L0CK3D fidye yazılımının Synology NAS cihazlarını şifrelediğine dair raporlar dolaşıyor ve mağdurlar dosya uzantılarının değiştirildiğini fark ediyor. Kaynak makale, SheMo Noransom blogundan bir rehber, faaliyeti büyük ölçekli olarak nitelendiriyor ve acil müdahale tavsiyeleri sunuyor. Erişebildiğimiz alıntı kısa, bu nedenle bu yazı saldırganların sisteme nasıl girdiği, kaç cihazın etkilendiği veya fidye taleplerinin neye benzediği konusunda ayrıntı iddia etmiyor. Yapabileceğimiz şey, tarif edilen belirtiler ve standart olay müdahale pratiği etrafında şekillenen makul bir Synology NAS L0CK3D fidye yazılımı kurtarma kontrol listesi sunmaktır.

L0CK3D'nin Synology NAS'ınıza bulaşıp bulaşmadığını nasıl anlarsınız

Bildirilen ana belirti değişen dosya uzantılarıdır. Eskiden normal şekilde açılan belgeler, fotoğraflar ve yedekler artık tanıdık olmayan bir son ek taşıyor ve normal uygulamalarında açılmıyor. Bir NAS'ta fidye yazılımıyla yaygın olarak ilişkilendirilen diğer işaretler şunlardır:

  • File Station'dan veya eşlenmiş bir sürücüden aniden önizlenemeyen veya açılamayan dosyalar
  • Paylaşılan klasörlerde yeni bir metin veya HTML notunun görünmesi
  • Açıklaması olmayan alışılmadık derecede yüksek disk veya CPU etkinliği
  • NAS'ta sorunsuz görünen ancak bilgisayarlarınızdan bozuk görünen paylaşımlar veya tam tersi

En kötüsünü varsaymadan önce, arızalı bir disk, izin değişikliği veya yanlış giden bir senkronizasyon istemcisi gibi basit nedenleri eleyin. Birden fazla paylaşılan klasör aynı anda değiştirilmiş uzantılar gösteriyorsa, aksi kanıtlanana kadar bunu bir enfeksiyon olarak değerlendirin.

İlk adımlar: cihazı izole edin ve maruziyeti kontrol edin

Hız önemlidir, ancak işleri daha da kötüleştirmemek de öyle. Sakin bir işlem sırası yardımcı olur.

1. NAS'ı ağdan ayırın. Ethernet kablosunu çıkarın ve varsa Wi-Fi'yi devre dışı bırakın. Bu, bağlı paylaşımların daha fazla şifrelenmesini durdurur ve herhangi bir uzaktan erişimi keser. Mümkünse zorla kapatmaktan kaçının; temiz bir şekilde kapatmak faydalı günlükleri koruyabilir, ancak önceliğiniz yayılmayı durdurmaktır.

2. Diğer cihazlarınızı kontrol edin. Bir PC veya dizüstü bilgisayar NAS'ı sürücü olarak bağlamışsa, o makine kaynak olabilir veya sıradaki olabilir. Bağlantısını kesin ve herhangi bir şeyi yeniden bağlamadan önce tarayın.

3. Gördüklerinizi belgeleyin. Ekranın fotoğrafını çekin, dosya uzantısını not edin ve varsa fidye notunu kaydedin. Bu, daha sonraki analizler, sigorta talepleri veya yetkililere yapılacak bildirimler için yardımcı olur.

4. Cihazın nasıl maruz kaldığını gözden geçirin. NAS'a internetten bağlantı noktası yönlendirme, uzaktan erişim özellikleri veya bir web yönetim paneli aracılığıyla erişilebilir olup olmadığını kendinize sorun. Güncel olmayan DSM ürün yazılımı çalıştırıp çalıştırmadığınızı, yönetici hesaplarının zayıf veya yeniden kullanılmış parolalar kullanıp kullanmadığını ve varsayılan hesapların veya gereksiz hizmetlerin hâlâ etkin olup olmadığını düşünün. Kaynak materyal giriş yöntemini belirtmiyor, bu nedenle bunlardan herhangi birinin ilgili olabileceğini varsaymalı ve her birini kontrol etmelisiniz.

5. Kimlik bilgilerini değiştirin. Temiz bir cihazdan NAS yönetici hesabı, tüm paylaşılan hesaplar ve NAS'ta depolanan veya NAS'tan erişilebilen diğer her şey için parolaları sıfırlayın.

