Кампанія ransomware під назвою C3RB3R націлена на пристрої Synology network-attached storage (NAS), і картина знайома: файли шифруються саме на пристроях із застарілим програмним забезпеченням операційної системи. Якщо ви зберігаєте сімейні фото, бізнес-документи або резервні копії на Synology, захист Synology NAS від ransomware C3RB3R зводиться до короткого переліку звичок, які можна почати впроваджувати вже сьогодні.
У цій статті розглянуто, як працює атака, як відрізнити справжній інцидент від блефу та що з цим робити.
Як працює атака C3RB3R на Synology NAS
Згідно з повідомленням Kaspersky, ransomware C3RB3R атакує пристрої Synology NAS із застарілими операційними системами та шифрує файли, що на них зберігаються. У деяких матеріалах спільноти та публікаціях із безпеки ту саму активність називають LOCK3D або L0CK3D, тож під час дослідження ви можете зустріти кілька варіантів написання.
NAS є привабливою ціллю з простої причини: саме там люди концентрують свої дані. Документи, фотографії, спільні папки проєктів і часто резервні копії — усе лежить в одному місці, а пристрій нерідко доступний з інтернету для віддаленого доступу. Коли програмне забезпечення на цьому пристрої відстає з оновленнями, у зловмисників з'являється більше простору для дій.
Тиск не обмежується шифруванням. Якщо жертва відмовляється платити, злочинці погрожують оприлюднити викрадені дані. Вони можуть зв'язуватися з жертвами електронною поштою або через соціальні мережі з цими вимогами.
Справжнє шифрування чи шахрайство з вимаганням: як відрізнити
Не кожне погрозливе повідомлення означає, що вас зламали. Kaspersky зазначає, що такі погрози часто є не чим іншим, як шахрайством, — цю тему вона окремо висвітлювала у своєму матеріалі про те, як шахраї використовують електронну пошту для шантажу та вимагання. Масові розсилки з вимогами, які стверджують, що тримають ваші дані, є поширеним явищем, і багато з них — це блеф, розісланий тисячам людей без жодного реального доступу.
Найкращий доказ — сам NAS. Кілька практичних перевірок:
- Подивіться на свої файли. Якщо документи недоступні, перейменовані або супроводжуються запискою про викуп на пристрої, ймовірно, ви маєте справу з реальним шифруванням. Якщо все відкривається нормально, сам лише електронний лист, найімовірніше, є порожньою погрозою.
- Перевіряйте пристрій, а не повідомлення. Увійдіть в інтерфейс DSM безпосередньо (не через посилання в електронному листі) і перегляньте, що відбувається в системі.
- Будьте чесними щодо ризику. Kaspersky чітко зазначає, що якщо ваш NAS справді зашифровано, ви не можете виключати крадіжку даних. Ставтеся до реального інциденту шифрування як до потенційного витоку даних, а не лише як до проблеми доступності.
Це розрізнення важливе, оскільки правильна реакція відрізняється. Блеф вимагає ігнорування та повідомлення про нього. Справжнє зараження вимагає локалізації та відновлення.
Що робити, якщо ваш NAS зашифровано
Якщо файли на вашому пристрої справді заблоковані, дійте спокійно та послідовно.
- Від'єднайте NAS від мережі. Це допоможе зупинити подальшу шкоду та відрізати будь-який віддалений доступ, який зловмисники ще можуть мати.
- Не покладайтеся на обіцянки злочинців. Оплата не гарантує повернення файлів і не скасовує крадіжку, яка вже сталася.
- Припускайте, що дані могли бути скопійовані. Подумайте, що там зберігалося: особисті документи, інформація про клієнтів, облікові дані. Змініть паролі для акаунтів, чиї дані могли зберігатися на пристрої, і подумайте, кого потрібно повідомити, якщо дані належать клієнтам або колегам.
- Відновіть із чистої резервної копії. Саме тут офлайн-копії або окремі резервні копії доводять свою цінність. Перш ніж щось підключати, оновіть програмне забезпечення NAS, щоб не відновлювати на ту саму вразливість.
- Зверніться по професійну допомогу, якщо дані критичні для бізнесу. Фахівець із реагування на інциденти може допомогти визначити, до чого було отримано доступ.
Чек-лист посилення захисту NAS: оновлення, відкриті сервіси, резервні копії, контроль доступу
Власні рекомендації Synology, відображені в джерелах, що розглядають цю кампанію, вказують на послідовний набір виправлень. Жодне з них не потребує спеціальних знань.
Оновлюйте все. Оновіть DSM, операційну систему NAS, і встановлені пакети. Synology закликала користувачів із вразливими версіями оновитися негайно. Увімкніть автоматичні оновлення, де це можливо, і все одно час від часу перевіряйте пристрій.
Закрийте те, що вам не потрібно. Відкривайте лише ті сервіси, якими ви справді користуєтеся. Кожен відкритий порт або функція віддаленого доступу — це двері, які хтось може спробувати відчинити. Якщо вам не потрібно отримувати доступ до NAS ззовні вашого дому чи офісу, вимкніть прямий доступ до нього з інтернету.
Захистіть входи. Переконайтеся, що Auto Block, Account Protection і багатофакторна автентифікація увімкнені. Використовуйте унікальні довгі паролі для адміністративних акаунтів і не залишайте стандартні або спільні облікові дані.
Запустіть вбудовані перевірки. Synology Security Advisor може регулярно сканувати пристрій на наявність вразливостей і слабких налаштувань. Це займає хвилини та виявляє той тип відхилень, що накопичуються з часом.
Зберігайте резервні копії, недосяжні для ransomware. Резервна копія, що лежить на тому самому NAS або на ресурсі, до якого NAS завжди має доступ на запис, може бути зашифрована разом з усім іншим. Зберігайте принаймні одну копію офлайн або іншим чином відокремленою та перевіряйте, що з неї можна відновитися.
Що це означає для вас
Якщо ви володієте Synology NAS, ключове питання — чи він актуальний і наскільки він відкритий. Застаріле програмне забезпечення плюс доступ з інтернету — це комбінація, на якій побудована ця кампанія. Якщо ви не використовуєте NAS, але отримали електронний лист із твердженням, що хтось має ваші файли, пам'ятайте, що такі повідомлення часто є шахрайством, і перший крок — перевірити, чи щось справді сталося.
Для малих офісів NAS часто зберігає дані про інших людей, що підвищує ставки, якщо крадіжка можлива. Оновлення та обмеження доступу дешевші за будь-яке відновлення.
Практичні висновки
- Оновіть DSM і всі встановлені пакети сьогодні та увімкніть автоматичні оновлення.
- Закрийте порти та сервіси віддаленого доступу, якими ви не користуєтеся.
- Увімкніть Auto Block, Account Protection і багатофакторну автентифікацію.
- Запустіть Synology Security Advisor і виправте те, на що він вкаже.
- Зберігайте офлайн-резервну копію та перевіряйте відновлення.
- Якщо надходить повідомлення з вимогою викупу, спершу перевірте свої файли, перш ніж реагувати.
Перевірка вашої конфігурації зараз — це найефективніший захист Synology NAS від ransomware C3RB3R, який ви можете запровадити, і це займає значно менше часу, ніж відновлення після атаки.
