Các báo cáo về ransomware L0CK3D mã hóa thiết bị NAS Synology đang lan truyền, với các nạn nhân nhận thấy phần mở rộng tệp của họ đã bị thay đổi. Bài viết gốc, một hướng dẫn từ blog SheMo Noransom, mô tả hoạt động này là quy mô lớn và đưa ra lời khuyên ứng phó khẩn cấp. Đoạn trích có sẵn cho chúng tôi rất ngắn, vì vậy bài đăng này không đưa ra thông tin cụ thể về cách kẻ tấn công xâm nhập, có bao nhiêu thiết bị bị ảnh hưởng, hoặc các yêu cầu tiền chuộc trông như thế nào. Những gì chúng tôi có thể làm là trình bày một danh sách kiểm tra khôi phục ransomware L0CK3D cho NAS Synology hợp lý, được xây dựng dựa trên các triệu chứng được mô tả và thực tiễn ứng phó sự cố tiêu chuẩn.

Cách nhận biết L0CK3D đã tấn công NAS Synology của bạn

Triệu chứng chính được báo cáo là phần mở rộng tệp bị thay đổi. Tài liệu, ảnh và bản sao lưu từng mở bình thường giờ đây mang một hậu tố lạ và sẽ không mở trong các ứng dụng thông thường của chúng. Các dấu hiệu khác thường liên quan đến ransomware trên NAS bao gồm:

  • Các tệp đột nhiên không thể xem trước hoặc mở từ File Station hoặc ổ đĩa được ánh xạ
  • Một ghi chú văn bản hoặc HTML mới xuất hiện trong các thư mục chia sẻ
  • Hoạt động đĩa hoặc CPU cao bất thường mà không có lý do
  • Các thư mục chia sẻ trông ổn trên NAS nhưng bị lỗi từ máy tính của bạn, hoặc ngược lại

Trước khi cho rằng điều tồi tệ nhất, hãy loại trừ các nguyên nhân đơn giản như ổ đĩa bị lỗi, thay đổi quyền, hoặc ứng dụng đồng bộ bị trục trặc. Nếu nhiều thư mục chia sẻ cùng lúc hiển thị phần mở rộng bị thay đổi, hãy coi đó là nhiễm trùng cho đến khi chứng minh được điều ngược lại.

Các bước đầu tiên: cô lập thiết bị và kiểm tra mức độ phơi nhiễm

Tốc độ rất quan trọng, nhưng việc không làm mọi thứ tồi tệ hơn cũng vậy. Một thứ tự thao tác bình tĩnh sẽ giúp ích.

1. Ngắt kết nối NAS khỏi mạng. Rút cáp Ethernet và tắt Wi-Fi nếu có. Điều này ngăn chặn việc mã hóa thêm các thư mục chia sẻ được kết nối và cắt đứt mọi quyền truy cập từ xa. Tránh tắt nguồn cứng nếu có thể; tắt máy sạch sẽ có thể bảo toàn nhật ký hữu ích, mặc dù ưu tiên của bạn là ngăn chặn sự lây lan.

2. Kiểm tra các thiết bị khác của bạn. Nếu một PC hoặc laptop đã gắn NAS như một ổ đĩa, máy đó có thể là nguồn lây nhiễm, hoặc có thể là mục tiêu tiếp theo. Ngắt kết nối nó và quét trước khi kết nối lại bất cứ thứ gì.

3. Ghi lại những gì bạn thấy. Chụp ảnh màn hình, ghi chú phần mở rộng tệp và lưu bất kỳ ghi chú đòi tiền chuộc nào. Điều này giúp ích cho việc phân tích sau này, yêu cầu bảo hiểm hoặc báo cáo với cơ quan chức năng.

4. Xem xét cách thiết bị bị phơi nhiễm. Hãy tự hỏi liệu NAS có thể truy cập được từ internet thông qua chuyển tiếp cổng, tính năng truy cập từ xa hoặc bảng quản trị web hay không. Xem xét liệu bạn có đang chạy firmware DSM lỗi thời, liệu tài khoản admin có sử dụng mật khẩu yếu hoặc tái sử dụng, và liệu tài khoản mặc định hoặc các dịch vụ không cần thiết vẫn còn hoạt động. Tài liệu nguồn không chỉ rõ phương thức xâm nhập, vì vậy bạn nên giả định bất kỳ điều nào trong số này có thể liên quan và kiểm tra từng điểm.

5. Thay đổi thông tin xác thực. Từ một thiết bị sạch, đặt lại mật khẩu cho tài khoản admin NAS, bất kỳ tài khoản chia sẻ nào và bất cứ thứ gì khác được lưu trữ trên hoặc có thể truy cập từ NAS.