Kurtarma seçenekleri ve ödemenin neden kötü bir bahis olduğu

En temiz kurtarma, saldırganın erişemeyeceği bir yedekten yapılır. Bağlantısı kesilmiş bir harici sürücüde, ayrı bir NAS'ta veya sürüm geçmişi olan bir bulut yedeğinde bir kopyanız olup olmadığını kontrol edin. Geri yüklemeden önce, ele geçirilmiş bir sisteme geri yükleme yapmamak için NAS'ı güncellenmiş ürün yazılımıyla silin ve yeniden oluşturun. Yedekleriniz de aynı cihazda veya bağlı paylaşımda idiyse, onlar da şifrelenmiş olabilir; bu yüzden yedekleme tasarımınız önemlidir. Değiştirilemez yedeklerin neden hâlâ fidye yazılımının hedefi olduğu hakkındaki yazımız, iyi niyetli kurulumların bile nerede yetersiz kaldığını açıklıyor.

Temiz bir yedeğiniz yoksa, seçenekleriniz daralır:

  • Anlık görüntüleri arayın. Btrfs anlık görüntüleri etkinleştirilmiş ve silinmemişse, geri dönebilirsiniz. Birime başka bir şey yapmadan önce bunu kontrol edin.
  • Herkese açık bir şifre çözücü olup olmadığını kontrol edin. Belirli fidye yazılımı aileleri için bazen ücretsiz araçlar ortaya çıkar. Herhangi bir aracı çalıştırmadan önce güvenilir bir kaynaktan doğrulayın ve verilerin kopyaları üzerinde çalışın.
  • Profesyonel yardım düşünün. Saygın bir olay müdahale veya veri kurtarma firması, kurtarmanın mümkün olup olmadığını değerlendirebilir.

Ödemeye gelince, bu kötü bir bahistir. Çalışan bir şifre çözücü alacağınızın garantisi yoktur ve ödeme yapmanız sizi istekli bir hedef olarak işaretler. Fidye yazılımı mağdurlarının %64'ünün artık ödemeyi reddetmesi konusundaki haberimizde aktarılan araştırma, reddetmenin giderek norm haline geldiğini gösteriyor. Suç gruplarının nasıl uyum sağladığına dair daha geniş bir görünüm için Group-IB'in fidye yazılımının gelişen iş modeline bakışına göz atın.

NAS'ınızı bir daha erişilemeyecek şekilde sağlamlaştırma

Çoğu NAS ihlali maruziyet ve ihmalden kaynaklanır. Birkaç değişiklik yaygın kapıların çoğunu kapatır:

  • Genel internetten çıkarın. Bağlantı noktası yönlendirmelerini kaldırın ve gerçekten ihtiyaç duymadığınız tüm uzaktan erişim özelliklerini devre dışı bırakın. Uzaktan erişime ihtiyacınız varsa, NAS'ı doğrudan açığa çıkarmak yerine ev veya ofis ağınıza bir VPN kullanın.
  • DSM ve paketleri güncel tutun. Mümkün olduğunda otomatik güvenlik güncellemelerini etkinleştirin ve artık kullanmadığınız uygulamaları kaldırın.
  • Hesapları kilitleyin. Varsayılan yönetici hesabını devre dışı bırakın, uzun benzersiz parolalar kullanın ve iki faktörlü kimlik doğrulamayı açın.
  • Yerleşik Güvenlik Danışmanını kullanın. Zayıf parolaları ve riskli ayarları işaretleyebilir.
  • Otomatik engellemeyi etkinleştirin ve kurulumunuza uyuyorsa erişimi IP'ye göre kısıtlayın.
  • Anlık görüntüleri açın ve makul bir programda tutun.
  • 3-2-1 yaklaşımını izleyin. Verilerin üç kopyasını, iki tür ortamda, biri çevrimdışı veya başka şekilde erişilemez durumda tutun.

Bu Sizin İçin Ne Anlama Geliyor

Evde veya küçük bir işletmede bir Synology NAS çalıştırıyorsanız, bu raporları panik nedeni değil, kurulumunuzu kontrol etmeniz için bir teşvik olarak değerlendirin. Elimizdeki kaynakta L0CK3D kampanyasının ayrıntıları yetersiz, bu nedenle belirli açıklardan yararlanma hakkındaki söylentilere göre hareket etmekten kaçının. Kontrol edebildiklerinize odaklanın: NAS'ınızın açıkta olup olmadığı, yamalanıp yamalanmadığı ve saldırganın dokunamayacağı bir yedeğiniz olup olmadığı. Zaten etkilendiyseniz, önce cihazı izole edin, ardından suçlulara para göndermeden kurtarma sürecini tamamlayın.

Çıkarımlar

Synology NAS L0CK3D fidye yazılımı kurtarması, bir saldırıdan önce hazırlandığınızda çok daha kolaydır. Bugün NAS'ınıza giriş yapın ve internete açık olanları inceleyin, ürün yazılımınızın güncel olduğunu doğrulayın ve yedekten gerçekten bir dosyayı geri yükleyebildiğinizi test edin. Ardından, baskı altında doğaçlama yapmak zorunda kalmayacağınız bir plan oluşturmak için değiştirilemez yedekler ve mağdurların ödemeyi reddetme eğilimi hakkında bilgi edinin.