برامج الفدية على NAS بالمنزل أو المكتب (Synology/QNAP): إيقاف التشفير والتعرض لـ UPnP¶

سماع أصوات محركات الأقراص الثابتة الموجودة داخل وحدة التخزين المتصلة بالشبكة (NAS) الجهاز (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMasterأو Western Digital My Cloud) الضرب بشكل مستمر عند استخدام القرص بنسبة 100 بالمائة أثناء امتلاء المجلدات المشتركة .deadbolt, .ech0raix, .qlocker, .7z, .lockbitأو .encrypt تعد امتدادات الملفات (أو رؤية شاشة تسجيل الدخول إلى الويب NAS الخاصة بك وقد تم استبدالها بطلب فدية Bitcoin) حالة طوارئ تخزينية حرجة. تعد أجهزة NAS أهدافًا ثمينة لشبكات الروبوتات الآلية الخاصة ببرامج الفدية على مستوى الإنترنت (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox، و Akira) نظرًا لأن وحدة NAS واحدة غير مُصححة غالبًا ما تحتوي على 10 إلى 100 تيرابايت من الحياة الرقمية الكاملة للعائلة أو الشركة الصغيرة، وكثيرًا ما تتعرض مباشرة للإنترنت العام دون أن يدرك المالك ذلك عبر Router UPnP (Universal Plug and Play) إعادة توجيه المنفذ تلقائيًا أو خدمات الترحيل السحابي الخاصة بالمورد (myQNAPcloud, Synology QuickConnect, EZ-Internet). قبل أن تقوم بإخراج سلك طاقة التيار المتردد من الحائط، يجب عليك اتخاذ قرار معماري حاسم مدته 10 ثوانٍ بناءً على ما إذا كان NAS الخاص بك يستخدم لقطات النسخ عند الكتابة (Btrfs أو ZFS) أو مصفوفة RAID تقليدية؛ بالنسبة لأعطال مصفوفة الأقراص غير المتعلقة ببرامج الفدية، استشر تدهورت مجموعة NAS RAID، وفشل العديد من محركات الأقراص، واسترداد ZFS/Btrfsوبالنسبة لحالات الإصابة ببرامج الفدية المستندة إلى أجهزة الكمبيوتر، راجع البرمجيات الخبيثة، وبرامج الفدية، والعدوى ببرامج التجسس كذلك تأمين أجهزة التوجيه المنزلية وأجهزة إنترنت الأشياء. إذا كان برنامج الفدية يؤثر على عمليات المستشفى أو خدمات الطوارئ البلدية أو البنية التحتية للسلامة المادية، فاتصل برقم الطوارئ المحلي (911 في الولايات المتحدة وكندا، 112 في جميع أنحاء الاتحاد الأوروبي، 999 في المملكة المتحدة) أو راجع دليلنا الدولي أرقام الطوارئ.

