แคมเปญแรนซัมแวร์ที่ชื่อ C3RB3R กำลังมุ่งโจมตีอุปกรณ์จัดเก็บข้อมูลบนเครือข่าย (NAS) ของ Synology และรูปแบบนั้นคุ้นเคยดี นั่นคืออุปกรณ์ที่รันซอฟต์แวร์ระบบปฏิบัติการที่ล้าสมัยคือกลุ่มที่ไฟล์ถูกเข้ารหัส หากคุณเก็บภาพถ่ายครอบครัว เอกสารทางธุรกิจ หรือข้อมูลสำรองไว้บนเครื่อง Synology การป้องกันแรนซัมแวร์ C3RB3R บน Synology NAS ล้วนขึ้นอยู่กับรายการนิสัยสั้น ๆ ที่คุณสามารถเริ่มทำได้ตั้งแต่วันนี้
บทความนี้จะอธิบายว่าการโจมตีเกิดขึ้นได้อย่างไร จะแยกแยะเหตุการณ์จริงออกจากการข่มขู่หลอกลวงได้อย่างไร และควรทำอะไรเมื่อเกิดเหตุ
การโจมตี Synology NAS โดย C3RB3R ทำงานอย่างไร
ตามรายงานของ Kaspersky แรนซัมแวร์ C3RB3R โจมตีอุปกรณ์ Synology NAS ที่รันระบบปฏิบัติการล้าสมัยและเข้ารหัสไฟล์ที่จัดเก็บอยู่บนอุปกรณ์เหล่านั้น บทความจากชุมชนและด้านความปลอดภัยบางแห่งเรียกกิจกรรมเดียวกันนี้ว่า LOCK3D หรือ L0CK3D ดังนั้นคุณอาจพบการสะกดหลายรูปแบบขณะค้นคว้า
NAS เป็นเป้าหมายที่น่าดึงดูดด้วยเหตุผลง่าย ๆ นั่นคือเป็นที่ที่ผู้คนรวมข้อมูลไว้ด้วยกัน เอกสาร รูปภาพ โฟลเดอร์โปรเจกต์ที่แชร์ และบ่อยครั้งรวมถึงข้อมูลสำรอง ทั้งหมดอยู่ในที่เดียว และอุปกรณ์มักเข้าถึงได้จากอินเทอร์เน็ตเพื่อการเข้าถึงระยะไกล เมื่อซอฟต์แวร์บนอุปกรณ์นั้นล่าช้าในการอัปเดต ผู้โจมตีก็มีช่องทางทำงานมากขึ้น
แรงกดดันไม่ได้หยุดอยู่แค่การเข้ารหัส หากเหยื่อปฏิเสธที่จะจ่าย อาชญากรจะขู่ว่าจะเปิดเผยข้อมูลที่ขโมยมา พวกเขาอาจติดต่อเหยื่อทางอีเมลหรือผ่านโซเชียลมีเดียพร้อมข้อเรียกร้องเหล่านี้
การเข้ารหัสจริงหรือกลโกงกรรโชก: จะแยกแยะได้อย่างไร
ไม่ใช่ทุกข้อความข่มขู่จะหมายความว่าคุณถูกแฮ็ก Kaspersky ระบุว่าภัยคุกคามเช่นนี้มักไม่ใช่อะไรอื่นนอกจากกลโกง ซึ่งเป็นรูปแบบที่ তারাเคยCoverแยกต่างหากในบทความเกี่ยวกับวิธีที่มิจฉาชีพใช้อีเมลเพื่อกรรโชกและข่มขู่ ข้อเรียกร้องที่ส่งทางอีเมลจำนวนมากโดยอ้างว่าถือข้อมูลของคุณเป็นเรื่อง común และหลายฉบับเป็นการข่มขู่หลอกที่ส่งไปยังคนนับพันโดยไม่มีการเข้าถึงจริงใด ๆ
ตัว NAS เองคือหลักฐานที่ดีที่สุด การตรวจสอบเชิงปฏิบัติไม่กี่ข้อ:
- ดูไฟล์ของคุณ หากเอกสารไม่สามารถเข้าถึงได้ ถูกเปลี่ยนชื่อ หรือมีบันทึกเรียกค่าไถ่อยู่บนอุปกรณ์ คุณน่าจะกำลังเผชิญกับเหตุการณ์เข้ารหัสจริง หากทุกอย่างเปิดได้ตามปกติ อีเมลเพียงฉบับเดียวน่าจะเป็นการข่มขู่กลวง
