Ransomware op 'n huis- of kantoor-NAS (Sinology/QNAP): stop enkripsie en UPnP-blootstelling¶

Hoor die hardeskywe binne jou netwerkgehegte berging (NAS) toestel (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, of Western Digital My Cloud) slaan voortdurend teen 100 persent skyfbenutting terwyl gedeelde dopgehou vol word .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, of .encrypt lêeruitbreidings (of om te sien dat jou NAS-webaanmeldingskerm vervang word deur 'n Bitcoin-losprys) is 'n kritieke stoornoodgeval. NAS-toestelle is gewaardeerde teikens vir outomatiese internetwye losprysware-botnets (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, en Akira) omdat 'n enkele onverwerkte NAS dikwels 10 tot 100 teragrepe van 'n gesin of klein besigheid se hele digitale lewe hou en gereeld direk aan die publieke internet blootgestel word sonder dat die eienaar dit besef via Router UPnP (Universal Plug and Play) Outo-poortaanstuur of verskaffer-wolk-aflosdienste (myQNAPcloud, Synology QuickConnect, EZ-Internet). Voordat jy die AC-kragsnoer uit die muur ruk, moet jy 'n belangrike 10-sekonde argitektoniese besluit neem gebaseer op of jou NAS Kopieer-op-skryf-kiekies gebruik (Btrfs of ZFS) of 'n tradisionele RAID-skikking; vir nie-ransomware skyf skikking ineenstortings, raadpleeg NAS RAID-skikking gedegradeer, veelvuldige dryffout en ZFS/Btrfs-herstel, en vir rekenaar-gebaseerde ransomware infeksies, sien wanware, ransomware en spyware-infeksie sowel as die beveiliging van tuisrouters en IoT-toestelle. As die losprysware 'n impak het op hospitaalbedrywighede, munisipale nooddienste of fisiese veiligheidsinfrastruktuur, skakel jou plaaslike noodnommer (911 in die Verenigde State en Kanada, 112 regoor die Europese Unie, 999 in die Verenigde Koninkryk) of raadpleeg ons gids van internasionale noodnommers.