افعل هذا الآن¶

1. ** اسحب شبكة الإيثرنت الفعلية (RJ45 / 10GbE) كابل (كابلات) الشبكة من الجزء الخلفي لـ NAS الآن، قبل لمس سلك الطاقة**:
2. يؤدي فصل كابل (كابلات) Ethernet إلى قطع جلسة الأوامر والتحكم التفاعلية الخاصة بالمهاجم على الفور عبر SSH/HTTP، ويمنع NAS من تنزيل حمولات التشفير الثانوية، وبنفس القدر من الأهمية، يوقف على الفور جهاز كمبيوتر مكتبي مصاب على الشبكة المحلية لمكتبك المحلي من تشفير NAS عبر مشاركات شبكة SMB/CIFS (\\NAS\Share).
3. حدد خلال 15 ثانية ما إذا كنت تريد قطع الطاقة أو إيقاف عملية التشفير تمامًا:
4. السيناريو أ: يتم تشغيل برنامج الفدية على كمبيوتر مكتبي على شبكة LAN الخاصة بك ويقوم بتشفير ملفات NAS عبر محرك أقراص شبكة SMB/معين: ما عليك سوى سحب كابل NAS Ethernet في الخطوة 1 تم بالفعل إيقاف التشفير على NAS بنسبة 100%. اترك NAS قيد التشغيل حتى يظل مصفوفة RAID ونظام الملفات الخاص به نظيفين، ثم قم بعزل محطة عمل Windows/Mac المصابة.
5. السيناريو ب: يتم تنفيذ برنامج الفدية الثنائي مباشرة داخل نظام التشغيل NAS Linux نفسه (DeadBolt, Qlocker, eCh0raix):
   • إذا كنت لا ** لا ** لديك Btrfs أو ZFS تم تمكين اللقطات (على سبيل المثال، ملف أقدم ext4 وحدة التخزين) ويتم طحن محركات الأقراص بشكل نشط حيث يقوم NAS بتشفير نسختك الوحيدة من الملفات، اضغط مع الاستمرار على زر الطاقة الأمامي الفعلي في NAS لمدة تتراوح من 5 إلى 10 ثوانٍ لفرض إيقاف التشغيل الثابت على الفور (أو اسحب قابس طاقة التيار المستمر/التيار المتردد إذا كان الزر لا يستجيب). في كل دقيقة يظل فيها NAS قيد التشغيل، تتيح وحدة المعالجة المركزية الخاصة به تشفير ما بين 5 إلى 20 جيجابايت أخرى من ملفاتك.
   • ** تنبيه هام (Why DeadBolt & Qlocker victims must NOT reboot after recovery)**: سلالات برامج الفدية مثل Qlocker (الذي ينقل الملفات إلى ملفات محمية بكلمة مرور .7z المحفوظات باستخدام 7z) و DeadBolt احتفظ أحيانًا بحالة التشفير النشطة أو مفاتيح فك التشفير /tmp (RAM) أو اختطاف واجهة مستخدم الويب الثنائية (/home/httpd/index.html). إذا كان لا يزال لديك غلاف جذر SSH محلي مفتوح في NAS، فتحقق من ذلك ps aux و /tmp قبل إيقاف التشغيل (انظر المرحلة الثانية أدناه).
6. ** قم بتسجيل الدخول إلى جهاز توجيه الإنترنت / جدار الحماية الخاص بك (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP gate) على الفور ثم قم بإيقاف تشغيله UPnP (Universal Plug and Play) واحذف كافة قواعد إعادة توجيه منفذ WAN التي تشير إلى NAS**:
7. تحدث أكثر من 80 بالمائة من حالات الإصابة ببرامج الفدية NAS في المنزل والمكاتب الصغيرة بسبب قيام المستخدم بالنقر فوق "Auto Router Configuration / EZ-Internet / UPnP" أثناء الإعداد الأولي، مما أدى بصمت إلى توجيه جهاز التوجيه المنزلي لفتح منافذ TCP 5000, 5001, 8080, 8443, 443, 22 (سش)، أو 445 (SMB) مباشرةً إلى شبكة الإنترنت العامة بالكامل (Shodan.io / Censys).
8. قم بتعطيل UPnP بشكل دائم في إعدادات WAN/NAT بجهاز التوجيه الخاص بك واحذف كل قاعدة إعادة توجيه المنفذ التي تشير إلى عنوان IP المحلي لـ NAS.
9. لا تقم بتهيئة أو إعادة تنسيق أو تشغيل "إعادة تعيين / إعادة تثبيت DSM أو QTS" على محركات الأقراص الثابتة قبل فحص ما إذا كانت برامج الفدية قد اخترقت قسم نظام التشغيل أو وحدة تخزين البيانات فقط:
10. في هجمات مثل DeadBolt، تقوم البرامج الضارة بالكتابة فوق صفحة تسجيل الدخول إلى الويب NAS (index.html) لعرض مذكرة فدية بملء الشاشة تمنع الوصول إلى لوحة تحكم مسؤول QNAP/Synology، حتى عندما يكون جهازك الأساسي Btrfs / ZFS لا تزال اللقطات أو ملفات الفيديو الكبيرة (أكثر من 20 ميغابايت) سليمة بنسبة 100 بالمائة على محركات الأقراص.
11. تحقق مما إذا كان NAS لديك موجودًا Btrfs (Synology Snapshot Replication)، ZFS (TrueNAS / QuTS hero)، أو LVM لقطات على مستوى الكتلة (QNAP Storage & Snapshots):
12. لان Btrfs و ZFS تكون اللقطات للقراءة فقط في طبقة كتلة نظام الملفات (وSynology WORM / لا يمكن حتى حذف اللقطات غير القابلة للتغيير عن طريق اختراقها root حساب المسؤول)، يمكنك في كثير من الأحيان استرجاع 100 بالمائة من مجلداتك المشتركة المشفرة في 60 ثانية دون أي فقدان للبيانات أو دفع أي فدية.
13. قبل دفع أي فدية، حدد سلالة برامج الفدية الدقيقة المستخدمة ID Ransomware (id-ransomware.malwarehunterteam.com) و No More Ransom (nomoreransom.org):
14. العديد من سلالات برامج الفدية NAS الرئيسية (eCh0raix / QNAPCryptمبكرا Qlocker عبر photorec / qrescue استخراج السجل, Muhstik، و SynoLocker) تحتوي على أدوات فك تشفير عامة مجانية أو طرق لاستخراج المفاتيح الجنائية منشورة بواسطة باحثين في مجال إنفاذ القانون والأمن.