- ตรวจสอบอุปกรณ์ ไม่ใช่ข้อความ เข้าสู่ระบบอินเทอร์เฟซ DSM โดยตรง (ไม่ผ่านลิงก์ในอีเมล) และตรวจดูว่าเกิดอะไรขึ้นบนระบบ
- ซื่อสัตย์เกี่ยวกับความเสี่ยง Kaspersky ระบุชัดเจนว่าหาก NAS ของคุณถูกเข้ารหัสจริง คุณไม่สามารถตัดความเป็นไปได้เรื่องการขโมยข้อมูลออกไปได้ ให้ถือว่าเหตุการณ์เข้ารหัสจริงเป็นความเสี่ยงต่อการเปิดเผยข้อมูลด้วย ไม่ใช่แค่ปัญหาด้านความพร้อมใช้งานเท่านั้น
ความแตกต่างนี้สำคัญเพราะการตอบสนองที่เหมาะสมนั้นต่างกัน การข่มขู่หลอกต้องเพิกเฉยและรายงานข้อความ ส่วนการติดเชื้อจริงต้องควบคุมและกู้คืน
ควรทำอะไรหาก NAS ของคุณถูกเข้ารหัส
หากไฟล์บนอุปกรณ์ของคุณถูกล็อกจริง ให้ดำเนินการอย่างใจเย็นและเป็นลำดับ
- ตัดการเชื่อมต่อ NAS จากเครือข่าย ช่วยหยุดความเสียหายเพิ่มเติมและตัดการเข้าถึงระยะไกลที่ผู้โจมตีอาจยังมีอยู่
- อย่าพึ่งพาคำสัญญาของอาชญากร การจ่ายเงินไม่รับประกันว่าไฟล์จะกลับมา และไม่ได้ย้อนคืนการขโมยที่เกิดขึ้นแล้ว
- สันนิษฐานว่าข้อมูลอาจถูกคัดลอกไป คิดถึงสิ่งที่จัดเก็บไว้ที่นั่น: เอกสารส่วนตัว ข้อมูลลูกค้า ข้อมูลรับรอง เปลี่ยนรหัสผ่านสำหรับบัญชีที่รายละเอียดอาจถูกเก็บไว้บนอุปกรณ์ และพิจารณาว่าใครอาจต้องได้รับการแจ้งหากข้อมูลเป็นของลูกค้าหรือเพื่อนร่วมงาน
- กู้คืนจากข้อมูลสำรองที่สะอาด นี่คือจุดที่ข้อมูลสำรองแบบออฟไลน์หรือแยกต่างหากพิสูจน์คุณค่า ก่อนเชื่อมต่อสิ่งใดกลับ อัปเดตซอฟต์แวร์ NAS เพื่อไม่ให้คุณกู้คืนลงบนจุดอ่อนเดิม
- ขอความช่วยเหลือจากผู้เชี่ยวชาญหากข้อมูลมีความสำคัญต่อธุรกิจ ผู้ตอบสนองเหตุการณ์สามารถช่วยระบุได้ว่ามีการเข้าถึงอะไรบ้าง
รายการตรวจสอบการเสริมความแข็งแกร่ง NAS: การอัปเดต บริการที่เปิดเผย ข้อมูลสำรอง การควบคุมการเข้าถึง
คำแนะนำของ Synology เอง ซึ่งสะท้อนอยู่ในแหล่งข่าวที่ตรวจสอบแคมเปญนี้ ชี้ไปที่ชุดการแก้ไขที่สอดคล้องกัน ไม่มีข้อใดต้องใช้ความเชี่ยวชาญพิเศษ
อัปเดตทุกอย่าง อัปเดต DSM ซึ่งเป็นระบบปฏิบัติการของ NAS และแพ็กเกจที่ติดตั้งไว้ Synology ได้กระตุ้นให้ผู้ใช้ที่รันเวอร์ชันที่มีช่องโหว่อัปเดตทันที เปิดการอัปเดตอัตโนมัติเมื่อทำได้ และตรวจสอบอุปกรณ์เป็นครั้งคราวแม้จะเปิดไว้แล้วก็ตาม