Doen dit nou¶

1. ** Trek die fisiese Ethernet (RJ45 / 10GbE) netwerkkabel(s) uit die agterkant van die NAS NOU, voordat jy aan die kragkoord raak**:
2. As die Ethernet-kabel(s) ontkoppel word, word onmiddellik die aanvaller se interaktiewe SSH/HTTP-bevel-en-beheersessie verbreek, keer dat die NAS sekondêre enkripsie-loonvragte aflaai, en, ewe belangrik, ** stop onmiddellik 'n besmette rekenaarrekenaar op jou plaaslike kantoor-LAN om jou NAS oor SMB/CIFS-netwerkaandele te enkripteer (\\NAS\Share)**.
3. Bepaal binne 15 sekondes of krag moet onderbreek of die enkripsieproses skoon moet stop:
4. Scenario A: Die losprysware loop OP 'n rekenaarrekenaar op jou LAN en enkripteer NAS-lêers oor 'n SMB/Gekarteerde netwerkaandrywer: Trek eenvoudig die NAS Ethernet-kabel in Stap 1 het reeds 100% van die enkripsie op die NAS gestop. Laat die NAS aangeskakel sodat sy RAID-skikking en lêerstelsel skoon bly, en gaan isoleer die besmette Windows/Mac-werkstasie.
5. Scenario B: Die ransomware-binêre word direk BINNE die NAS Linux-bedryfstelsel self uitgevoer (DeadBolt, Qlocker, eCh0raix):
   • As jy nie het nie Btrfs of ZFS foto's geaktiveer (byvoorbeeld 'n ouer ext4 volume) en die aandrywers aktief maal terwyl die NAS jou enigste kopie van die lêers enkripteer, druk en hou die fisiese voorste aan/uit-knoppie op die NAS vir 5 tot 10 sekondes ingedruk om 'n onmiddellike harde afskakeling te dwing (of trek die GS/AC-kragprop uit as die knoppie nie reageer nie). Elke minuut wat die NAS aangeskakel bly, laat sy SVE nog 5 tot 20 gigagrepe van jou lêers enkripteer.
   • Belangrike waarskuwing (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware-stamme soos Qlocker (wat lêers na wagwoordbeskermde skuif .7z argiewe gebruik 7z) en DeadBolt hou soms aktiewe enkripsiestatus of dekripsiesleutels in /tmp (RAM) of kap die web-UI binêre (/home/httpd/index.html). As jy steeds 'n oop plaaslike SSH-worteldop in die NAS het, kyk ps aux en /tmp voordat dit afgeskakel word (sien Fase 2 hieronder).
6. ** Meld aan by jou internet router / firewall (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP-poort) onmiddellik en skakel AF UPnP (Universal Plug and Play) EN vee alle WAN Port Forwarding reëls uit wat na jou NAS wys**:
7. Meer as 80 persent van huis- en kleinkantoor-NAS-losprysinfeksies vind plaas omdat die gebruiker "Auto Router Configuration / EZ-Internet / UPnP" geklik het tydens aanvanklike opstelling, wat die tuisroeteerder stilweg opdrag gegee het om TCP-poorte oop te maak 5000, 5001, 8080, 8443, 443, 22 (SSH), of 445 (SMB) direk na die hele publieke internet (Shodan.io / Censys).
8. Deaktiveer UPnP permanent in jou router se WAN/NAT-instellings en vee elke poort-aanstuurreël uit wat na die NAS se plaaslike IP-adres wys.
9. Moenie "Herstel / Herinstalleer DSM of QTS" op die hardeskywe inisialiseer, herformateer of laat loop voordat u nagegaan het of die ransomware slegs die OS-partisie of die datavolume gekaap het nie:
10. In aanvalle soos DeadBolt, die wanware oorskryf die NAS-webaanmeldbladsy (index.html) om 'n volskerm losprysnota te vertoon wat toegang tot die QNAP/Synology admin-kontroleskerm blokkeer, selfs wanneer jou onderliggende Btrfs / ZFS kiekies of groot videolêers (meer as 20 megagrepe) is steeds 100 persent ongeskonde op die dryf.
11. ** Kyk of jou NAS het Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), of LVM Blokvlak-kiekies (QNAP Storage & Snapshots)**:
12. Omdat Btrfs en ZFS momentopnames is leesalleen by die lêerstelselbloklaag (en Synology WORM / Onveranderlike Snapshots kan nie eers uitgevee word deur 'n gekompromitteerde root admin-rekening), jy kan dikwels 100 persent van jou geënkripteerde gedeelde vouers binne 60 sekondes terugrol met geen dataverlies en geen losprys betaal nie.
13. Voordat enige losprys betaal word, identifiseer die presiese ransomware-stam wat gebruik word ID Ransomware (id-ransomware.malwarehunterteam.com) en No More Ransom (nomoreransom.org):
14. Verskeie groot NAS ransomware stamme (eCh0raix / QNAPCrypt, vroeg Qlocker via photorec / qrescue log onttrekking, Muhstik, en SynoLocker) het gratis openbare dekripteerders of forensiese sleutel-onttrekkingmetodes wat deur wetstoepassers en sekuriteitsnavorsers gepubliseer word.

Besluitboom: onmiddellike NAS ransomware triage en herstel pad¶

Gebruik hierdie werkvloei om te bepaal of die aanval van 'n LAN-rekenaar of direk op die NAS ontstaan het, en kies die veiligste herstelmetode:

flowchart TD
    Symptom["NAS-aandrywers slyp teen 100% + lêers hernoem (.deadbolt, .7z, .ech0raix, .lockbit) of web-UI wys losprysskerm"] --> PullLAN["STAP 1 (binne 5 sekondes): Ontkoppel alle Ethernet-kabels van die agterkant van die NAS"]

    PullLAN --> SourceCheck{"Het enkripsie gestop die oomblik dat u die NAS Ethernet-kabel ontkoppel het?"}

    SourceCheck -->|"JA: Skyfaktiwiteit het tot nul gedaal toe LAN ontkoppel is"| SMBVector["BRON A: Ransomware loop op 'n Windows/Mac-rekenaar op jou netwerk en enkripteer gedeelde vouers oor SMB"]

    SourceCheck -->|"NEE: NAS-hardeskywe gaan voort om te slaan met Ethernet ontkoppel (of NAS-webaanmeldbladsy self is deur losprysskerm vervang)"| DirectNAS["BRON B: Ransomware Binary word direk binne die NAS-bedryfstelsel uitgevoer (uitbuit via UPnP / Exposed WAN Ports 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Vind en ontkoppel die besmette rekenaar op jou LAN -> Herstel NAS-gedeelde dopgehou vanaf Btrfs / ZFS / QNAP-kiekies of Hyper Backup"]

