Chủ sở hữu NAS Synology nên làm gì để bảo vệ chống lại ransomware nhắm vào các bản cài đặt DSM lỗi thời?

Synology đang hướng dẫn khách hàng cập nhật DiskStation Manager (DSM) để giải quyết vấn đề. Bạn có thể kiểm tra phiên bản mới nhất trong DSM tại Control Panel > Update & Restore.

Vì sao các bản cài đặt DSM lỗi thời lại bị kẻ tấn công nhắm tới?

Các phiên bản DSM cũ có thể mang những lỗ hổng bảo mật đã biết và đã được vá trong các bản phát hành mới hơn, và khi những bản vá đó được công khai, kẻ tấn công có thể tìm kiếm các thiết bị chưa từng nhận được chúng. Các thiết bị NAS cũng hấp dẫn vì chúng lưu giữ dữ liệu có giá trị và thường được thiết lập một lần rồi bị lãng quên.

Ransomware thường tiếp cận một thiết bị NAS như thế nào?

Bài viết lưu ý rằng phương thức tấn công cụ thể trong trường hợp này không được mô tả chi tiết, nhưng các con đường phổ biến bao gồm trang đăng nhập hoặc truy cập từ xa bị phơi nhiễm ra Internet, phần mềm chưa được vá, và thông tin đăng nhập yếu hoặc bị dùng lại.

Làm sao tôi biết NAS Synology của mình đã bị ransomware tấn công?

Nạn nhân thường nhận ra đầu tiên rằng tên tệp hoặc phần mở rộng tệp đã thay đổi sau khi ransomware mã hóa các tệp. Bài viết chỉ đến một hướng dẫn riêng về các bước khôi phục sau khi ransomware L0CK3D tấn công NAS Synology để biết những việc cần làm tiếp theo.

Ngoài việc cập nhật DSM, còn những bước nào khác để tăng cường bảo mật cho NAS Synology?

Bài viết khuyến nghị bật cập nhật DSM tự động, xem lại và tắt truy cập từ xa không dùng đến, sử dụng mật khẩu mạnh và duy nhất, vô hiệu hóa các tài khoản không cần thiết, bật xác thực hai yếu tố và giữ bản sao lưu tách biệt.

Cập nhật ransomware Synology DSM: lời kêu gọi cập nhật nhắm vào các hệ thống NAS cũ

Synology đã kêu gọi khách hàng cập nhật DiskStation Manager (DSM) sau khi các nhóm vận hành ransomware nhắm vào các bản cài đặt DSM lỗi thời. Báo cáo nguồn khá ngắn gọn và không nêu tên một họ ransomware, lỗ hổng hoặc số lượng nạn nhân cụ thể, vì vậy bài viết này chỉ tập trung vào những gì đã được xác nhận: các phiên bản DSM cũ hơn đang bị nhắm tới, và giải pháp mà Synology đang hướng đến là cập nhật. Nếu bạn sở hữu một thiết bị lưu trữ gắn mạng (NAS), hướng dẫn cập nhật DSM của Synology để chống ransomware rất đáng để bạn thực hiện ngay hôm nay.

Vì sao các bản cài đặt DSM lỗi thời lại bị nhắm tới

Kẻ tấn công thường hướng đến nơi tốn ít công sức nhất. Một chiếc NAS đang chạy phiên bản hệ điều hành cũ có thể mang những lỗ hổng bảo mật đã biết và đã được vá trong các bản phát hành mới hơn. Khi những bản vá đó được công khai, bất kỳ ai cũng có thể nghiên cứu những gì đã thay đổi và tìm kiếm các thiết bị chưa từng nhận được bản vá.

Các thiết bị NAS cũng hấp dẫn vì những gì chúng lưu giữ. Ảnh gia đình, hồ sơ tài chính, tài liệu kinh doanh và thường cả các bản sao lưu đều nằm ở một nơi. Việc mã hóa dữ liệu đó mang lại cho các nhóm vận hành ransomware đòn bẩy mạnh mẽ, vì nạn nhân có thể không còn bản sao nào khác.

Và nhiều thiết bị NAS được thiết lập một lần rồi bị lãng quên. Chúng nằm im lìm trong tủ hoặc dưới gầm bàn, chạy trong nhiều năm. Thói quen "thiết lập rồi quên" chính là điều khiến các bản cài đặt lỗi thời dễ bị phát hiện và dễ bị tấn công.

Ransomware tiếp cận các thiết bị NAS gia đình và văn phòng bị lộ như thế nào

Bài báo nguồn không mô tả chi tiết phương thức tấn công được sử dụng trong trường hợp này, vì vậy chúng tôi không thể nói chính xác những vụ xâm nhập này diễn ra như thế nào. Tuy nhiên, nhìn chung, ransomware tiếp cận một chiếc NAS qua một vài con đường quen thuộc:

Phơi nhiễm trên Internet: Nếu trang đăng nhập hoặc các tính năng truy cập từ xa của thiết bị có thể truy cập được từ internet công cộng, các công cụ quét tự động có thể tìm thấy nó.
Phần mềm chưa được vá: Các lỗ hổng đã biết trong các phiên bản DSM cũ có thể tạo điều kiện cho kẻ tấn công xâm nhập mà không cần mật khẩu.
Thông tin đăng nhập yếu hoặc bị dùng lại: Mật khẩu quản trị đơn giản và các tài khoản chưa từng bị vô hiệu hóa khiến các cuộc tấn công dò đoán trở nên dễ dàng hơn nhiều.