ปิดสิ่งที่คุณไม่จำเป็นต้องใช้ เปิดเฉพาะบริการที่คุณใช้จริง ทุกพอร์ตที่เปิดเผยหรือฟีเจอร์การเข้าถึงระยะไกลคือประตูที่ใครบางคนสามารถลองเปิดได้ หากคุณไม่จำเป็นต้องเข้าถึง NAS จากภายนอกบ้านหรือสำนักงาน ให้ปิดการเข้าถึงอินเทอร์เน็ตโดยตรง
ล็อกการเข้าสู่ระบบให้แน่นหนา ตรวจสอบว่าเปิดใช้ Auto Block, Account Protection และการยืนยันตัวตนหลายปัจจัยแล้ว ใช้รหัสผ่านที่ยาวและไม่ซ้ำสำหรับบัญชีผู้ดูแลระบบ และหลีกเลี่ยงการปล่อยข้อมูลรับรองเริ่มต้นหรือที่แชร์ร่วมกันไว้
รันการตรวจสอบที่มีในตัว Synology Security Advisor สามารถสแกนอุปกรณ์เป็นประจำเพื่อหาช่องโหว่และการตั้งค่าที่อ่อนแอ ใช้เวลาเพียงไม่กี่นาทีและจับความคลาดเคลื่อนที่สะสมเมื่อเวลาผ่านไปได้
เก็บข้อมูลสำรองที่แรนซัมแวร์เข้าถึงไม่ได้ ข้อมูลสำรองที่อยู่ใน NAS เดียวกัน หรือบนแชร์ที่ NAS สามารถเขียนได้เสมอ อาจถูกเข้ารหัสไปพร้อมกับทุกสิ่งอื่น เก็บอย่างน้อยหนึ่งสำเนาไว้นอกระบบหรือแยกออกจากกัน และทดสอบว่าคุณสามารถกู้คืนได้
สิ่งนี้หมายความสำหรับคุณ
หากคุณเป็นเจ้าของ Synology NAS คำถามสำคัญคืออุปกรณ์เป็นเวอร์ชันล่าสุดหรือไม่และเปิดเผยแค่ไหน ซอฟต์แวร์ล้าสมัยบวกกับการเข้าถึงจากอินเทอร์เน็ตคือcombinationที่แคมเปญนี้สร้างขึ้นมา หากคุณไม่ได้ใช้ NAS แต่ได้รับอีเมลอ้างว่ามีไฟล์ของคุณ โปรดจำไว้ว่าข้อความเช่นนี้มักเป็นกลโกงและขั้นตอนแรกคือตรวจสอบว่ามีอะไรเกิดขึ้นจริงหรือไม่
สำหรับสำนักงานขนาดเล็ก NAS มักเก็บข้อมูลของผู้อื่น ซึ่งเพิ่มความเสี่ยงหากการขโมยเป็นไปได้ การอัปเดตและจำกัดการเข้าถึงถูกกว่าการกู้คืนใด ๆ
ประเด็นที่นำไปปฏิบัติได้
- อัปเดต DSM และแพ็กเกจที่ติดตั้งทั้งหมดวันนี้ และเปิดการอัปเดตอัตโนมัติ
- ปิดพอร์ตและบริการสำหรับการเข้าถึงระยะไกลที่คุณไม่ใช้
- เปิดใช้ Auto Block, Account Protection และการยืนยันตัวตนหลายปัจจัย
- รัน Synology Security Advisor และแก้ไขสิ่งที่มันแจ้งเตือน
- เก็บข้อมูลสำรองแบบออฟไลน์และทดสอบการกู้คืน
- หากมีข้อความกรรโชกมาถึง ให้ตรวจสอบไฟล์ของคุณก่อนที่จะตอบสนอง
การตรวจสอบการตั้งค่าของคุณตอนนี้คือการป้องกันแรนซัมแวร์ C3RB3R บน Synology NAS ที่ได้ผลที่สุดที่คุณสามารถทำได้ และใช้เวลาน้อยกว่าการกู้คืนจากการโจมตีมาก