    DirectNAS -->SSHCheck{"Het jy 'n aktiewe plaaslike SSH-sessie oop (of is dit Qlocker wat 7z loop)?"}

    SSHCheck -->|"Ja (Qlocker / Aktiewe 7z-proses)"| GrabPass["Inspekteer ps aux | grep 7z op SSH om gewone teks 7-zip-wagwoord van opdragreëlargs vas te vang voor die doodmaakproses"]
    SSHCheck -->|"Geen SSH / Onbekende spanningslypskywe nie"| PowerOff["Hou NAS-kragknoppie 5-10 sekondes in om onmiddellike harde afskakeling te dwing sodat ongeënkripteerde lêers en vrye spasie behoue bly"]

    GrabPass --> KillUPnP["STAP 2: Meld aan by router -> Deaktiveer UPnP permanent + Vee alle poortaanstuurreëls uit (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Watter herstelbates bestaan op die NAS?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Blokfoto's teenwoordig"| SnapRestore["Skoon OS-partisie / Firmware-opdatering -> Rol gedeelde dopgehou terug na 'n vooraanval-kiekie"]
    RecoveryPath -->|"Eksterne USB / Offsite Wolk-rugsteun (hiper-rugsteun / HBS 3)"| BackupRestore["Vee en herbou NAS op gelapte firmware -> Herstel vanaf vanlyn/wolk-rugsteun"]
    RecoveryPath -->|"Geen foto's en geen rugsteun nie"| ForensicCarve["Kloonaandrywings Lees-alleen -> Gaan NoMoreRansom.org na + Begin PhotoRec / QRescue Unallocated Carving (veral effektief teen Qlocker)"]

Hoe NAS-ransomware inbreek: die twee aanvalvektore¶

Voordat jy jou NAS weer by jou plaaslike netwerkskakelaar inprop, moet jy weet watter van die twee heeltemal verskillende toegangsvektore die losprysware op jou bergingsvolumes toegelaat het:

Fase 1: Skakel die internetblootstelling af (Router UPnP, Port Forwarding, en Wolk Relais)¶

As jy jou NAS skoonmaak of herstel sonder om die netwerkgat op jou roeteerder toe te maak, sal outomatiese botnets wat jou publieke IP-adres skandeer, die NAS weer besmet binne ure nadat dit weer aanlyn gebring is. Voltooi eers hierdie netwerktoesluit op jou router:

1. Meld aan by jou internetroeteerder / firewall-administrasiekonsole:
2. Maak 'n blaaier op 'n skoon rekenaar of foon oop en navigeer na jou router se poort-IP (gewoonlik 192.168.1.1, 192.168.0.1, 10.0.0.1, of via jou mesh router-toepassing soos UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Deaktiveer UPnP (Universal Plug and Play) Permanent:
4. Gaan na Gevorderd > NAT-aanstuur / WAN / Netwerk > UPnP en skakel UPnP na AF / Gedeaktiveer.
5. Hoekom UPnP is so gevaarlik vir NAS-eienaars: Wanneer UPnP op jou router geaktiveer is, kan enige toestel op jou plaaslike netwerk (insluitend jou NAS se "EZ-Internet" of "Auto Router Configuration" towenaar, of wanware op 'n slim-TV) stilweg 'n IGD (Internet Gateway Device) versoek aan jou router en sê "Maak eksterne WAN-poort 8080 en 5001 oop na my plaaslike IP 192.168.1.50", omseil jou firewall sonder om ooit vir jou router-wagwoord te vra.
6. Vee alle handmatige poortaanstuur uit (Virtual Server) & DMZ Reëls wat na die NAS wys:
7. Gaan na Gevorderd > NAT-aanstuur > Poortstuur (of virtuele bedieners) en vee elke reël-aanstuur-TCP- of UDP-poort uit (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex indien onnodig) na jou NAS IP.
8. Kontroleer Gevorderd > DMZ en verifieer dat DMZ-gasheer gedeaktiveer is (die plasing van 'n NAS IP in 'n router se DMZ stel al 65 535 TCP- en UDP-poorte van die NAS direk aan die publieke internet bloot).
9. Verifieer van buite jou netwerk dat nul NAS-poorte oop is:
10. Besoek shodan.io of grc.com (ShieldsUP) of voer 'n poortskandering teen jou publieke WAN IP-adres uit om te bevestig dat poorte 5000, 5001, 8080, 8443, 443, en 22 kom nou terug Filtered / Stealth / Closed.

