มีรายงานเกี่ยวกับแรนซัมแวร์ L0CK3D ที่เข้ารหัสอุปกรณ์ Synology NAS แพร่กระจายอยู่ โดยเหยื่อสังเกตเห็นว่า นามสกุลไฟล์ของตนถูกดัดแปลง บทความต้นฉบับซึ่งเป็นคู่มือจากบล็อก SheMo Noransom อธิบายกิจกรรมนี้ว่าเป็นวงกว้างและให้คำแนะนำในการตอบสนองเหตุฉุกเฉิน บทตัดตอนที่เรามีนั้นสั้น ดังนั้นโพสต์นี้จึงไม่ได้อ้างข้อเท็จจริงเฉพาะเจาะจงเกี่ยวกับวิธีการที่ผู้โจมตี infiltrate จำนวนอุปกรณ์ที่ได้รับผลกระทบ หรือลักษณะของข้อเรียกร้องค่าไถ่ สิ่งที่เราทำได้คือการวางรายการตรวจสอบการกู้คืน Synology NAS จากแรนซัมแวร์ L0CK3D ที่สมเหตุสมผล ซึ่งสร้างขึ้นจากอาการที่อธิบายไว้และแนวปฏิบัติมาตรฐานในการตอบสนองเหตุการณ์
วิธีบอกว่า L0CK3D โจมตี Synology NAS ของคุณหรือไม่
อาการหลักที่รายงานคือการเปลี่ยนแปลงนามสกุลไฟล์ เอกสาร รูปภาพ และข้อมูลสำรองที่เคยเปิดได้ตามปกติตอนนี้มีคำต่อท้ายที่ไม่คุ้นเคยและจะไม่เปิดในแอปปกติอื่น ๆ สัญญาณอื่น ๆ ที่มักเกี่ยวข้องกับแรนซัมแวร์บน NAS ได้แก่:
- ไฟล์ที่จู่ ๆ ก็ไม่สามารถดูตัวอย่างหรือเปิดจาก File Station หรือไดรฟ์ที่แมปไว้ได้
- มีข้อความหรือบันทึก HTML ใหม่ปรากฏในโฟลเดอร์ที่แชร์
- กิจกรรมดิสก์หรือ CPU สูงผิดปกติโดยไม่มีคำอธิบาย
- Shares ที่ดูปกติบน NAS แต่ใช้งานไม่ได้จากคอมพิวเตอร์ของคุณ หรือในทางกลับกัน
ก่อนที่จะสรุปว่าเป็นกรณีเลวร้ายที่สุด ให้ตัดสาเหตุง่าย ๆ เช่น ไดรฟ์เสีย การเปลี่ยนแปลงสิทธิ์ หรือไคลเอนต์ซิงค์ที่ทำงานผิดพลาดออกไปก่อน หากโฟลเดอร์ที่แชร์หลายโฟลเดอร์แสดงนามสกุลที่ถูกดัดแปลงพร้อมกัน ให้ถือว่าเป็นการติดเชื้อจนกว่าจะพิสูจน์เป็นอย่างอื่น
ขั้นตอนแรก: แยกอุปกรณ์และตรวจสอบการเปิดเผย
ความเร็วเป็นสิ่งสำคัญ แต่การไม่ทำให้สถานการณ์แย่ลงก็สำคัญเช่นกัน ลำดับการดำเนินการอย่างใจเย็นช่วยได้
1. ตัดการเชื่อมต่อ NAS จากเครือข่าย ถอดสายอีเทอร์เน็ต และปิด Wi-Fi หากเกี่ยวข้อง ซึ่งจะหยุดการเข้ารหัสโฟลเดอร์ที่แชร์ที่เชื่อมต่ออยู่และตัดการเข้าถึงระยะไกลทั้งหมด หลีกเลี่ยงการปิดเครื่องแบบ hard power-off หากทำได้ การปิดเครื่องอย่างถูกวิธีอาจรักษาบันทึกที่มีประโยชน์ไว้ได้ แม้ว่าลำดับความสำคัญของคุณคือการหยุดการแพร่กระจาย
2. ตรวจสอบอุปกรณ์อื่น ๆ ของคุณ หากพีซีหรือแล็ปท็อปเมานต์ NAS เป็นไดรฟ์ เครื่องนั้นอาจเป็นแหล่งที่มา หรืออาจเป็นรายต่อไป ตัดการเชื่อมต่อและสแกนก่อนเชื่อมต่อสิ่งใดกลับเข้าไป
