Circulă rapoarte despre ransomware-ul L0CK3D care criptează dispozitive NAS Synology, victimele observând că extensiile fișierelor le-au fost modificate. Articolul sursă, un ghid de pe blogul SheMo Noransom, descrie activitatea ca fiind de amploare și oferă sfaturi de răspuns în situații de urgență. Fragmentul disponibil pentru noi este scurt, astfel încât această postare nu pretinde detalii despre modul în care intră atacatorii, câte dispozitive sunt afectate sau cum arată cererile de răscumpărare. Ce putem face este să prezentăm o listă de verificare rezonabilă pentru recuperarea de la ransomware-ul L0CK3D pe NAS Synology, construită în jurul simptomelor descrise și al practicii standard de răspuns la incidente.

Cum să-ți dai seama dacă L0CK3D a lovit NAS-ul tău Synology

Principalul simptom raportat este modificarea extensiilor fișierelor. Documentele, fotografiile și backup-urile care se deschideau în mod normal acum poartă un sufix necunoscut și nu se vor deschide în aplicațiile lor obișnuite. Alte semne asociate frecvent cu ransomware-ul pe un NAS includ:

  • Fișiere care brusc nu mai pot fi previzualizate sau deschise din File Station sau dintr-un drive mapat
  • O notă nouă în format text sau HTML care apare în folderele partajate
  • Activitate neobișnuit de mare a discului sau a CPU-ului fără nicio explicație
  • Partajări care arată bine pe NAS, dar sunt defecte de pe calculatoarele tale, sau invers

Înainte de a presupune ce e mai rău, exclude cauze simple precum un disc defect, o modificare a permisiunilor sau un client de sincronizare care a funcționat greșit. Dacă mai multe foldere partajate prezintă simultan extensiile modificate, tratează situația ca pe o infecție până la proba contrarie.

Primii pași: izolează dispozitivul și verifică expunerea

Viteza contează, dar la fel de important este să nu înrăutățești lucrurile. O ordine calmă a operațiunilor ajută.

1. Deconectează NAS-ul de la rețea. Scoate cablul Ethernet și dezactivează Wi-Fi dacă este cazul. Acest lucru oprește criptarea ulterioară a partajărilor conectate și întrerupe orice acces la distanță. Evită o oprire forțată dacă poți; o oprire curată poate păstra jurnale utile, deși prioritatea ta este să oprești răspândirea.

2. Verifică-ți celelalte dispozitive. Dacă un PC sau laptop avea NAS-ul montat ca drive, acea mașină ar putea fi sursa sau ar putea fi următoarea. Deconecteaz-o și scaneaz-o înainte de a reconecta ceva.

3. Documentează ce vezi. Fotografiază ecranul, notează extensia fișierului și salvează orice notă de răscumpărare. Acest lucru ajută la analiza ulterioară, la cererile de asigurare sau la raportările către autorități.

4. Analizează modul în care a fost expus dispozitivul. Întreabă-te dacă NAS-ul era accesibil din internet prin port forwarding, funcții de acces la distanță sau un panou de administrare web. Ia în considerare dacă rulai firmware DSM învechit, dacă conturile de administrator foloseau parole slabe sau reutilizate și dacă conturile implicite sau serviciile inutile erau încă active. Materialul sursă nu specifică metoda de intrare, așa că ar trebui să presupui că oricare dintre acestea ar putea fi relevantă și să le verifici pe fiecare.

5. Schimbă credențialele. De pe un dispozitiv curat, resetează parolele pentru contul de administrator al NAS-ului, pentru orice conturi partajate și pentru orice altceva care era stocat pe NAS sau accesibil de pe acesta.

Opțiuni de recuperare și de ce plata este un pariu prost

Cea mai curată recuperare este dintr-un backup pe care atacatorul nu l-a putut accesa. Verifică dacă ai o copie pe un disc extern care a fost deconectat, pe un NAS separat sau într-un backup în cloud cu istoric de versiuni. Înainte de a restaura, șterge și reconstruiește NAS-ul cu firmware actualizat, pentru a nu restaura într-un sistem compromis. Dacă backup-urile tale erau și ele pe același dispozitiv sau pe o partajare montată, este posibil să fie și ele criptate, motiv pentru care designul backup-ului tău contează. Articolul nostru despre de ce backup-urile imuabile sunt totuși lovite de ransomware explică unde eșuează chiar și configurațiile bine intenționate.

