Циркулируют сообщения о том, что ransomware L0CK3D шифрует устройства Synology NAS, при этом жертвы замечают, что расширения их файлов были изменены. Исходная статья, руководство из блога SheMo Noransom, описывает эту активность как масштабную и предлагает рекомендации по экстренному реагированию. Доступный нам фрагмент короткий, поэтому в этом посте мы не утверждаем конкретных деталей о том, как злоумышленники проникают в систему, сколько устройств затронуто или как выглядят требования выкупа. Что мы можем сделать, так это изложить разумный контрольный список восстановления после ransomware L0CK3D на Synology NAS, построенный вокруг описанных симптомов и стандартной практики реагирования на инциденты.

Как определить, что L0CK3D поразил ваш Synology NAS

Основной заявленный симптом — изменённые расширения файлов. Документы, фотографии и резервные копии, которые раньше открывались нормально, теперь имеют незнакомый суффикс и не открываются в обычных приложениях. Другие признаки, обычно связанные с ransomware на NAS, включают:

  • Файлы, которые внезапно не удаётся просмотреть или открыть из File Station или с подключённого сетевого диска
  • Появление новой текстовой заметки или HTML-файла в общих папках
  • Необычно высокая активность диска или процессора без объяснения причин
  • Общие папки, которые выглядят нормально на NAS, но не работают с ваших компьютеров, или наоборот

Прежде чем предполагать худшее, исключите простые причины, такие как вышедший из строя диск, изменение прав доступа или сбой клиента синхронизации. Если несколько общих папок одновременно показывают изменённые расширения, считайте это заражением, пока не доказано обратное.

Первые шаги: изолируйте устройство и проверьте экспозицию

Скорость важна, но не менее важно не усугубить ситуацию. Спокойный порядок действий помогает.

1. Отключите NAS от сети. Отсоедините Ethernet-кабель и отключите Wi-Fi, если он используется. Это останавливает дальнейшее шифрование подключённых общих папок и блокирует любой удалённый доступ. По возможности избегайте жёсткого выключения питания; корректное завершение работы может сохранить полезные журналы, хотя ваш приоритет — остановить распространение.

2. Проверьте другие устройства. Если ПК или ноутбук имел NAS в качестве подключённого диска, эта машина могла быть источником или может стать следующей. Отключите её и просканируйте, прежде чем что-либо подключать обратно.

3. Задокументируйте то, что видите. Сфотографируйте экран, запишите расширение файла и сохраните любую записку о выкупе. Это поможет при последующем анализе, страховых требованиях или обращениях к властям.

4. Проанализируйте, как устройство было открыто. Спросите себя, был ли NAS доступен из интернета через проброс портов, функции удалённого доступа или веб-панель администратора. Учитывайте, использовалась ли устаревшая прошивка DSM, использовали ли административные учётные записи слабые или повторно используемые пароли и были ли активны учётные записи по умолчанию или ненужные службы. Исходный материал не указывает способ проникновения, поэтому следует предполагать, что любой из этих факторов может быть relevant, и проверить каждый из них.

5. Смените учётные данные. С чистого устройства сбросьте пароли для административной учётной записи NAS, любых общих учётных записей и всего остального, что хранилось на NAS или было доступно с него.

Варианты восстановления и почему платить — плохая ставка

Самое чистое восстановление — из резервной копии, до которой злоумышленник не смог добраться. Проверьте, есть ли у вас копия на внешнем диске, который был отключён, на отдельном NAS или в облачной резервной копии с историей версий. Перед восстановлением сотрите и пересоберите NAS с обновлённой прошивкой, чтобы не восстанавливать данные в скомпрометированную систему. Если ваши резервные копии также находились на том же устройстве или подключённой общей папке, они тоже могут быть зашифрованы — именно поэтому важен дизайн резервного копирования. Наша статья о том, почему неизменяемые резервные копии всё равно становятся жертвами ransomware, объясняет, где даже благонамеренные схемы дают сбой.

Если у вас нет чистой резервной копии, ваши варианты сужаются:

  • Ищите снапшоты. Если снапшоты Btrfs были включены и не удалены, вы можете выполнить откат. Проверьте это прежде, чем делать что-либо ещё с томом.
  • Проверьте наличие публичного дешифратора. Бесплатные инструменты иногда появляются для конкретных семейств ransomware. Проверяйте любой инструмент из надёжного источника перед запуском и работайте с копиями данных.
  • Рассмотрите профессиональную помощь. Уважаемая фирма по реагированию на инциденты или восстановлению данных может оценить, возможно ли восстановление.

Что касается оплаты, это плохая ставка. Нет гарантии, что вы получите работающий дешифратор, а оплата помечает вас как готовую цель. Исследование, цитируемое в нашем материале о том, как 64% жертв ransomware теперь отказываются платить, показывает, что отказ становится всё более нормой. Для более широкого взгляда на то, как адаптируются преступные группы, см. обзор Group-IB эволюции бизнес-модели ransomware.

Укрепление вашего NAS, чтобы он не был доступен в следующий раз

Большинство компрометаций NAS сводятся к экспозиции и халатности. Несколько изменений закрывают многие распространённые двери:

  • Уберите его из публичного интернета. Удалите проброс портов и отключите любые функции удалённого доступа, которые вам действительно не нужны. Если вам нужен удалённый доступ, используйте VPN в вашу домашнюю или офисную сеть, а не открывайте NAS напрямую.
  • Поддерживайте DSM и пакеты в актуальном состоянии. Включайте автоматические обновления безопасности, где это практично, и удаляйте приложения, которые больше не используете.
  • Заблокируйте учётные записи. Отключите учётную запись администратора по умолчанию, используйте длинные уникальные пароли и включите двухфакторную аутентификацию.
  • Используйте встроенный Security Advisor. Он может выявлять слабые пароли и рискованные настройки.
  • Включите авто-блокировку и ограничьте доступ по IP, где это подходит для вашей конфигурации.
  • Включите снапшоты и поддерживайте их на разумном графике.
  • Следуйте подходу 3-2-1. Храните три копии данных на двух типах носителей, одна из которых находится офлайн или иным образом вне досягаемости.

Что это значит для вас

Если вы используете Synology NAS дома или в малом бизнесе, воспринимайте эти сообщения как повод проверить вашу конфигурацию, а не как причину для паники. Детали кампании L0CK3D скудны в имеющемся у нас источнике, поэтому избегайте действий на основе слухов о конкретных эксплойтах. Сосредоточьтесь на том, что вы контролируете: открыт ли ваш NAS, обновлён ли он и есть ли у вас резервная копия, до которой злоумышленник не может добраться. Если вы уже пострадали, сначала изолируйте устройство, затем пройдите процесс восстановления, не отправляя деньги преступникам.

Ключевые выводы

Восстановление после ransomware L0CK3D на Synology NAS гораздо проще, когда вы готовитесь до атаки. Сегодня войдите в свой NAS и посмотрите, что открыто в интернет, убедитесь, что прошивка актуальна, и проверьте, что вы действительно можете восстановить файл из резервной копии. Затем изучите материалы о неизменяемых резервных копиях и тенденции отказа жертв от оплаты, чтобы сформировать план, который вам не придётся импровизировать под давлением.