Một chiến dịch ransomware có tên C3RB3R đang nhắm vào các thiết bị lưu trữ gắn mạng (NAS) của Synology, và mô thức này đã quen thuộc: những thiết bị chạy phần mềm hệ điều hành lỗi thời chính là những thiết bị bị mã hóa tệp tin. Nếu bạn lưu ảnh gia đình, tài liệu doanh nghiệp hay bản sao lưu trên một thiết bị Synology, bảo vệ Synology NAS khỏi ransomware C3RB3R rút gọn lại thành một danh sách ngắn những thói quen bạn có thể bắt đầu ngay hôm nay.
Bài viết này sẽ trình bày cách thức cuộc tấn công diễn ra, cách phân biệt một sự cố thực sự với một lời đe dọa suông, và cần làm gì khi gặp phải.
Cách cuộc tấn công C3RB3R nhắm vào Synology NAS hoạt động
Theo báo cáo của Kaspersky, ransomware C3RB3R tấn công các thiết bị Synology NAS chạy hệ điều hành lỗi thời và mã hóa các tệp tin được lưu trên đó. Một số bài viết từ cộng đồng và bảo mật gọi cùng hoạt động này là LOCK3D hoặc L0CK3D, nên bạn có thể bắt gặp nhiều cách viết khác nhau khi tìm hiểu.
Một chiếc NAS là mục tiêu hấp dẫn vì một lý do đơn giản: đó là nơi mọi người tập trung dữ liệu của mình. Tài liệu, ảnh, thư mục dự án chia sẻ, và thường cả bản sao lưu đều nằm ở một chỗ, và thiết bị này thường xuyên có thể truy cập được từ internet để truy cập từ xa. Khi phần mềm trên thiết bị đó bị tụt lại phía sau về cập nhật, kẻ tấn công có nhiều dư địa để hoạt động hơn.
Áp lực không chỉ dừng ở việc mã hóa. Nếu nạn nhân từ chối trả tiền, bọn tội phạm đe dọa sẽ công khai dữ liệu bị đánh cắp. Chúng có thể liên hệ với nạn nhân qua email hoặc mạng xã hội với những yêu cầu này.
Mã hóa thật hay lừa đảo tống tiền: cách phân biệt
Không phải mọi tin nhắn đe dọa đều có nghĩa là bạn đã bị tấn công. Kaspersky lưu ý rằng những lời đe dọa như vậy thường chẳng qua chỉ là một trò lừa đảo, một mô thức mà họ đã đề cập riêng trong bài viết về cách kẻ lừa đảo dùng email để tống tiền và đe dọa. Những yêu cầu gửi hàng loạt tuyên bố đang nắm giữ dữ liệu của bạn là chuyện phổ biến, và nhiều trong số đó chỉ là lời đe dọa suông được gửi đến hàng nghìn người mà không có quyền truy cập thực sự nào.
Bản thân chiếc NAS là bằng chứng tốt nhất. Một vài kiểm tra thực tế:
- Xem xét các tệp tin của bạn. Nếu tài liệu không thể truy cập, bị đổi tên, hoặc đi kèm một ghi chú đòi tiền chuộc trên thiết bị, nhiều khả năng bạn đang đối mặt với một sự cố mã hóa thực sự. Nếu mọi thứ vẫn mở bình thường, một email đơn thuần có lẽ chỉ là lời đe dọa rỗng.
- Kiểm tra thiết bị, không phải tin nhắn. Đăng nhập trực tiếp vào giao diện DSM (không qua liên kết trong email) và xem xét điều gì đang diễn ra trên hệ thống.
- Trung thực về rủi ro. Kaspersky nói rõ rằng nếu NAS của bạn thực sự đã bị mã hóa, bạn không thể loại trừ khả năng dữ liệu bị đánh cắp. Hãy coi một sự cố mã hóa thực sự như một nguy cơ lộ lộ dữ liệu tiềm tàng, chứ không chỉ là vấn đề về tính khả dụng.
Sự phân biệt này quan trọng vì cách phản ứng đúng sẽ khác nhau. Một lời đe dọa suông đòi hỏi phải bỏ qua và báo cáo tin nhắn. Một sự lây nhiễm thực sự đòi hỏi phải cách ly và khôi phục.
Cần làm gì nếu NAS của bạn bị mã hóa
Nếu các tệp tin trên thiết bị của bạn thực sự bị khóa, hãy hành động bình tĩnh và theo trình tự.
- Ngắt kết nối NAS khỏi mạng. Điều này giúp ngăn chặn thiệt hại thêm và cắt đứt bất kỳ quyền truy cập từ xa nào mà kẻ tấn công có thể vẫn còn.
- Đừng tin vào lời hứa của bọn tội phạm. Trả tiền không đảm bảo tệp tin của bạn được trả lại, và cũng không hoàn tác được bất kỳ vụ đánh cắp nào đã xảy ra.
