Циркулюють повідомлення про те, що програма-вимагач L0CK3D шифрує пристрої Synology NAS, а постраждалі помічають, що розширення їхніх файлів було змінено. У вихідній статті, посібнику з блогу SheMo Noransom, цю активність описано як масштабну та надано поради щодо екстреного реагування. Доступний нам уривок короткий, тому цей допис не стверджує конкретних фактів про те, як зловмисники проникають у систему, скільки пристроїв уражено або як виглядають вимоги про викуп. Що ми можемо зробити, так це викласти розумний контрольний список відновлення після атаки програми-вимагача L0CK3D на Synology NAS, побудований навколо описаних симптомів і стандартної практики реагування на інциденти. ## Як визначити, чи L0CK3D вразив ваш Synology NAS Основний повідомлюваний симптом — змінені розширення файлів. Документи, фотографії та резервні копії, які раніше відкривалися нормально, тепер мають незнайомий суфікс і не відкриваються у своїх звичайних програмах. Інші ознаки, зазвичай пов'язані з програмами-вимагачами на NAS, включають: - Файли, які раптом не можна переглянути чи відкрити з File Station або підключеного диска - Поява нової текстової або HTML-записки у спільних папках - Незвично висока активність диска чи процесора без пояснення - Спільні ресурси, які виглядають нормально на NAS, але зламані на ваших комп'ютерах, або навпаки Перш ніж припускати найгірше, виключіть прості причини, як-от несправний диск, зміна дозволів або збій клієнта синхронізації. Якщо кілька спільних папок одночасно показують змінені розширення, вважайте це зараженням, доки не доведено протилежне. ## Перші кроки: ізолюйте пристрій і перевірте вразливість Швидкість важлива, але не менш важливо не погіршити ситуацію. Спокійний порядок дій допомагає. **1. Від'єднайте NAS від мережі.** Витягніть Ethernet-кабель і вимкніть Wi-Fi, якщо він використовується. Це зупиняє подальше шифрування підключених спільних ресурсів і відсікає будь-який віддалений доступ. Уникайте жорсткого вимкнення живлення, якщо це можливо; коректне завершення роботи може зберегти корисні журнали, хоча ваш пріоритет — зупинити поширення. **2. Перевірте інші ваші пристрої.** Якщо ПК або ноутбук мав NAS як підключений диск, ця машина могла бути джерелом або може бути наступною. Від'єднайте її та проскануйте, перш ніж щось підключати назад. **3. Задокументуйте побачене.** Сфотографуйте екран, запишіть розширення файлів і збережіть будь-яку записку про викуп. Це допоможе з подальшим аналізом, страховими претензіями або зверненнями до правоохоронних органів. **4. Проаналізуйте, як пристрій був відкритий.** Запитайте себе, чи був NAS доступний з інтернету через переадресацію портів, функції віддаленого доступу або веб-панель адміністрування. Подумайте, чи використовували ви застарілу прошивку DSM, чи використовували адміністративні облікові записи слабкі або повторно використовувані паролі, і чи були ще активні облікові записи за замовчуванням або непотрібні служби. Вихідний матеріал не уточнює спосіб проникнення, тому слід припустити, що будь-який із цих факторів може бути relevantним, і перевірити кожен із них. **5. Змініть облікові дані.** З чистого пристрою скиньте паролі для адміністративного облікового запису NAS, будь-яких спільних облікових записів і всього іншого, що зберігалося на NAS або було доступне з нього. ## Варіанти відновлення та чому платити — погана ставка Найчистіше відновлення — з резервної копії, до якої зловмисник не міг дістатися. Перевірте, чи є у вас копія на зовнішньому диску, який був від'єднаний, на окремому NAS або в хмарній резервній копії з історією версій. Перед відновленням очистіть і перебудуйте NAS з оновленою прошивкою, щоб не відновлювати дані в скомпрометовану систему. Якщо ваші резервні копії також були на тому самому пристрої або підключеному спільному ресурсі, вони теж можуть бути зашифровані, і саме тому дизайн вашої резервної копії має значення. Наша стаття про [чому незмінні резервні копії все одно стають ціллю програм-вимагачів](/en/why-immutable-backups-still-get-hit-by-ransomware) пояснює, де навіть добре продумані налаштування дають збій. Якщо у вас немає чистої резервної копії, ваші варіанти звужуються: - **Шукайте знімки.