3. บันทึกสิ่งที่คุณเห็น ถ่ายภาพหน้าจอ บันทึกนามสกุลไฟล์ และบันทึกข้อความเรียกค่าไถ่ใด ๆ ไว้ สิ่งนี้ช่วยในการวิเคราะห์ในภายหลัง การเคลมประกัน หรือการรายงานต่อหน่วยงาน
4. ทบทวนว่าอุปกรณ์ถูกเปิดเผยอย่างไร ถามตัวเองว่า NAS เข้าถึงได้จากอินเทอร์เน็ตผ่าน port forwarding คุณสมบัติการเข้าถึงระยะไกล หรือแผงผู้ดูแลระบบเว็บหรือไม่ พิจารณาว่าคุณใช้เฟิร์มแวร์ DSM ที่ล้าสมัยหรือไม่ บัญชีผู้ดูแลระบบใช้รหัสผ่านที่อ่อนแอหรือใช้ซ้ำหรือไม่ และบัญชีเริ่มต้นหรือบริการที่ไม่จำเป็นยังเปิดใช้งานอยู่หรือไม่ เนื้อหาต้นฉบับไม่ได้ระบุวิธีการเข้าถึง ดังนั้นคุณควรถือว่าสิ่งใดสิ่งหนึ่งเหล่านี้อาจเกี่ยวข้องและตรวจสอบแต่ละรายการ
5. เปลี่ยนข้อมูลรับรอง จากอุปกรณ์ที่สะอาด รีเซ็ตรหัสผ่านสำหรับบัญชีผู้ดูแลระบบ NAS บัญชีที่แชร์ และสิ่งอื่นใดที่ถูกจัดเก็บไว้บนหรือเข้าถึงได้จาก NAS
ตัวเลือกการกู้คืนและเหตุใดการจ่ายจึงเป็นการเดิมพันที่ไม่ดี
การกู้คืนที่สะอาดที่สุดคือจากข้อมูลสำรองที่ผู้โจมตีเข้าถึงไม่ได้ ตรวจสอบว่าคุณมีสำเนาบนไดรฟ์ภายนอกที่ตัดการเชื่อมต่อ แยก NAS หรือข้อมูลสำรองบนคลาวด์ที่มีประวัติเวอร์ชันหรือไม่ ก่อนกู้คืน ให้ล้างและสร้าง NAS ใหม่ด้วยเฟิร์มแวร์ที่อัปเดตเพื่อไม่ให้คุณกู้คืนเข้าสู่ระบบที่ถูกบุกรุก หากข้อมูลสำรองของคุณอยู่บนอุปกรณ์เดียวกันหรือโฟลเดอร์ที่แชร์ที่เมานต์ไว้ ก็อาจถูกเข้ารหัสด้วย ซึ่งเป็นเหตุผลว่าทำไมการออกแบบข้อมูลสำรองของคุณจึงสำคัญ บทความของเราเกี่ยวกับเหตุใดข้อมูลสำรองแบบ immutable จึงยังคงถูกโจมตีโดยแรนซัมแวร์ อธิบายว่าการตั้งค่าที่ตั้งใจดีแม้กระทั่งยังขาดตกบกพร่องตรงไหน
หากคุณไม่มีข้อมูลสำรองที่สะอาด ตัวเลือกของคุณก็แคบลง:
- มองหา snapshot หากเปิดใช้ Btrfs snapshot และไม่ได้ถูกลบ คุณอาจสามารถย้อนกลับได้ ตรวจสอบสิ่งนี้ก่อนทำสิ่งอื่นใดกับโวลุ่ม
- ตรวจสอบว่ามีตัวถอดรหัสสาธารณะหรือไม่ บางครั้งเครื่องมือฟรีก็ปรากฏขึ้นสำหรับตระกูลแรนซัมแวร์เฉพาะ ตรวจสอบเครื่องมือใด ๆ จากแหล่งที่เชื่อถือได้ก่อนเรียกใช้ และทำงานกับสำเนาของข้อมูล
- พิจารณาความช่วยเหลือจากผู้เชี่ยวชาญ บริษัทตอบสนองเหตุการณ์หรือกู้คืนข้อมูลที่เชื่อถือได้สามารถประเมินได้ว่าการกู้คืนเป็นไปได้หรือไม่
