Synology har uppmanat kunder att uppdatera DiskStation Manager (DSM) efter att ransomware-operatörer riktat in sig på föråldrade DSM-installationer. Källrapporten är kortfattad och namnger inte någon specifik ransomware-familj, sårbarhet eller antal offer, så det här inlägget håller sig till det som är bekräftat: äldre DSM-versioner utsätts, och åtgärden Synology pekar på är att uppdatera. Om du äger en NAS-enhet (network-attached storage) är Synologys vägledning om DSM-ransomware-uppdatering värd att agera på idag.

Varför föråldrade DSM-installationer utsätts

Angripare tenderar att gå dit insatsen är som lägst. En NAS som kör en gammal version av sitt operativsystem kan bära på kända säkerhetsbrister som redan har åtgärdats i nyare versioner. När dessa åtgärder väl är offentliga kan vem som helst studera vad som ändrades och leta efter enheter som aldrig fick dem.

NAS-enheter är också attraktiva på grund av vad de innehåller. Familjefoton, ekonomiska register, affärsdokument och ofta säkerhetskopior finns allt på ett ställe. Att kryptera dessa data ger ransomware-operatörer starkt förhandlingsutrymme, eftersom offren kanske inte har någon annan kopia.

Och många NAS-enheter ställs in en gång och glöms sedan bort. De står tysta i en garderob eller under ett skrivbord och körs i åratal. Vanan att "ställa in och glömma" är precis det som gör föråldrade installationer lätta att hitta och lätta att träffa.

Hur ransomware når exponerade NAS-enheter hemma och på kontoret

Källartikeln beskriver inte attackmetoden som användes i det här fallet, så vi kan inte säga exakt hur dessa intrång går till. I allmänhet når dock ransomware en NAS via några välbekanta vägar:

  • Internetexponering: Om enhetens inloggningssida eller fjärråtkomstfunktioner går att nå från det öppna internet kan automatiserade skannrar hitta den.
  • Opatchad programvara: Kända brister i äldre DSM-versioner kan ge angripare en väg in utan att behöva ett lösenord.
  • Svag eller återanvända inloggningsuppgifter: Enkla administratörslösenord och konton som aldrig inaktiverats gör gissningsattacker mycket enklare.

Väl inne krypterar ransomware filer och kräver vanligtvis betalning för att de ska återställas. Offer märker ofta först att filnamn eller filändelser har ändrats. Om det låter som det du ser, går vår guide om återställningssteg efter att L0CK3D-ransomware träffat en Synology-NAS igenom vad du ska göra härnäst.

En praktisk checklista för att härda din Synology-NAS

Att uppdatera är det första steget, men några andra vanor täpper igen de flesta vanliga luckorna.

  1. Uppdatera DSM nu. I DSM öppnar du Kontrollpanelen och går till Uppdatera och återställ för att söka efter den senaste versionen. Uppdateringar kan starta om enheten, så välj en lugn stund.
  2. Slå på automatiska uppdateringar för DSM där det passar din installation, så att enheten inte hamnar efter igen.
  3. Gå igenom inställningarna för fjärråtkomst. Kontrollera vilka tjänster som går att nå utifrån ditt nätverk och stäng av allt du inte aktivt använder.
  4. Använd starka, unika lösenord för varje konto och inaktivera konton du inte längre behöver.
  5. Aktivera tvåfaktorsautentisering för inloggning som administratör och användare.
  6. Håll säkerhetskopior åtskilda. En kopia som lagras på samma NAS är ingen riktig säkerhetskopia. Ha minst en kopia offline eller på ett annat system.
  7. Överväg ögonblicksbilder. Funktioner för ögonblicksbilder kan hjälpa dig att rulla tillbaka efter en attack, beroende på din DSM-version och konfiguration.

Inget av dessa steg kräver särskild expertis, och tillsammans gör de en enhet till ett mycket svårare mål än den som lämnats orörd i åratal.

Varför ett VPN är bättre än att exponera din NAS mot internet

Många öppnar sin NAS mot internet för att kunna nå filer när de reser eller arbetar på distans. Avvägningen är att inloggningssidan blir synlig för alla som skannar efter den, inklusive ransomware-operatörer som letar efter föråldrade system.

Ett säkrare mönster är att hålla NAS:en borta från det öppna nätet och ansluta till ditt hem- eller kontorsnätverk via ett VPN när du behöver åtkomst. Med den uppsättningen går enheten inte att nå direkt utifrån. Du autentiserar dig först mot VPN:et och når sedan NAS:en som om du vore på det lokala nätverket. Det minskar attackytan avsevärt, eftersom det inte finns någon publik NAS-inloggning att sondera.

Ett VPN är ingen ersättning för att uppdatera. Om en angripare tar sig in i ditt nätverk via en annan väg är en opatchad NAS fortfarande sårbar. Se det som ett lager vid sidan av patchning, starka inloggningsuppgifter och säkerhetskopior.

Vad det här innebär för dig

Om du kör en Synology-NAS hemma eller på ett litet kontor är budskapet enkelt: anta inte att enheten är säker bara för att den har kört utan problem. Kontrollera din DSM-version, installera väntande uppdateringar och titta på om några av dess tjänster är exponerade mot internet. Om du inte har loggat in på din NAS på månader är nu ett bra tillfälle.

Om du hanterar en NAS för ett litet företag, lägg till den i din regelbundna underhållsrutin. En påminnelse varje månad om att söka efter uppdateringar är en billig vana som undviker ett dyrt problem.

Viktiga slutsatser

  • Uppdatera DSM idag och aktivera automatiska uppdateringar om det är lämpligt.
  • Gå igenom inställningarna för fjärråtkomst och stäng av allt exponerat som du inte behöver.
  • Nå din NAS via ett VPN istället för att öppna den mot internet.
  • Använd starka lösenord, tvåfaktorsautentisering och separata säkerhetskopior.
  • Om du misstänker en infektion, koppla bort enheten från nätverket och följ våra återställningssteg för L0CK3D-ransomware.

Synologys påtryckning om DSM-ransomware-uppdatering är en påminnelse om att gammal programvara är en öppen inbjudan. Några minuter med patchning och åtstramad åtkomst idag kan bespara dig en mycket jobbigare dag senare.