Кампания по распространению программы-вымогателя под названием C3RB3R нацелена на устройства сетевого хранения данных (NAS) Synology, и картина знакома: шифруются файлы на устройствах с устаревшим программным обеспечением. Если вы храните на устройстве Synology семейные фотографии, деловые документы или резервные копии, защита Synology NAS от программы-вымогателя C3RB3R сводится к короткому списку привычек, которые можно начать применять уже сегодня.
В этой статье рассказывается, как работает атака, как отличить реальный инцидент от блефа и что с этим делать.
Как работает атака C3RB3R на Synology NAS
Согласно отчёту Kaspersky, программа-вымогатель C3RB3R атакует устройства Synology NAS под управлением устаревших операционных систем и шифрует хранящиеся на них файлы. В некоторых публикациях сообщества и обзорах по безопасности та же активность упоминается как LOCK3D или L0CK3D, поэтому при изучении вопроса вы можете встретить несколько вариантов написания.
NAS — привлекательная цель по простой причине: именно там люди сосредотачивают свои данные. Документы, фотографии, общие папки проектов и зачастую резервные копии — всё находится в одном месте, и устройство часто доступно из интернета для удалённого доступа. Когда программное обеспечение на этом устройстве отстаёт с обновлениями, у злоумышленников появляется больше возможностей для действий.
Давление не ограничивается шифрованием. Если жертва отказывается платить, преступники угрожают предать украденные данные огласке. Они могут связываться с жертвами по электронной почте или через социальные сети с этими требованиями.
Реальное шифрование или мошенничество с вымогательством: как отличить
Не каждое угрожающее сообщение означает, что вас взломали. Kaspersky отмечает, что подобные угрозы зачастую не более чем мошенничество — схема, которую компания отдельно разбирала в своей публикации о том, как мошенники используют электронную почту для шантажа и вымогательства. Массовые рассылки с требованиями, якобы касающимися ваших данных, распространены, и многие из них — блеф, отправленный тысячам людей без какого-либо реального доступа.
Лучшее доказательство — само устройство NAS. Несколько практических проверок:
- Посмотрите на свои файлы. Если документы недоступны, переименованы или сопровождаются запиской о выкупе на устройстве, скорее всего, вы имеете дело с реальным событием шифрования. Если всё открывается нормально, одно лишь письмо, вероятно, пустая угроза.
- Проверяйте устройство, а не сообщение. Войдите в интерфейс DSM напрямую (не по ссылке из письма) и проверьте, что происходит в системе.
- Будьте честны насчёт риска. Kaspersky прямо указывает, что если ваш NAS действительно был зашифрован, нельзя исключать кражу данных. Относитесь к реальному инциденту шифрования как к потенциальной утечке данных, а не только как к проблеме доступности.
Это различие важно, потому что правильная реакция различается. Блеф требует игнорирования и сообщения о сообщении. Настоящее заражение требует локализации и восстановления.
Что делать, если ваш NAS зашифрован
Если файлы на вашем устройстве действительно заблокированы, действуйте спокойно и по порядку.
- Отключите NAS от сети. Это поможет остановить дальнейший ущерб и перекроет любой удалённый доступ, который у злоумышленников ещё может быть.
- Не полагайтесь на обещания преступников. Оплата не гарантирует возврат файлов и не отменяет кражу, которая уже произошла.
- Исходите из того, что данные могли быть скопированы. Подумайте, что там хранилось: личные документы, информация о клиентах, учётные данные. Смените пароли для аккаунтов, чьи данные могли храниться на устройстве, и подумайте, кого нужно уведомить, если данные принадлежат клиентам или коллегам.
- Восстановите из чистой резервной копии. Именно здесь офлайн-копии или отдельные резервные копии доказывают свою ценность. Прежде чем что-либо подключать обратно, обновите программное обеспечение NAS, чтобы не восстанавливать данные на ту же уязвимость.
- Обратитесь за профессиональной помощью, если данные критичны для бизнеса. Специалист по реагированию на инциденты поможет определить, к чему был получен доступ.
Чек-лист по укреплению NAS: обновления, открытые сервисы, резервные копии, контроль доступа
Собственные рекомендации Synology, отражённые в источниках, освещающих эту кампанию, указывают на последовательный набор исправлений. Ни одно из них не требует специальных знаний.
Обновляйте всё. Обновляйте DSM — операционную систему NAS — и установленные пакеты. Synology призывала пользователей с уязвимыми версиями обновиться немедленно. Включайте автоматические обновления, где это возможно, и даже тогда периодически проверяйте устройство.
Закройте то, что вам не нужно. Открывайте только те сервисы, которые вы действительно используете. Каждый открытый порт или функция удалённого доступа — это дверь, в которую кто-то может попробовать войти. Если вам не нужен доступ к NAS извне дома или офиса, отключите прямой доступ к нему из интернета.
Защитите входы. Убедитесь, что включены Auto Block, Account Protection и многофакторная аутентификация. Используйте уникальные длинные пароли для администраторских аккаунтов и избегайте оставления учётных данных по умолчанию или общих учётных данных.
Запускайте встроенные проверки. Synology Security Advisor может регулярно сканировать устройство на предмет уязвимостей и слабых настроек. Это занимает минуты и выявляет тот вид drift'а, который накапливается со временем.
Держите резервные копии, недоступные для программы-вымогателя. Резервная копия, которая находится на том же NAS или на общем ресурсе, куда NAS всегда может писать, может быть зашифрована вместе со всем остальным. Держите как минимум одну копию офлайн или иным образом отделённой и проверяйте, что из неё можно восстановить данные.
Что это значит для вас
Если у вас есть Synology NAS, ключевой вопрос — актуально ли его программное обеспечение и насколько он открыт. Устаревшее программное обеспечение плюс доступ из интернета — это комбинация, вокруг которой построена данная кампания. Если у вас нет NAS, но вы получили письмо с утверждением, что у кого-то есть ваши файлы, помните, что такие сообщения часто являются мошенничеством, и первый шаг — проверить, произошло ли что-то на самом деле.
Для небольших офисов NAS часто хранит данные о других людях, что повышает ставки, если возможна кража. Обновление и ограничение доступа дешевле любого восстановления.
Практические выводы
- Обновите DSM и все установленные пакеты сегодня и включите автоматические обновления.
- Закройте порты и сервисы удалённого доступа, которые вы не используете.
- Включите Auto Block, Account Protection и многофакторную аутентификацию.
- Запустите Synology Security Advisor и исправьте то, на что он укажет.
- Держите офлайн-резервную копию и проверяйте восстановление.
- Если приходит сообщение с шантажом, сначала проверьте свои файлы, прежде чем реагировать.
Проверка вашей конфигурации прямо сейчас — это наиболее эффективная защита Synology NAS от программы-вымогателя C3RB3R, которую можно внедрить, и она занимает гораздо меньше времени, чем восстановление после атаки.