ส่วนการจ่ายนั้นเป็นการเดิมพันที่ไม่ดี ไม่มีการรับประกันว่าคุณจะได้รับตัวถอดรหัสที่ใช้งานได้ และการจ่ายจะทำให้คุณถูกมองว่าเป็นเป้าหมายที่ยินยอม งานวิจัยที่อ้างอิงในบทความของเราเกี่ยวกับวิธีที่64% ของเหยื่อแรนซัมแวร์ตอนนี้ปฏิเสธที่จะจ่าย ชี้ให้เห็นว่าการปฏิเสธเป็นบรรทัดฐานที่เพิ่มขึ้น สำหรับมุมมองที่กว้างขึ้นเกี่ยวกับวิธีที่กลุ่มอาชญากรปรับตัว ดูมุมมองของ Group-IB เกี่ยวกับรูปแบบธุรกิจที่-evolving ของแรนซัมแวร์
การเสริมความแข็งแกร่งให้ NAS ของคุณเพื่อไม่ให้เข้าถึงได้ในครั้งต่อไป
การบุกรุก NAS ส่วนใหญ่มาจากการเปิดเผยและการละเลย การเปลี่ยนแปลงเล็กน้อยช่วยปิดประตูทั่วไปหลายบาน:
- นำออกจากอินเทอร์เน็ตสาธารณะ ลบ port forward และปิดคุณสมบัติการเข้าถึงระยะไกลใด ๆ ที่คุณไม่จำเป็นจริง ๆ หากคุณต้องการการเข้าถึงระยะไกล ให้ใช้ VPN เข้าสู่เครือข่ายบ้านหรือสำนักงานของคุณแทนการเปิดเผย NAS โดยตรง
- อัปเดต DSM และแพ็กเกจอยู่เสมอ เปิดใช้การอัปเดตความปลอดภัยอัตโนมัติเมื่อทำได้ และลบแอปที่คุณไม่ใช้แล้ว
- ล็อกบัญชี ปิดใช้งานบัญชีผู้ดูแลระบบเริ่มต้น ใช้รหัสผ่านที่ยาวและไม่ซ้ำ และเปิดใช้การรับรองความถูกต้องสองปัจจัย
- ใช้ Security Advisor ที่มีมาในตัว它可以แจ้งเตือนรหัสผ่านที่อ่อนแอและการตั้งค่าที่มีความเสี่ยง
- เปิดใช้ auto-block และจำกัดการเข้าถึงตาม IP เมื่อเหมาะสมกับการตั้งค่าของคุณ
- เปิดใช้ snapshot และเก็บไว้ตามกำหนดเวลาที่สมเหตุสมผล
- ปฏิบัติตามแนวทาง 3-2-1 เก็บสำเนาข้อมูลสามชุด บนสื่อสองประเภท โดยหนึ่งชุดออฟไลน์หรืออยู่นอกการเข้าถึง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณใช้งาน Synology NAS ที่บ้านหรือในธุรกิจขนาดเล็ก ให้ถือรายงานเหล่านี้เป็นแรงกระตุ้นให้ตรวจสอบการตั้งค่าของคุณ ไม่ใช่เหตุผลที่จะตื่นตระหนก รายละเอียดของแคมเปญ L0CK3D นั้นบางในแหล่งที่มาเรามี ดังนั้นหลีกเลี่ยงการดำเนินการตามข่าวลือเกี่ยวกับช่องโหว่เฉพาะ มุ่งเน้นสิ่งที่คุณควบคุมได้: NAS ของคุณถูกเปิดเผยหรือไม่ มีการแพตช์หรือไม่ และคุณมีข้อมูลสำรองที่ผู้โจมตีแตะต้องไม่ได้หรือไม่ หากคุณได้รับผลกระทบแล้ว ให้แยกอุปกรณ์ก่อน จากนั้นดำเนินการกู้คืนโดยไม่ส่งเงินให้อาชญากร
ประเด็นสำคัญ
การกู้คืน Synology NAS จากแรนซัมแวร์ L0CK3D นั้นง่ายกว่ามากเมื่อคุณเตรียมตัวก่อนการโจมตี วันนี้ ให้เข้าสู่ระบบ NAS ของคุณและดูสิ่งที่เปิดเผยต่ออินเทอร์เน็ต ยืนยันว่าเฟิร์มแวร์เป็นปัจจุบัน และทดสอบว่าคุณสามารถกู้คืนไฟล์จากข้อมูลสำรองได้จริง จากนั้นอ่านเกี่ยวกับข้อมูลสำรองแบบ immutable และแนวโน้มของเหยื่อที่ปฏิเสธที่จะจ่าย เพื่อกำหนดแผนที่คุณจะไม่ต้อง improvise ภายใต้แรงกดดัน