Fase 2: Stam-spesifieke Nood Triage (Qlocker, DeadBolt, eCh0raix)¶

Voordat jy die NAS uitvee of 'n losprys betaal, kyk watter spesifieke NAS-losprysprogram jou toestel getref het. Elke groot NAS-familie het unieke tegniese swakhede wat gedeeltelike of totale dataherwinning moontlik maak sonder om te betaal:

1. As jou lêers vervang is met .7z Argiewe (Qlocker op QNAP / Linux NAS)¶

Hoe Qlocker werk: In plaas daarvan om 'n pasgemaakte kriptografiese enjin te skryf, Qlocker loop 'n skrip wat die NAS se eie ingeboude ** oproep7-Zip (/usr/local/sbin/7z)** binêr om elke lêer saam te pers in 'n wagwoordbeskermde .7z argief en loop dan normale Linux rm (unlink) op die oorspronklike lêer. - ** Triage-truuk #1 (Vang die wagwoord wat inwoon ps aux Voordat jy afskakel): As Qlocker is tans steeds aan die gang op jou NAS en jy kan plaaslik aanmeld via SSH (ssh admin@nas-local-ip), voer hierdie opdrag uit onmiddellik voor afskakel:

ps aux | grep 7z

2. As jou NAS-aanmeldskerm vervang is deur die DeadBolt Losprys-bladsy (.deadbolt lêers)¶

Hoe DeadBolt werk: 1. DeadBolt vervang /home/httpd/index.html (of /home/httpd/cgi-bin/index.cgi) met sy eie binêre/HTML-bladsy wat jou webblaaier kaap wanneer jy ook al probeer om die QNAP QTS / Asustor ADM-dashboard oop te maak en Bitcoin eis in ruil vir 'n 32-hex-karakter meester-dekripsiesleutel (afgelewer via 'n on-ketting Bitcoin OP_RETURN transaksie). 2. Hoe om toegang tot jou QNAP QTS / QuTS held Admin Dashboard te herwin sonder om jou data te verloor: - Opsie A (Via Plaaslike SSH indien geaktiveer): SSH plaaslik in die NAS (ssh admin@<nas-ip>), stop die skelm deadbolt proses as dit loop, en hardloop QNAP se amptelike firmware-herstelskrip of herstel die oorspronklike /home/httpd/index.html vanaf die leesalleen stelsel ROM beeld (/mnt/HDA_root/update_pkg/). - Opsie B (skyflose firmware-flits + warmprop-herinvoeging): 1. Skakel die NAS af. 2. Skuif alle hardeskywe 2 sentimeter (1 duim) uit sodat hulle van die agterblad ontkoppel word (nommer hul baai-orde versigtig met skilderband eerste). 3. Skakel die NAS aan sonder hardeskywe, vind sy IP via Qfinder Pro, wanneer op die opstelskerm gevra word, koppel die aandrywers terug in hul presiese baaie en kies "Dateer slegs firmware op (Behou alle data en instellings)" (moet nooit "Inisialiseer stelsel" klik nie, wat die dryf uitvee). 3. Belangrike wetstoepassing-dekripsie-nota oor DeadBolt: In gekoördineerde operasies gelei deur die Nederlandse Nasionale Polisie (Politie), Europol (No More Ransom), en Responders.nu, wetstoepassers het die suksesvol mislei DeadBolt bedreiging akteurs tydens 'n mempool fooi styging in die vrystelling van meer as 150 meester dekripsiesleutels voordat die aanvallers se lae fooi Bitcoin transaksies gekanselleer is via Replace-By-Fee. Kontroleer deadbolt.responders.nu en nomoreransom.org om te sien of jy spesifiek is DeadBolt slagoffer se adressleutel is deur die polisie gevang.

3. As jou lêers eindig in .encrypt (eCh0raix / QNAPCrypt)¶

• Verskeie geslagte van eCh0raix (QNAPCrypt) het gebrekkige AES-sleutelafleiding gebruik of het hul bevel-en-beheer gehad (C2) databasis waarop sekuriteitsnavorsers en wetstoepassing beslag gelê het.
• Besoek nomoreransom.org en laai twee geënkripteerde lêers op (of die losprysnota README_FOR_DECRYPT.txt) om die gratis Bitdefender / NoMoreRansom te toets eCh0raix Dekripteer voordat enigiets uitgevee word.