- Giả định rằng dữ liệu có thể đã bị sao chép. Hãy nghĩ về những gì được lưu trữ ở đó: tài liệu cá nhân, thông tin khách hàng, thông tin đăng nhập. Thay đổi mật khẩu cho các tài khoản có thông tin chi tiết có thể đã được lưu trên thiết bị, và cân nhắc ai có thể cần được thông báo nếu dữ liệu thuộc về khách hàng hoặc đồng nghiệp.
- Khôi phục từ một bản sao lưu sạch. Đây là lúc bản sao lưu ngoại tuyến hoặc tách biệt chứng tỏ giá trị của chúng. Trước khi kết nối lại bất cứ thứ gì, hãy cập nhật phần mềm NAS để bạn không khôi phục vào đúng điểm yếu đó.
- Tìm kiếm sự trợ giúp chuyên nghiệp nếu dữ liệu là thiết yếu với doanh nghiệp. Một chuyên gia ứng phó sự cố có thể giúp xác định những gì đã bị truy cập.
Danh sách kiểm tra tăng cường bảo mật NAS: cập nhật, dịch vụ công khai, sao lưu, kiểm soát truy cập
Hướng dẫn của chính Synology, như được phản ánh trong các nguồn đang xem xét chiến dịch này, chỉ ra một bộ biện pháp khắc phục nhất quán. Không biện pháp nào đòi hỏi chuyên môn đặc biệt.
Cập nhật mọi thứ. Cập nhật DSM, hệ điều hành của NAS, và các gói đã cài đặt của bạn. Synology đã kêu gọi người dùng đang chạy các phiên bản dễ bị tổn thương cập nhật ngay lập tức. Bật cập nhật tự động khi có thể, và thỉnh thoảng vẫn nên kiểm tra thiết bị ngay cả khi đã bật.
Đóng những gì bạn không cần. Chỉ mở những dịch vụ bạn thực sự sử dụng. Mỗi cổng được mở hay tính năng truy cập từ xa là một cánh cửa mà ai đó có thể thử. Nếu bạn không cần truy cập NAS từ bên ngoài nhà hoặc văn phòng của mình, hãy tắt quyền truy cập internet trực tiếp vào nó.
Khóa chặt đăng nhập. Đảm bảo Auto Block, Account Protection và xác thực đa yếu tố được bật. Sử dụng mật khẩu dài, duy nhất cho các tài khoản quản trị, và tránh để lại thông tin đăng nhập mặc định hoặc dùng chung.
Chạy các kiểm tra tích hợp sẵn. Synology Security Advisor có thể thường xuyên quét thiết bị để tìm lỗ hổng và cấu hình yếu. Việc này chỉ mất vài phút và bắt được kiểu lệch lạc tích tụ theo thời gian.
Duy trì các bản sao lưu mà ransomware không thể chạm tới. Một bản sao lưu nằm trên cùng chiếc NAS, hoặc trên một thư mục chia sẻ mà NAS luôn có thể ghi vào, có thể bị mã hóa cùng với mọi thứ khác. Giữ ít nhất một bản sao ngoại tuyến hoặc tách biệt theo cách khác, và kiểm tra rằng bạn có thể khôi phục từ đó.
Điều này có ý nghĩa gì với bạn
Nếu bạn sở hữu một chiếc Synology NAS, câu hỏi then chốt là liệu nó có đang được cập nhật và mức độ phơi bày của nó ra sao. Phần mềm lỗi thời cộng với quyền truy cập hướng ra internet chính là sự kết hợp mà chiến dịch này được xây dựng xoay quanh. Nếu bạn không dùng NAS nhưng nhận được email tuyên bố ai đó đang nắm giữ tệp tin của bạn, hãy nhớ rằng những tin nhắn như vậy thường là lừa đảo và bước đầu tiên là xác minh xem có điều gì thực sự đã xảy ra hay không.
Đối với các văn phòng nhỏ, một chiếc NAS thường chứa dữ liệu về người khác, điều này làm tăng mức độ nghiêm trọng nếu có khả năng bị đánh cắp. Cập nhật và hạn chế truy cập rẻ hơn bất kỳ việc khôi phục nào.
Những điểm cần hành động
- Cập nhật DSM và tất cả các gói đã cài đặt ngay hôm nay, và bật cập nhật tự động.
- Đóng các cổng và dịch vụ truy cập từ xa mà bạn không sử dụng.
- Bật Auto Block, Account Protection và xác thực đa yếu tố.
- Chạy Synology Security Advisor và khắc phục những gì nó cảnh báo.
- Duy trì một bản sao lưu ngoại tuyến và kiểm tra khôi phục.
- Nếu nhận được tin nhắn tống tiền, hãy kiểm tra tệp tin của bạn trước khi phản ứng.
Kiểm tra cấu hình của bạn ngay bây giờ là biện pháp bảo vệ Synology NAS khỏi ransomware C3RB3R hiệu quả nhất mà bạn có thể áp dụng, và việc này mất ít thời gian hơn nhiều so với khôi phục sau một cuộc tấn công.