** Якщо знімки Btrfs були ввімкнені та не видалені, ви можете відкотитися. Перевірте це, перш ніж робити будь-що інше з томом. - **Перевірте наявність публічного дешифратора.** Іноді для конкретних сімейств програм-вимагачів з'являються безкоштовні інструменти. Перевірте будь-який інструмент із надійного джерела, перш ніж запускати його, і працюйте з копіями даних. - **Розгляньте професійну допомогу.** Надійна фірма з реагування на інциденти або відновлення даних може оцінити, чи відновлення є здійсненним. Щодо оплати — це погана ставка. Немає гарантії, що ви отримаєте робочий дешифратор, а оплата позначає вас як готову ціль. Дослідження, цитоване в нашому матеріалі про те, як [64% жертв програм-вимагачів тепер відмовляються платити](/en/ransomware-extortion-shifts-as-64-refuse-ransom-in-2026), свідчить, що відмова стає дедалі більше нормою. Для ширшого погляду на те, як адаптуються злочинні угруповання, дивіться [огляд Group-IB еволюції бізнес-моделі програм-вимагачів](/en/group-ib-ransomware-s-business-model-evolves-in-2026). ## Зміцнення вашого NAS, щоб він не був доступний наступного разу Більшість компрометацій NAS зводяться до вразливості та недбалості. Кілька змін закривають багато поширених дверей: - **Приберіть його з публічного інтернету.** Видаліть переадресації портів і вимкніть будь-яку функцію віддаленого доступу, яка вам справді не потрібна. Якщо вам потрібен віддалений доступ, використовуйте VPN до вашої домашньої чи офісної мережі, а не відкривайте NAS безпосередньо. - **Тримайте DSM і пакети оновленими.** Увімкніть автоматичні оновлення безпеки, де це практично, і видаліть програми, якими ви більше не користуєтеся. - **Захистіть облікові записи.** Вимкніть обліковий запис адміністратора за замовчуванням, використовуйте довгі унікальні паролі та ввімкніть двофакторну автентифікацію. - **Використовуйте вбудований Security Advisor.** Він може позначити слабкі паролі та ризиковані налаштування. - **Увімкніть автоблокування та обмежте доступ за IP**, де це підходить для ваших налаштувань. - **Увімкніть знімки** і підтримуйте їх за розумним графіком. - **Дотримуйтеся підходу 3-2-1.** Тримайте три копії даних на двох типах носіїв, одна з яких — офлайн або іншим чином недосяжна. ## Що це означає для вас Якщо ви керуєте Synology NAS вдома або в малому бізнесі, сприймайте ці повідомлення як привід перевірити ваші налаштування, а не як причину для паніки. Деталі кампанії L0CK3D у доступному нам джерелі є мізерними, тому уникайте дій на основі чуток про конкретні експлойти. Зосередьтеся на тому, що ви контролюєте: чи ваш NAS є вразливим, чи він пропатчений, і чи маєте ви резервну копію, якої зловмисник не може торкнутися. Якщо ви вже постраждали, спершу ізолюйте пристрій, а потім пройдіть процес відновлення, не надсилаючи грошей злочинцям. ## Ключові висновки Відновлення після атаки програми-вимагача L0CK3D на Synology NAS набагато легше, коли ви готуєтеся заздалегідь. Сьогодні увійдіть у свій NAS і подивіться, що відкрито в інтернет, переконайтеся, що ваша прошивка актуальна, і перевірте, що ви справді можете відновити файл із резервної копії. Потім ознайомтеся з [незмінними резервними копіями](/en/why-immutable-backups-still-get-hit-by-ransomware) і [тенденцією відмови жертв від оплати](/en/ransomware-extortion-shifts-as-64-refuse-ransom-in-2026), щоб сформувати план, який вам не доведеться імпровізувати під тиском.