شجرة القرار: الفرز الفوري لبرنامج الفدية NAS ومسار الاسترداد¶

استخدم سير العمل هذا لتحديد ما إذا كان الهجوم قد نشأ من كمبيوتر LAN أو مباشرة على NAS، وحدد طريقة الاسترداد الأكثر أمانًا:

flowchart TD
    Symptom["تعمل محركات NAS على الطحن بنسبة 100% + إعادة تسمية الملفات (.deadbolt، .7z، .ech0raix، .lockbit) أو تعرض واجهة مستخدم الويب شاشة الفدية"] --> PullLAN["الخطوة 1 (خلال 5 ثوانٍ): افصل جميع كابلات Ethernet من الجزء الخلفي لـ NAS"]

    PullLAN --> SourceCheck{"هل أوقف التشفير اللحظة التي قمت فيها بفصل كابل NAS Ethernet؟"}

    SourceCheck -->|"نعم: انخفض نشاط القرص إلى الصفر عند فصل الشبكة المحلية (LAN)."| SMBVector["المصدر أ: برامج الفدية تعمل على جهاز كمبيوتر يعمل بنظام Windows/Mac على شبكتك وتقوم بتشفير المجلدات المشتركة عبر الشركات الصغيرة والمتوسطة"]

    SourceCheck -->|"لا: تستمر محركات الأقراص الثابتة NAS في العمل مع فصل شبكة Ethernet (أو تم استبدال صفحة تسجيل الدخول إلى ويب NAS نفسها بشاشة Ransom Screen)"| DirectNAS["المصدر ب: يتم تنفيذ برنامج الفدية الثنائي مباشرة داخل نظام تشغيل NAS (يتم استغلاله عبر UPnP / منافذ WAN المكشوفة 5000، 5001، 8080، 443، 22)"]

    SMBVector --> IsolatePC["ابحث عن جهاز الكمبيوتر المصاب وافصله على شبكة LAN الخاصة بك -> قم باستعادة مجلدات NAS المشتركة من لقطات Btrfs / ZFS / QNAP أو Hyper Backup"]

    DirectNAS -->SSHCheck{"هل لديك جلسة SSH محلية نشطة مفتوحة (أم أن Qlocker يعمل بالإصدار 7z)؟"}

    SSHCheck -->|"نعم (عملية Qlocker / Active 7z)"| GrabPass["فحص ps aux | grep 7z على SSH لالتقاط كلمة مرور نص عادي 7-Zip من وسيطات سطر الأوامر قبل إنهاء العملية"]
    SSHCheck -->|"لا توجد أقراص طحن SSH / غير معروفة"| PowerOff["استمر في الضغط على زر طاقة NAS لمدة تتراوح من 5 إلى 10 ثوانٍ لفرض إيقاف التشغيل الفوري، وبالتالي يتم الحفاظ على الملفات غير المشفرة والمساحة الحرة"]

    GrabPass --> KillUPnP["الخطوة 2: تسجيل الدخول إلى جهاز التوجيه -> تعطيل UPnP بشكل دائم + حذف جميع قواعد إعادة توجيه المنافذ (5000، 5001، 8080، 443، 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"ما هي أصول الاسترداد الموجودة في NAS؟"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots موجودة"| SnapRestore["تنظيف قسم نظام التشغيل / تحديث البرنامج الثابت -> استعادة المجلدات المشتركة إلى لقطة ما قبل الهجوم"]
    RecoveryPath -->|"USB خارجي / النسخ الاحتياطي السحابي خارج الموقع (Hyper Backup / HBS 3)"| BackupRestore["مسح وإعادة بناء NAS على البرامج الثابتة المصححة -> الاستعادة من النسخ الاحتياطي دون اتصال/السحابة"]
    RecoveryPath -->|"لا لقطات ولا النسخ الاحتياطية"| ForensicCarve["استنساخ محركات الأقراص للقراءة فقط -> التحقق من NoMoreRansom.org + تشغيل PhotoRec / QRescue Unallocated Carving (فعال بشكل خاص ضد Qlocker)"]