Fase 3: Herstel van jou lêers vanaf Btrfs, ZFS, of QNAP Foto's in 60 sekondes¶

As jou NAS geïnkripteer is deur Vector #2 ('n losprysware-geïnfekteerde rekenaar op jou LAN wat gedeelde vouers oor SMB enkripteer), of as jy Immutable (WORM) Snapshots of onaangeraakte LVM/Btrfs/ZFS Snapshots tydens 'n direkte NAS-aanval, kan jy 100 persent van jou lêers onmiddellik herstel:

1. Synology DiskStation (DSM 7.x met Btrfs Snapshot Replikasie)¶

1. Verifieer eers dat die besmette rekenaar op jou LAN van die netwerk ontkoppel is, en dateer Synology DSM op na die jongste vrystelling onder Control Panel > Update & Restore.
2. Maak die Snapshot Replication-pakket binne Synology DSM oop.
3. Klik op Herstel in die linkerkantbalk.
4. Kies die geënkripteerde Gedeelde gids (of iSCSI LUN) en klik op Herstel.
5. Blaai deur die lys van geskeduleerde kiekies (GMT+...) en kies die momentopname wat geneem is onmiddellik voor die losprysware-enkripsie begin het (merk eers Action > Browse om die lêers binne daardie momentopname voor te sien en te bevestig dat hulle skoon en ongeënkripteer is).
6. Klik Aksie > Herstel na hierdie momentopname (of Kloneer met 'n nuwe naam as jy die geënkripteerde vouer onaangeraak wil hou vir forensiese bewyse terwyl jy dadelik 'n skoon kopie van die gedeelde vouer monteer).
7. Omdat Btrfs is 'n Kopieer-op-skryf (CoW) lêerstelsel, om 'n gedeelde vouer van 20 teragreep terug te rol na 'n vooraanval-kiekie neem minder as 10 sekondes.

2. QNAP NAS (QTS Blokvlak LVM-kiekies en QuTS hero ZFS Foto's)¶

1. Sodra QTS/QuTS-held gelap is en van die WAN geïsoleer is, maak berging en kiekies oop.
2. Gaan na Berging > Berging/Snapshots, kies jou geaffekteerde Dik Volume, Dun Volume, of ZFS Shared Folder, en klik Snapshot Manager (die kamera-ikoon).
3. Kies die laaste skoon momentopname wat geneem is voor die aanval tydstempel.
4. Blaai deur die vouerboom in die regterpaneel om te verifieer dat jou lêers ongeskonde is, en klik dan Stel volume-kiekie terug (of kies alle vouers en klik Herstel om slegs die geënkripteerde lêers te oorskryf).

3. TrueNAS (CORE / SCALE aan ZFS) en Unraid (ZFS / Btrfs)¶

• Op TrueNAS (ZFS): Gaan na Berging > Snapshots (of Databeskerming > Periodieke Snapshot Tasks), vind die skoon kiekie (tank/share@auto-2026-10-31_12-00), en klik Rollback (of kloon die momentopname na 'n nuwe datastel zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered sodat jy nooit nuwer intermediêre kiekies verloor nie).

Fase 4: Verhard jou NAS sodat dit nooit weer geënkripteer kan word nie (die 7-punt kontrolelys)¶

Sodra jou data herwin is, pas hierdie sewe verpligte konfigurasiereëls toe op jou Synology-, QNAP-, TrueNAS- of Asustor-toestel voordat jy dit weer aan die netwerk koppel:

