Rapporter om att L0CK3D-ransomware krypterar Synology NAS-enheter cirkulerar, där offer märker att deras filändelser har manipulerats. Källartikeln, en guide från SheMo Noransom-bloggen, beskriver aktiviteten som storskalig och erbjuder råd om akut hantering. Det utdrag vi har tillgång till är kort, så detta inlägg gör inte anspråk på specifika detaljer om hur angriparna tar sig in, hur många enheter som påverkas eller hur lösenorskraven ser ut. Vad vi kan göra är att lägga fram en förnuftig återställningschecklista för Synology NAS och L0CK3D-ransomware, byggd kring de beskrivna symtomen och standardpraxis för incidenthantering.

Hur du avgör om L0CK3D har drabbat din Synology NAS

Det huvudsakliga rapporterade symtomet är ändrade filändelser. Dokument, foton och säkerhetskopior som tidigare öppnades normalt bär nu ett okänt suffix och öppnas inte i sina vanliga appar. Andra tecken som vanligtvis förknippas med ransomware på en NAS inkluderar:

  • Filer som plötsligt inte kan förhandsgranskas eller öppnas från File Station eller en nätverksmappad enhet
  • En ny text- eller HTML-anteckning som dyker upp i delade mappar
  • Ovanligt hög disk- eller CPU-aktivitet utan förklaring
  • Delningar som ser bra ut på NAS:en men är trasiga från dina datorer, eller tvärtom

Innan du antar det värsta, uteslut enkla orsaker som en trasig disk, en behörighetsändring eller en synkroniseringsklient som gått fel. Om flera delade mappar visar de ändrade filändelserna samtidigt bör du behandla det som en infektion tills motsatsen bevisats.

Första stegen: isolera enheten och kontrollera exponering

Snabbhet spelar roll, men det gör också att inte förvärra situationen. En lugn ordning för åtgärder hjälper.

1. Koppla bort NAS:en från nätverket. Dra ur Ethernet-kabeln och inaktivera Wi-Fi om tillämpligt. Detta stoppar ytterligare kryptering av anslutna delningar och stänger av all fjärråtkomst. Undvik en hård avstängning om du kan; en ren nedstängning kan bevara användbara loggar, även om din prioritet är att stoppa spridningen.

2. Kontrollera dina andra enheter. Om en PC eller laptop hade NAS:en monterad som en enhet kan den datorn vara källan, eller vara nästa offer. Koppla bort den och skanna den innan du återansluter något.

3. Dokumentera det du ser. Fotografera skärmen, notera filändelsen och spara eventuell lösenorsanteckning. Detta hjälper till med senare analys, försäkringsanspråk eller rapporter till myndigheter.

4. Granska hur enheten var exponerad. Fråga dig själv om NAS:en var nåbar från internet via portvidarebefordran, fjärråtkomstfunktioner eller en webbaserad adminpanel. Överväg om du körde föråldrad DSM-firmware, om adminkonton använde svaga eller återanvända lösenord och om standardkonton eller onödiga tjänster fortfarande var aktiva. Källmaterialet anger inte inträdesmetoden, så du bör anta att vilken som helst av dessa kan vara relevant och kontrollera var och en.

5. Byt autentiseringsuppgifter. Från en ren enhet, återställ lösenord för NAS:ens adminkonto, eventuella delade konton och allt annat som lagrades på eller var åtkomligt från NAS:en.

Återställningsalternativ och varför det är en dålig satsning att betala

Den renaste återställningen är från en säkerhetskopia som angriparen inte kunde nå. Kontrollera om du har en kopia på en extern disk som var frånkopplad, en separat NAS eller en molnsäkerhetskopia med versionshistorik. Innan du återställer, torka och bygg om NAS:en med uppdaterad firmware så att du inte återställer till ett komprometterat system. Om dina säkerhetskopior också fanns på samma enhet eller monterade delning kan de också vara krypterade, vilket är anledningen till att utformningen av din säkerhetskopiering spelar roll. Vår artikel om varför oföränderliga säkerhetskopior fortfarande drabbas av ransomware förklarar var även välmenande upplägg brister.

Om du inte har någon ren säkerhetskopia begränsas dina alternativ:

  • Leta efter ögonblicksbilder. Om Btrfs-ögonblicksbilder var aktiverade och inte raderade kan du kanske rulla tillbaka. Kontrollera detta innan du gör något annat med volymen.
  • Sök efter en offentlig dekryptor. Gratisverktyg dyker ibland upp för specifika ransomware-familjer. Verifiera alla verktyg från en pålitlig källa innan du kör dem och arbeta på kopior av data.
  • Överväg professionell hjälp. En ansedd firma för incidenthantering eller dataåterställning kan bedöma om återställning är genomförbar.

När det gäller att betala är det en dålig satsning. Det finns ingen garanti att du får en fungerande dekryptor, och betalning markerar dig som ett villigt mål. Forskning som citeras i vår rapportering om hur 64% av ransomware-offer nu vägrar betala tyder på att vägran blir alltmer normen. För en bredare bild av hur kriminella grupper anpassar sig, se Group-IB:s genomgång av ransomwarens föränderliga affärsmodell.

Härda din NAS så att den inte är nåbar nästa gång

De flesta NAS-komprometter beror på exponering och försummelse. Några ändringar stänger många av de vanliga dörrarna:

  • Ta den bort från det publika internet. Ta bort portvidarebefordringar och inaktivera alla fjärråtkomstfunktioner du inte verkligen behöver. Om du behöver fjärråtkomst, använd en VPN in i ditt hem- eller kontorsnätverk istället för att exponera NAS:en direkt.
  • Håll DSM och paket uppdaterade. Aktivera automatiska säkerhetsuppdateringar där det är praktiskt och ta bort appar du inte längre använder.
  • Lås konton. Inaktivera standardadminkontot, använd långa unika lösenord och aktivera tvåfaktorsautentisering.
  • Använd den inbyggda Security Advisor. Den kan flagga svaga lösenord och riskabla inställningar.
  • Aktivera automatisk blockering och begränsa åtkomst per IP där det passar din uppsättning.
  • Aktivera ögonblicksbilder och håll dem på ett rimligt schema.
  • Följ 3-2-1-metoden. Behåll tre kopior av data, på två typer av media, med en offline eller på annat sätt utom räckhåll.

Vad detta innebär för dig

Om du kör en Synology NAS hemma eller i ett litet företag, behandla dessa rapporter som en påminnelse att kontrollera din uppsättning, inte som en anledning att få panik. Detaljerna kring L0CK3D-kampanjen är knapphändiga i den källa vi har, så undvik att agera på rykten om specifika sårbarheter. Fokusera på det du kontrollerar: om din NAS är exponerad, om den är patchad och om du har en säkerhetskopia som angriparen inte kan röra. Om du redan är drabbad, isolera enheten först och arbeta sedan igenom återställningen utan att skicka pengar till kriminella.

Slutsatser

Återställning efter Synology NAS L0CK3D-ransomware är mycket enklare när du förbereder dig före en attack. Idag, logga in på din NAS och titta på vad som är exponerat mot internet, bekräfta att din firmware är aktuell och testa att du faktiskt kan återställa en fil från säkerhetskopian. Läs sedan på om oföränderliga säkerhetskopior och trenden att offer vägrar betala för att forma en plan du inte behöver improvisera under press.