Khi đã vào được bên trong, ransomware mã hóa các tệp và thường đòi tiền chuộc để khôi phục chúng. Nạn nhân thường nhận ra đầu tiên rằng tên tệp hoặc phần mở rộng tệp đã thay đổi. Nếu điều đó giống với những gì bạn đang thấy, hướng dẫn của chúng tôi về các bước khôi phục sau khi ransomware L0CK3D tấn công NAS Synology sẽ trình bày những việc cần làm tiếp theo.

Danh sách kiểm tra tăng cường bảo mật thực tế cho NAS Synology của bạn

Cập nhật là bước đầu tiên, nhưng một vài thói quen khác sẽ khép lại hầu hết các lỗ hổng phổ biến.

Cập nhật DSM ngay bây giờ. Trong DSM, mở Control Panel và vào Update & Restore để kiểm tra phiên bản mới nhất. Cập nhật có thể khởi động lại thiết bị, vì vậy hãy chọn thời điểm ít sử dụng.
Bật cập nhật tự động cho DSM nếu phù hợp với thiết lập của bạn, để thiết bị không bị lỗi thời trở lại.
Xem lại cài đặt truy cập từ xa. Kiểm tra những dịch vụ nào có thể truy cập từ bên ngoài mạng của bạn và tắt bất kỳ dịch vụ nào bạn không thực sự sử dụng.
Sử dụng mật khẩu mạnh và duy nhất cho mọi tài khoản, và vô hiệu hóa những tài khoản bạn không còn cần đến.
Bật xác thực hai yếu tố cho đăng nhập của quản trị viên và người dùng.
Giữ bản sao lưu tách biệt. Một bản sao lưu được lưu trên cùng chiếc NAS đó không phải là bản sao lưu thực sự. Hãy giữ ít nhất một bản sao ngoại tuyến hoặc trên một hệ thống khác.
Cân nhắc sử dụng snapshot. Tính năng snapshot có thể giúp bạn khôi phục về trạng thái trước sau một cuộc tấn công, tùy thuộc vào phiên bản DSM và cấu hình của bạn.

Không bước nào trong số này đòi hỏi chuyên môn đặc biệt, và khi kết hợp lại, chúng khiến thiết bị trở thành mục tiêu khó tấn công hơn nhiều so với một thiết bị bị bỏ mặc trong nhiều năm.

Vì sao VPN tốt hơn việc phơi nhiễm NAS của bạn ra Internet

Nhiều người mở NAS của mình ra Internet để có thể truy cập tệp khi đi du lịch hoặc làm việc từ xa. Cái giá phải trả là trang đăng nhập trở nên hiển thị với bất kỳ ai đang quét tìm nó, bao gồm cả các nhóm vận hành ransomware đang tìm kiếm các hệ thống lỗi thời.

Một cách làm an toàn hơn là giữ NAS ngoài web công cộng và kết nối với mạng gia đình hoặc văn phòng của bạn qua VPN khi bạn cần truy cập. Với thiết lập đó, thiết bị không thể truy cập trực tiếp từ bên ngoài. Bạn xác thực với VPN trước, sau đó truy cập NAS như thể bạn đang ở trên mạng cục bộ. Điều này thu hẹp đáng kể bề mặt tấn công, vì không có trang đăng nhập NAS nào đối diện công khai để dò thử.

VPN không thay thế cho việc cập nhật. Nếu kẻ tấn công vào được mạng của bạn bằng một con đường khác, một chiếc NAS chưa được vá vẫn dễ bị tổn thương. Hãy coi nó như một lớp bảo vệ song hành cùng việc vá lỗi, thông tin đăng nhập mạnh và sao lưu.

Điều này có ý nghĩa gì với bạn

Nếu bạn đang vận hành một chiếc NAS Synology tại nhà hoặc trong một văn phòng nhỏ, thông điệp rất đơn giản: đừng cho rằng thiết bị an toàn chỉ vì nó đã chạy mà không gặp trục trặc. Hãy kiểm tra phiên bản DSM của bạn, cài đặt các bản cập nhật đang chờ và xem xét liệu có dịch vụ nào của nó đang bị phơi nhiễm ra Internet hay không. Nếu bạn đã không đăng nhập vào NAS của mình trong nhiều tháng, thì đây là thời điểm tốt để làm việc đó.

Nếu bạn quản lý NAS cho một doanh nghiệp nhỏ, hãy đưa nó vào quy trình bảo trì định kỳ của bạn. Một lời nhắc hàng tháng để kiểm tra cập nhật là một thói quen ít tốn kém giúp tránh được một vấn đề tốn kém hơn nhiều.

Những điểm chính cần ghi nhớ

Cập nhật DSM ngay hôm nay và bật cập nhật tự động nếu phù hợp.
Xem lại cài đặt truy cập từ xa và tắt mọi thứ bị phơi nhiễm mà bạn không cần.
Truy cập NAS của bạn qua VPN thay vì mở nó ra Internet.
Sử dụng mật khẩu mạnh, xác thực hai yếu tố và bản sao lưu tách biệt.
Nếu bạn nghi ngờ có nhiễm mã độc, hãy ngắt kết nối thiết bị khỏi mạng và làm theo các bước khôi phục ransomware L0CK3D.

Lời kêu gọi cập nhật DSM của Synology để chống ransomware là một lời nhắc nhở rằng phần mềm cũ là một lời mời mở. Vài phút dành cho việc vá lỗi và siết chặt quyền truy cập hôm nay có thể giúp bạn tránh được một ngày khó khăn hơn nhiều về sau.