• 1. Moet nooit enige poort op jou router na jou NAS aanstuur nie: gebruik Tailscale of WireGuard VPN In plaas daarvan:
• Installeer die amptelike Tailscale-pakket vanaf die Synology Package Center / QNAP App Center (of laat loop jou router se ingeboude WireGuard VPN-bediener).
• Tailscale skep 'n nul-konfigurasie, eweknie-tot-eweknie WireGuard-geënkripteerde maastonnel (100.x.y.z) tussen jou foon, jou skootrekenaar en jou NAS met geen oop poorte op jou huisroeteerder-firewall. Jy kan vanaf enige plek in die wêreld toegang tot jou NAS-foto's, lêers en administrasieskerm kry terwyl jou NAS 100% onsigbaar bly vir internetskandeerders soos Shodan.
• 2. Deaktiveer die ingeboude verstek admin Rekening en skep 'n pasgemaakte benoemde administrateur met verpligte 2FA:
• Beide Synology DSM en QNAP QTS word gestuur met 'n verstekrekening genaamd admin(UID 1024 of UID 0). Outomatiese brute-force bots hamer die gebruikersnaam admin 24/7.
• Skep 'n splinternuwe administrateurrekening met 'n unieke gebruikersnaam, meld aan met daardie nuwe rekening, gaan na Beheerpaneel > Gebruiker en groep (of gebruikers), en Deaktiveer die verstek admin rekening.
• Skakel Verpligte 2-faktor-stawing aan (OTP / Passkey / Approve Sign-in) vir alle administrateur rekeninge.
• 3. Skakel Onveranderlik AAN (WORM) Foto's (7-to-14-Day Retention Lock):
• Op Synology DSM 7.2+: Maak Snapshot Replikasie > Foto's > Instellings > Skedule oop, aktiveer daaglikse kiekies, en merk "Aktiveer onveranderlike kiekies" met 'n beskermingstydperk van 7 tot 14 dae. Selfs as 'n kuberkraker jou wortelwagwoord steel of 'n kernkwesbaarheid in DSM uitbuit, niemand nie (nie eers nie root) kan 'n Onveranderlike Snapshot uitvee totdat die 7-dag hardeware horlosie verstryk.
• Op QNAP QuTS hero / QTS: Stel 'n Snapshot Replica Vault op of aktiveer WORM (Write Once, Read Many) retensiebeleide op kritieke rugsteunaandele, en maak seker dat "Bespreek Snapshot Space" geaktiveer is.
• 4. Beperk SMB-netwerkdeeltoestemmings (Least Privilege) Dus kan 'n skootrekenaarinfeksie nie die hele NAS enkripteer nie:
• Moet nooit jou NAS se meester karteer nie admin geloofsbriewe binne Windows File Explorer (\\NAS\) op alledaagse skootrekenaars.
• Skep 'n standaard nie-administrateur-gebruikersrekening vir daaglikse lêertoegang, en stel jou argief-/foto-vouers in (byvoorbeeld, 2010-2025 Family Photos Archive) na Leesalleen (ro) vir daaglikse rekenaargebruikers sodat as 'n familielid se Windows-rekenaar losprysware opspoor, die rekenaar daardie dopgehou kan lees maar nie kan enkripteer of wysig nie.
• 5. Skakel die NAS-ingeboude firewall AAN (Allow LAN + Tailscale Subnets Only) & Outo-blokkeer:
• Binne Synology Control Panel > Security > Firewall (of QNAP QuFirewall), skep 'n streng toelaatlysreël wat verbindings toelaat slegs vanaf jou plaaslike LAN-subnet (192.168.1.0/24) en jou Tailscale/VPN subnet (100.64.0.0/10), gevolg deur 'n onderste reël ingestel op Weer alles. Al draai iemand per ongeluk om UPnP terug op die router, sal die NAS se eie interne pakkiefilter elke publieke internetpakkie onmiddellik laat val.
• 6. Deaktiveer SSH (Port 22) en Telnet (Port 23) Wanneer nie aktief foutopsporing:
• Laat SSH gedraai AF binne Beheerpaneel > Terminale en SNMP tydens normale daaglikse werking; Skakel dit net aan vir die 10 minute wat jy nodig het om 'n opdragreëltaak uit te voer, en skakel dit dan dadelik weer af.
• 7. Handhaaf 'n ware "3-2-1" luggaping / onveranderlike wolkrugsteun (Hyper Backup / HBS 3):
• Volg ons rekenaarrugsteun en 3-2-1 rampherstelgids: stel Synology in Hyper Backup of QNAP Hybrid Backup Sync (HBS 3) om naglikse geënkripteerde, kliënt-kant gededupliseerde rugsteune te stoot na 'n eksterne USB-hardeskyf wat jy fisies ontkoppel of na 'n Object-Locked (S3 Object Lock Compliance Mode) wolkemmer (Backblaze B2, Wasabi, of AWS S3) met behulp van beperkte byvoeg-alleen API-sleutels.

Streeksnoodnommers en agentskapprotokolle¶

Ransomware-aanvalle wat NAS-toestelle teiken, word deur nasionale kubermisdaadagentskappe wêreldwyd ondersoek, wat bewaarplekke van beslag gelê dekripsiesleutels (No More Ransom) en spoor kriminele infrastruktuur op:

