En ransomware-kampanj som kallas C3RB3R riktar sig mot Synology-enheter för nätverksansluten lagring (NAS), och mönstret är bekant: enheter som kör föråldrad operativsystemprogramvara är de som får sina filer krypterade. Om du förvarar familjefoton, affärsdokument eller säkerhetskopior på en Synology-box handlar C3RB3R-ransomware-skydd för Synology NAS om en kort lista med vanor du kan börja med redan idag.

Det här inlägget går igenom hur attacken fungerar, hur du skiljer en verklig incident från en bluff och vad du ska göra åt det.

Hur C3RB3R-attacken mot Synology NAS fungerar

Enligt Kasperskys rapportering attackerar C3RB3R-ransomware Synology NAS-enheter som kör föråldrade operativsystem och krypterar filerna som lagras på dem. Vissa community- och säkerhetsskildringar hänvisar till samma aktivitet som LOCK3D eller L0CK3D, så du kan stöta på flera stavningar när du researchar.

En NAS är ett attraktivt mål av en enkel anledning: det är där människor samlar sin data. Dokument, foton, delade projektmappar och ofta även säkerhetskopior finns på ett och samma ställe, och enheten är ofta nåbar från internet för fjärråtkomst. När programvaran på den enheten hamnar efter med uppdateringar får angriparna mer utrymme att arbeta.

Pressen slutar inte vid kryptering. Om offret vägrar betala hotar kriminella att offentliggöra den stulna datan. De kan kontakta offer via e-post eller genom sociala medier med dessa krav.

Verklig kryptering eller utpressningsbedrägeri: hur du avgör

Inte varje hotfullt meddelande betyder att du har blivit hackad. Kaspersky noterar att sådana hot ofta inte är mer än ett bedrägeri, ett mönster som de har behandlat separat i sitt inlägg om hur bedragare använder e-post för utpressning och hot. Massutskickade krav som påstår sig ha din data är vanliga, och många är bluffar som skickas till tusentals personer utan faktisk åtkomst.

NAS:en själv är det bästa beviset. Några praktiska kontroller:

  • Titta på dina filer. Om dokument är otillgängliga, omdöpta eller åtföljs av en lösensumma-not på enheten har du troligen att göra med en verklig krypteringshändelse. Om allt öppnas normalt är ett e-postmeddelande ensamt förmodligen ett tomt hot.
  • Kontrollera enheten, inte meddelandet. Logga in i DSM-gränssnittet direkt (inte via en länk i ett e-postmeddelande) och granska vad som händer på systemet.
  • Var ärlig om risken. Kaspersky är tydliga med att om din NAS faktiskt har krypterats kan du inte utesluta datastöld. Behandla en verklig krypteringsincident som en potentiell dataexponering också, inte bara ett tillgänglighetsproblem.

Åtskillnaden spelar roll eftersom rätt respons skiljer sig. En bluff kräver att du ignorerar och rapporterar meddelandet. En verklig infektion kräver inneslutning och återställning.

Vad du ska göra om din NAS är krypterad

Om filerna på din enhet verkligen är låsta, agera lugnt och i ordning.

  1. Koppla bort NAS:en från nätverket. Detta hjälper till att stoppa ytterligare skada och stänger av eventuell fjärråtkomst som angriparna fortfarande kan ha.
  2. Lita inte på brottslingarnas löften. Att betala garanterar inte att dina filer kommer tillbaka, och det ångrar inte någon stöld som redan har skett.
  3. Anta att datan kan ha kopierats. Tänk på vad som lagrades där: personliga dokument, kundinformation, inloggningsuppgifter. Byt lösenord för konton vars uppgifter kan ha funnits på enheten, och överväg vem som kan behöva meddelas om datan tillhör kunder eller kollegor.
  4. Återställ från en ren säkerhetskopia. Det är här offline- eller separata säkerhetskopior visar sitt värde. Innan du återansluter något, uppdatera NAS-programvaran så att du inte återställer till samma svaghet.
  5. Sök professionell hjälp om datan är affärskritisk. En incidenthanterare kan hjälpa till att avgöra vad som har nåtts.

Checklista för härdning av NAS: uppdateringar, exponerade tjänster, säkerhetskopior, åtkomstkontroller

Synologys egen vägledning, såsom den återspeglas i källorna som granskar denna kampanj, pekar på en konsekvent uppsättning åtgärder. Ingen kräver särskild expertis.

Uppdatera allt. Uppdatera DSM, NAS:ens operativsystem och dina installerade paket. Synology har uppmanat användare som kör sårbara versioner att uppdatera omedelbart. Aktivera automatiska uppdateringar där du kan, och kontrollera enheten ibland även då.

Stäng det du inte behöver. Öppna bara tjänster du faktiskt använder. Varje exponerad port eller fjärråtkomstfunktion är en dörr som någon kan prova. Om du inte behöver nå NAS:en utanför ditt hem eller kontor, stäng av direkt internetåtkomst till den.

Lås inloggningar. Se till att Auto Block, Account Protection och multifaktorautentisering är aktiverade. Använd unika, långa lösenord för administratörskonton och undvik att lämna standard- eller delade inloggningsuppgifter på plats.

Kör de inbyggda kontrollerna. Synology Security Advisor kan rutinmässigt skanna enheten efter sårbarheter och svaga inställningar. Det tar minuter och fångar den typ av drift som byggs upp över tid.

Behåll säkerhetskopior som ransomware inte kan nå. En säkerhetskopia som ligger på samma NAS, eller på en delning som NAS:en alltid kan skriva till, kan krypteras tillsammans med allt annat. Behåll minst en kopia offline eller på annat sätt separerad, och testa att du kan återställa från den.

Vad detta innebär för dig

Om du äger en Synology NAS är nyckelfrågan om den är aktuell och hur exponerad den är. Föråldrad programvara plus internetexponerad åtkomst är kombinationen som denna kampanj är uppbyggd kring. Om du inte använder en NAS men får ett e-postmeddelande som påstår att någon har dina filer, kom ihåg att sådana meddelanden ofta är bedrägerier och att första steget är att verifiera om något faktiskt har hänt.

För små kontor innehåller en NAS ofta data om andra människor, vilket höjer insatserna om stöld är möjlig. Att uppdatera och begränsa åtkomst är billigare än någon återställning.

Användbara slutsatser

  • Uppdatera DSM och alla installerade paket idag, och slå på automatiska uppdateringar.
  • Stäng fjärråtkomstportar och tjänster du inte använder.
  • Aktivera Auto Block, Account Protection och multifaktorautentisering.
  • Kör Synology Security Advisor och åtgärda det den flaggar.
  • Behåll en offline-säkerhetskopia och testa en återställning.
  • Om ett utpressningsmeddelande anländer, kontrollera dina filer först innan du reagerar.

Att granska din konfiguration nu är det mest effektiva C3RB3R-ransomware-skyddet för Synology NAS du kan införa, och det tar mycket mindre tid än att återhämta sig från en attack.