Các lựa chọn khôi phục và tại sao trả tiền là một canh bạc tồi

Cách khôi phục sạch nhất là từ bản sao lưu mà kẻ tấn công không thể tiếp cận. Kiểm tra xem bạn có bản sao trên ổ đĩa ngoài đã ngắt kết nối, một NAS riêng biệt, hoặc bản sao lưu đám mây có lịch sử phiên bản hay không. Trước khi khôi phục, hãy xóa và xây dựng lại NAS với firmware đã cập nhật để bạn không khôi phục vào một hệ thống đã bị xâm phạm. Nếu bản sao lưu của bạn cũng nằm trên cùng thiết bị hoặc thư mục chia sẻ được gắn kết, chúng cũng có thể đã bị mã hóa, đó là lý do tại sao thiết kế sao lưu của bạn lại quan trọng. Bài viết của chúng tôi về tại sao bản sao lưu bất biến vẫn bị ransomware tấn công giải thích những điểm mà ngay cả các thiết lập có ý định tốt cũng không đạt được.

Nếu bạn không có bản sao lưu sạch, các lựa chọn của bạn bị thu hẹp:

  • Tìm kiếm ảnh chụp nhanh. Nếu ảnh chụp nhanh Btrfs được bật và không bị xóa, bạn có thể khôi phục về trạng thái trước đó. Kiểm tra điều này trước khi làm bất cứ điều gì khác với ổ đĩa.
  • Kiểm tra công cụ giải mã công khai. Các công cụ miễn phí đôi khi xuất hiện cho các họ ransomware cụ thể. Xác minh bất kỳ công cụ nào từ nguồn uy tín trước khi chạy nó, và làm việc trên các bản sao của dữ liệu.
  • Cân nhắc sự trợ giúp chuyên nghiệp. Một công ty ứng phó sự cố hoặc phục hồi dữ liệu có uy tín có thể đánh giá liệu việc khôi phục có khả thi hay không.

Về việc trả tiền, đó là một canh bạc tồi. Không có gì đảm bảo bạn sẽ nhận được công cụ giải mã hoạt động, và việc thanh toán đánh dấu bạn là một mục tiêu sẵn lòng. Nghiên cứu được trích dẫn trong bài viết của chúng tôi về cách 64% nạn nhân ransomware hiện từ chối trả tiền cho thấy việc từ chối đang ngày càng trở thành chuẩn mực. Để có cái nhìn rộng hơn về cách các nhóm tội phạm thích nghi, hãy xem đánh giá của Group-IB về mô hình kinh doanh đang phát triển của ransomware.

Tăng cường bảo mật NAS để lần sau không bị tiếp cận

Hầu hết các vụ xâm phạm NAS đều xuất phát từ mức độ phơi nhiễm và sự thiếu quan tâm. Một vài thay đổi sẽ đóng nhiều cánh cửa phổ biến:

  • Đưa nó ra khỏi internet công cộng. Xóa chuyển tiếp cổng và tắt bất kỳ tính năng truy cập từ xa nào bạn không thực sự cần. Nếu bạn cần truy cập từ xa, hãy sử dụng VPN vào mạng gia đình hoặc văn phòng của bạn thay vì để lộ NAS trực tiếp.
  • Giữ DSM và các gói được cập nhật. Bật cập nhật bảo mật tự động khi có thể, và xóa các ứng dụng bạn không còn sử dụng.
  • Khóa chặt tài khoản. Tắt tài khoản admin mặc định, sử dụng mật khẩu dài và duy nhất, và bật xác thực hai yếu tố.
  • Sử dụng Security Advisor tích hợp. Nó có thể gắn cờ mật khẩu yếu và cài đặt rủi ro.
  • Bật tự động chặn và hạn chế truy cập theo IP khi phù hợp với thiết lập của bạn.
  • Bật ảnh chụp nhanh và duy trì chúng theo lịch trình hợp lý.
  • Tuân theo phương pháp 3-2-1. Giữ ba bản sao dữ liệu, trên hai loại phương tiện, với một bản ngoại tuyến hoặc ngoài tầm với.

Điều này có ý nghĩa gì với bạn

Nếu bạn chạy NAS Synology tại nhà hoặc trong một doanh nghiệp nhỏ, hãy coi những báo cáo này như một lời nhắc để kiểm tra thiết lập của bạn, không phải là lý do để hoảng loạn. Các chi tiết về chiến dịch L0CK3D rất mỏng trong nguồn chúng tôi có, vì vậy hãy tránh hành động dựa trên tin đồn về các lỗ hổng cụ thể. Tập trung vào những gì bạn kiểm soát: liệu NAS của bạn có bị phơi nhiễm không, liệu nó đã được vá chưa, và liệu bạn có bản sao lưu mà kẻ tấn công không thể chạm tới. Nếu bạn đã bị ảnh hưởng, hãy cô lập thiết bị trước, sau đó thực hiện khôi phục mà không gửi tiền cho tội phạm.

Các điểm chính

Việc khôi phục ransomware L0CK3D cho NAS Synology dễ dàng hơn nhiều khi bạn chuẩn bị trước một cuộc tấn công. Hôm nay, hãy đăng nhập vào NAS của bạn và xem những gì bị phơi nhiễm ra internet, xác nhận firmware của bạn là phiên bản hiện tại, và kiểm tra rằng bạn thực sự có thể khôi phục một tệp từ bản sao lưu. Sau đó tìm hiểu về bản sao lưu bất biến và xu hướng nạn nhân từ chối trả tiền để hình thành một kế hoạch mà bạn sẽ không phải ứng biến dưới áp lực.