• Verenigde State en Kanada:
• Noodlewensveiligheidsonderbreking: Skakel 911 as losprysware gesondheidsorg of fisiese veiligheidstelsels ontwrig.
• CISA en FBI internetmisdaadklagtesentrum (IC3): Rapporteer NAS ransomware veldtogte (DeadBolt, Akira, LockBit, Qlocker) by stopransomware.gov, ic3.gov, of bel CISA by 1-844-Say-CISA (1-844-729-2472).
• Kanadese Sentrum vir Kuberveiligheid en RCMP: Rapporteer by cyber.gc.ca(1-833-CYBER-88) of die Canadian Anti-Fraud Centre.
• Verenigde Koninkryk:
• Nooddienste: Skakel 999 (of 101 vir nie-noodpolisie).
• Optredebedrog en NCSC: Rapporteer losprysware-voorvalle by actionfraud.police.uk of bel 0300 123 2040 (24/7 regstreekse kubervoorvallyn). Klein besighede en liefdadigheidsorganisasies kan die NCSC Cyber Incident Response raadpleeg (ncsc.gov.uk) portaal.
• Europese Unie:
• Nooddienste: Skakel 112 in alle EU-lidlande.
• Europol Europese Kubermisdaadsentrum (EC3) & NoMoreRansom.org: Checknomoreransom.org (onderhou deur die Nederlandse Nasionale Polisie, Europol en vennoot-agentskappe) vir beslag gelê op NAS-losprysware-dekripsiesleutels, en rapporteer aan jou nasionale CSIRT en Databeskermingsowerheid (DPA binne 72 uur indien persoonlike data ingevolge die GDPR geëksfiltreer of verlore geraak het).
• Australië en Nieu-Seeland:
• Nooddienste: Skakel 000in Australië of 111 in Nieu-Seeland.
• Australiese kuberveiligheidsentrum (ACSC): Bel die 24/7 Ransomware-blitslyn by 1300 CYBER1 (1300 292 371) of meld aan by cyber.gov.au.
• CERT NZ: Rapporteer by cert.govt.nz.
• Indië en Asië-Stille Oseaan:
• Indië (CERT-In & Kubermisdaadhulplyn): Skakel 1930 of meld aan by cybercrime.gov.in en incident@cert-in.org.in.
• Taiwan (TWCERT/CC, tuisjurisdiksie van Synology-, QNAP- en Asustor PSIRT's): Dien kaartjies vir veiligheidsvoorval van verkopers direk in by QNAP PSIRT (service.qnap.com) of Sinology PSIRT (synology.com/en-global/security/advisory).

Gereelde vrae¶

Hoe het losprysware my QNAP of Synology NAS besmet toe ek nooit op enige uitvissingskakel geklik het nie en my rekenaars heeltemal skoon is?¶

Jou NAS is direk vanaf die publieke internet besmet sonder om aan jou rekenaars te raak. Óf jou internet router het UPnP (`Universal Plug and Play`) geaktiveer (wat die NAS se "Auto Router Configuration / EZ-Internet / myQNAPcloud"-funksie toelaat om poorte stilweg oop te maak 8080, 443, 5000, 5001, of 22 op jou firewall), of jy het 'n poort met die hand aangestuur om toegang tot jou lêers op afstand te verkry. Outomatiese botnets skandeer deurlopend elke openbare IP-adres op die internet en ontgin ongelapte kwesbaarhede of swak admin wagwoorde op blootgestelde NAS-webkoppelvlakke.

Hoe kan ek weet of die losprysware direk binne my NAS OS vs. op een van my Windows-rekenaars oor 'n netwerkdeel gehardloop het?¶

Kyk na drie aanwysers: Eerstens, as die NAS-webadministrasie-aantekenskerm self is vervang deur 'n losprysnota (soos DeadBolt), of as slegs die NAS geïnkripteer lêers het terwyl elke rekenaar op jou netwerk skoon is, word die wanware direk binne die NAS Linux OS uitgevoer. Tweedens, maak die oop NAS-verbindingslogboek / SMB-lêeroordraglog (in Synology Log Sentrum of QNAP QuLog-sentrum): as jy 'n plaaslike LAN IP-adres sien (soos 192.168.1.24) verrig tienduisende vinnige Skryf / Hernoem / Skrap bedrywighede verby SMB, dan die rekenaar by 192.168.1.24 is die besmette toestel wat jou NAS oor die netwerk enkripteer.