Dacă nu ai niciun backup curat, opțiunile tale se îngustează:

  • Caută snapshot-uri. Dacă snapshot-urile Btrfs erau activate și nu au fost șterse, s-ar putea să poți face rollback. Verifică acest lucru înainte de a face orice altceva cu volumul.
  • Verifică dacă există un decryptor public. Uneori apar instrumente gratuite pentru anumite familii de ransomware. Verifică orice instrument dintr-o sursă de încredere înainte de a-l rula și lucrează pe copii ale datelor.
  • Ia în considerare ajutorul profesional. O firmă reputată de răspuns la incidente sau de recuperare a datelor poate evalua dacă recuperarea este fezabilă.

Cât despre plată, este un pariu prost. Nu există nicio garanție că vei primi un decryptor funcțional, iar plata te marchează ca o țintă dispusă să plătească. Cercetările citate în materialul nostru despre cum 64% dintre victimele ransomware-ului refuză acum să plătească sugerează că refuzul este din ce în ce mai mult norma. Pentru o perspectivă mai amplă asupra modului în care se adaptează grupurile criminale, vezi analiza Group-IB asupra modelului de afaceri în evoluție al ransomware-ului.

Consolidarea securității NAS-ului pentru a nu fi accesibil data viitoare

Majoritatea compromiterilor NAS se rezumă la expunere și neglijență. Câteva modificări închid multe dintre ușile obișnuite:

  • Scoate-l de pe internetul public. Elimină port forwarding-ul și dezactivează orice funcție de acces la distanță de care nu ai cu adevărat nevoie. Dacă ai nevoie de acces la distanță, folosește un VPN către rețeaua ta de acasă sau de birou, în loc să expui NAS-ul direct.
  • Menține DSM și pachetele actualizate. Activează actualizările automate de securitate acolo unde este practic și elimină aplicațiile pe care nu le mai folosești.
  • Securizează conturile. Dezactivează contul de administrator implicit, folosește parole lungi și unice și activează autentificarea cu doi factori.
  • Folosește Security Advisor-ul integrat. Acesta poate semnala parole slabe și setări riscante.
  • Activează blocarea automată și restricționează accesul după IP acolo unde se potrivește configurației tale.
  • Activează snapshot-urile și păstrează-le conform unui program rezonabil.
  • Urmează abordarea 3-2-1. Păstrează trei copii ale datelor, pe două tipuri de medii, cu una offline sau altfel inaccesibilă.

Ce înseamnă acest lucru pentru tine

Dacă administrezi un NAS Synology acasă sau într-o afacere mică, tratează aceste rapoarte ca pe un impuls de a-ți verifica configurația, nu ca pe un motiv de panică. Detaliile campaniei L0CK3D sunt puține în sursa pe care o avem, așa că evită să acționezi pe baza zvonurilor despre exploit-uri specifice. Concentrează-te pe ceea ce controlezi: dacă NAS-ul tău este expus, dacă este actualizat și dacă ai un backup pe care atacatorul nu îl poate atinge. Dacă ești deja afectat, izolează mai întâi dispozitivul, apoi parcurge recuperarea fără a trimite bani criminalilor.

Concluzii cheie

Recuperarea de la ransomware-ul L0CK3D pe NAS Synology este mult mai ușoară atunci când te pregătești înainte de un atac. Astăzi, autentifică-te pe NAS-ul tău și verifică ce este expus către internet, confirmă că firmware-ul este la zi și testează dacă poți restaura efectiv un fișier din backup. Apoi informează-te despre backup-urile imuabile și despre tendința victimelor de a refuza plata pentru a contura un plan pe care nu va trebui să-l improvizezi sub presiune.