RB3R vizează dispozitivele Synology network-attached storage (NAS), iar tiparul este familiar: dispozitivele care rulează software de operare învechit sunt cele ale căror fișiere sunt criptate. Dacă păstrați fotografii de familie, documente de afaceri sau backup-uri pe un dispozitiv Synology, protecția împotriva ransomware-ului C3RB3R pentru Synology NAS se rezumă la o listă scurtă de obiceiuri pe care le puteți începe chiar de astăzi.
Acest articol parcurge modul în care funcționează atacul, cum să distingeți un incident real de o amenințare deșartă și ce să faceți în privința lui.
Cum funcționează atacul C3RB3R asupra Synology NAS
Conform raportării Kaspersky, ransomware-ul C3RB3R atacă dispozitivele Synology NAS care rulează sisteme de operare învechite și criptează fișierele stocate pe acestea. Unele materiale din comunitate și din domeniul securității se referă la aceeași activitate ca LOCK3D sau L0CK3D, așa că este posibil să întâlniți mai multe grafii în timpul documentării.
Un NAS este o țintă atractivă dintr-un motiv simplu: acolo își concentrează oamenii datele. Documentele, fotografiile, folderele de proiect partajate și adesea backup-urile se află toate într-un singur loc, iar dispozitivul este frecvent accesibil din internet pentru acces la distanță. Când software-ul de pe acel dispozitiv rămâne în urmă cu actualizările, atacatorii au mai mult spațiu de manevră.
Presiunea nu se oprește la criptare. Dacă victima refuză să plătească, infractorii amenință că vor face publice datele furate. Aceștia pot contacta victimele prin e-mail sau prin rețelele sociale cu aceste cereri.
Criptare reală sau escrocherie de extorcare: cum să vă dați seama
Nu orice mesaj amenințător înseamnă că ați fost hacked. Kaspersky notează că astfel de amenințări nu sunt adesea nimic mai mult decât o escrocherie, un tipar pe care l-a abordat separat în articolul său despre modul în care escrocii folosesc e-mailul pentru șantaj și extorcare. Cererile trimise în masă care pretind că dețin datele dumneavoastră sunt comune, iar multe sunt amenințări deșarte trimise la mii de persoane fără niciun acces real.
NAS-ul în sine este cea mai bună dovadă. Câteva verificări practice:
- Uitați-vă la fișierele dumneavoastră. Dacă documentele sunt inaccesibile, redenumite sau însoțite de o notă de răscumpărare pe dispozitiv, probabil aveți de-a face cu un eveniment real de criptare. Dacă totul se deschide normal, un e-mail singur este probabil o amenințare deșartă.
- Verificați dispozitivul, nu mesajul. Conectați-vă direct la interfața DSM (nu printr-un link dintr-un e-mail) și examinați ce se întâmplă pe sistem.
- Fiți sinceri cu privire la risc. Kaspersky este clar că, dacă NAS-ul dumneavoastră a fost efectiv criptat, nu puteți exclude furtul de date. Tratați un incident real de criptare ca pe o potențială expunere de date, nu doar ca pe o problemă de disponibilitate.
Distincția contează pentru că răspunsul corect diferă. O amenințare deșartă necesită ignorarea și raportarea mesajului. O infecție reală necesită izolare și recuperare.
Ce să faceți dacă NAS-ul dumneavoastră este criptat
Dacă fișierele de pe dispozitivul dumneavoastră sunt într-adevăr blocate, acționați calm și în ordine.
- Deconectați NAS-ul de la rețea. Acest lucru ajută la oprirea daunelor suplimentare și întrerupe orice acces la distanță pe care atacatorii l-ar putea avea încă.
- Nu vă bazați pe promisiunile infractorilor. Plata nu garantează că fișierele dumneavoastră vor fi recuperate și nu anulează niciun furt care a avut deja loc.
- Presupuneți că datele ar fi putut fi copiate. Gândiți-vă la ce era stocat acolo: documente personale, informații despre clienți, credențiale. Schimbați parolele pentru conturile ale căror detalii ar fi putut fi păstrate pe dispozitiv și luați în considerare cine ar putea trebui notificat dacă datele aparțin clienților sau colegilor.
- Restaurați dintr-un backup curat. Aici backup-urile offline sau separate își dovedesc valoarea. Înainte de a reconecta orice, actualizați software-ul NAS-ului pentru a nu restaura pe aceeași vulnerabilitate.
- Căutați ajutor profesional dacă datele sunt critice pentru afacere. Un specialist în răspuns la incidente poate ajuta la determinarea a ceea ce a fost accesat.
Listă de verificare pentru securizarea NAS-ului: actualizări, servicii expuse, backup-uri, controale de acces
Îndrumările Synology, astfel cum sunt reflectate în sursele care analizează această campanie, indică un set consistent de remedieri. Niciuna nu necesită expertiză specială.
Actualizați totul. Actualizați DSM, sistemul de operare al NAS-ului, și pachetele instalate. Synology a îndemnat utilizatorii care rulează versiuni vulnerabile să actualizeze imediat. Activați actualizările automate acolo unde puteți și verificați dispozitivul ocazional chiar și atunci.
Închideți ce nu aveți nevoie. Deschideți doar serviciile pe care le folosiți efectiv. Fiecare port expus sau funcție de acces la distanță este o ușă pe care cineva o poate încerca. Dacă nu aveți nevoie să accesați NAS-ul din afara casei sau biroului, dezactivați accesul direct la internet către acesta.
Blocați autentificările. Asigurați-vă că Auto Block, Account Protection și autentificarea multi-factor sunt activate. Folosiți parole unice și lungi pentru conturile de administrator și evitați să lăsați credențiale implicite sau partajate în uz.
Rulați verificările încorporate. Synology Security Advisor poate scana periodic dispozitivul pentru vulnerabilități și setări slabe. Durează câteva minute și prinde genul de derivă care se acumulează în timp.
Păstrați backup-uri pe care ransomware-ul nu le poate atinge. Un backup care se află pe același NAS sau pe o partajare în care NAS-ul poate scrie mereu poate fi criptat împreună cu restul. Păstrați cel puțin o copie offline sau separat și testați că puteți restaura din ea.
Ce înseamnă acest lucru pentru dumneavoastră
Dacă dețineți un Synology NAS, întrebarea cheie este dacă este la zi și cât de expus este. Software învechit plus acces expus la internet este combinația pe care se bazează această campanie. Dacă nu folosiți un NAS dar primiți un e-mail care susține că cineva are fișierele dumneavoastră, amintiți-vă că astfel de mesaje sunt frecvent escrocherii, iar primul pas este să verificați dacă ceva s-a întâmplat efectiv.
Pentru birourile mici, un NAS deține adesea date despre alte persoane, ceea ce crește miza dacă furtul este posibil. Actualizarea și limitarea accesului sunt mai ieftine decât orice recuperare.
Concluzii acționabile
- Actualizați DSM și toate pachetele instalate astăzi și activați actualizările automate.
- Închideți porturile și serviciile de acces la distanță pe care nu le folosiți.
- Activați Auto Block, Account Protection și autentificarea multi-factor.
- Rulați Synology Security Advisor și remediați ce semnalează.
- Păstrați un backup offline și testați o restaurare.
- Dacă primiți un mesaj de șantaj, verificați mai întâi fișierele înainte de a reacționa.
Auditarea configurației dumneavoastră acum este cea mai eficientă protecție împotriva ransomware-ului C3RB3R pentru Synology NAS pe care o puteți implementa și durează mult mai puțin decât recuperarea după un atac.