Hoekom het DeadBolt enkripteer net die begin van my groot video- of databasislêers, en kan ek steeds gedeeltelik geënkripteerde lêers speel of herstel?¶

Om tientalle teragrepe se NAS-berging te enkripteer voordat die eienaar agterkom dat die hardeskywe maal en die prop uittrek, stres soos DeadBolt enkripteer net die eerste 512 kilogrepe (`524,288 bytes`) van elke lêer en voeg die by .doodslot uitbreiding, wat die oorblywende gigagrepe van die lêer onaangeraak laat in gewone teks. Terwyl die verlies van die eerste 512 KB klein dokumente en JPEG-foto's heeltemal vernietig, groot multi-gigagreep video lêers (`.mp4`, `.mov`, `.mkv`), rou kamera beeldmateriaal, en sekere virtuele masjien skyf beelde (`VMDK`/`VHDX`) of SQL-databasisse kan dikwels herstel word deur 'n geldige houerkop oor te plant (`moov` atoom) van 'n ander video wat met dieselfde kamera opgeneem is deur gereedskap soos ontknoop.

Is Synology QuickConnect of myQNAPcloud Link veilig om geaktiveer te laat as ek router UPnP en Port Forwarding afskakel?¶

Met router UPnP en handmatige poortaanstuur heeltemal afgeskakel, uitgaande herleidienste soos Synology QuickConnect Relay en myQNAPcloud-skakel is aansienlik veiliger as oop WAN-poorte omdat hulle nie luisterpoorte op jou router-firewall oopmaak nie. Hulle stel egter steeds jou NAS-aanmeldskerm bloot (`DSM` / `QTS` web-verifikasie hanteerder) aan enigiemand wat jou ken of raai `QuickConnect ID`. Vir maksimum sekuriteit, deaktiveer publieke aflostoegang tot die admin-koppelvlak en gebruik Stertskaal of WireGuard VPN in plaas daarvan, wat kriptografiese toestelverifikasie vereis voor 'n enkele HTTP-pakkie kan selfs jou NAS-webbediener bereik.

Moet ek betaal die Bitcoin losprys vir DeadBolt, Qlocker, of eCh0raix as ek geen rugsteun en geen foto's het nie?¶

Wetstoepassingsagentskappe (`FBI`, `CISA`, `Europol`, `NCSC`) raai ten sterkste af om lospryse te betaal omdat betaling kriminele sindikate befonds en geen waarborg dra dat die aanvaller se outomatiese dekripsieskrip sal werk sonder om lêers te korrupteer nie. Voordat jy ooit betaling oorweeg: (1) Beeld of bewaar die aandrywers sodat jy dinge nie erger kan maak nie, (2) Kontroleer **`nomoreransom.org`**en **`deadbolt.responders.nu`** om te sien of wetstoepassers reeds op die hoofsleutel vir jou stam beslag gelê het, (3) Vir **`Qlocker`**, hardloop**`PhotoRec` / `QRescue`** op die nie-toegewysde skyfspasie (wat gereeld 60% tot 90% van geskrap oorspronklike gratis herstel), en (4) Vir groot `.mp4`/`.mov` video's getref deur gedeeltelike kop enkripsie, toets kop heropbou met `untrunc`.

Verwante gidse¶

• Wanware-, losprys- en spyware-infeksie: onmiddellike inperking en herstel
• Beveilig tuisrouters en IoT-toestelle
• NAS RAID-skikking gedegradeer, veelvuldige dryffout en ZFS/Btrfs-herstel
• Rekenaarrugsteun, die 3-2-1-strategie en rampherstel
• Nul-dag ontgin noodpleistering en isolasie van die einde-van-lewe toestel
• Noodnommers volgens land

Bronne en amptelike leiding¶

• Agentskap vir kuberveiligheid en infrastruktuursekuriteit (CISA) & Federale Buro vir Ondersoek (FBI) (StopRansomware.gov): Waarskuwing oor netwerkaangehegte berging (NAS) Toestelle geteiken deur DeadBolt, Qlocker, eCh0raix, en Akira Ransomware.
• Europol Europese Kubermisdaadsentrum (EC3) & Nederlandse Nasionale Polisie (Politie) (NoMoreRansom.org): Operation DeadBolt Key Seizure, eCh0raix Decryptor Repository, en Ransomware Mitigation Guidelines.
• QNAP Produk Sekuriteit Insident Reaksie Span (QNAP PSIRT) & Synology Sekuriteitsadviesraad: Tegniese bulletins oor die deaktivering van router UPnP, die herstel van gekaapte administrasiekonsoles, QRescue (PhotoRec) Ontoegekende herstel, en aktiveer onveranderlik WORM Foto's.
• Nasionale Kuberveiligheidsentrum (NCSC) (Verenigde Koninkryk): Versagtende wanware en losprysware op netwerkberging en klein kantoortoestelle.