كيف يقتحم برنامج NAS Ransomware: متجها الهجوم¶

قبل توصيل NAS مرة أخرى بمحول الشبكة المحلية لديك، يجب عليك معرفة أي من ناقلي الإدخال المختلفين تمامًا سمح لبرنامج الفدية بالوصول إلى وحدات تخزينك:

المرحلة الأولى: إيقاف التعرض للإنترنت (Router UPnP, Port Forwarding، والمرحلات السحابية)¶

إذا قمت بتنظيف أو استعادة NAS دون إغلاق فتحة الشبكة على جهاز التوجيه الخاص بك، فإن شبكات الروبوت الآلية التي تقوم بمسح عنوان IP العام الخاص بك ستعيد إصابة NAS خلال ساعات من إعادته إلى الإنترنت. أكمل تأمين الشبكة على جهاز التوجيه الخاص بك أولاً:

1. ** قم بتسجيل الدخول إلى وحدة تحكم مسؤول جهاز توجيه الإنترنت / جدار الحماية **:
2. افتح متصفحًا على جهاز كمبيوتر أو هاتف نظيف وانتقل إلى بوابة IP الخاصة بجهاز التوجيه (عادةً 192.168.1.1, 192.168.0.1, 10.0.0.1، أو عبر تطبيق جهاز التوجيه الشبكي الخاص بك مثل UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. ** تعطيل UPnP (Universal Plug and Play) بشكل دائم**:
4. انتقل إلى متقدم > توجيه NAT / WAN / الشبكة > UPnP وقم بالتبديل UPnP إلى إيقاف / معطل.
5. ** لماذا UPnP يعد أمرًا خطيرًا للغاية بالنسبة لمالكي NAS**: عند تمكين UPnP على جهاز التوجيه الخاص بك، يمكن لأي جهاز على شبكتك المحلية (بما في ذلك معالج "EZ-Internet" أو "Auto Router Configuration" الخاص بـ NAS، أو البرامج الضارة الموجودة على التلفزيون الذكي) إرسال رسالة بصمت IGD (Internet Gateway Device) يطلب من جهاز التوجيه الخاص بك قائلا "افتح منفذ WAN الخارجي 8080 و5001 إلى IP المحلي الخاص بي 192.168.1.50"، لتجاوز جدار الحماية الخاص بك دون المطالبة بكلمة مرور جهاز التوجيه الخاص بك.
6. حذف كل إعادة توجيه المنافذ اليدوية (Virtual Server) & DMZ قواعد الإشارة إلى NAS:
7. انتقل إلى متقدم > NAT Forwarding > Port Forwarding (أو الخوادم الافتراضية) واحذف كل قاعدة لإعادة توجيه منافذ TCP أو UDP (80, 443, 5000, 5001, 8080, 8443, 21 بروتوكول نقل الملفات، 22 سش، 873 رسينك, 445 الشركات الصغيرة والمتوسطة، 32400 Plex إذا لم تكن هناك حاجة إليها) إلى NAS IP الخاص بك.
8. حدد Advanced > DMZ وتأكد من تعطيل DMZ Host (وضع عنوان IP NAS في المنطقة DMZ الخاصة بجهاز التوجيه يعرض جميع منافذ TCP وUDP البالغ عددها 65,535 الخاصة بـ NAS مباشرة إلى الإنترنت العام).
9. تحقق من خارج شبكتك من أن منافذ NAS الصفرية مفتوحة:
10. زيارة shodan.io أو grc.com (ShieldsUP) أو قم بإجراء فحص للمنافذ مقابل عنوان IP العام لشبكة WAN الخاصة بك للتأكد من تلك المنافذ 5000, 5001, 8080, 8443, 443، و 22 عاد الآن Filtered / Stealth / Closed.

المرحلة الثانية: فرز الطوارئ لسلالة محددة (Qlocker, DeadBolt, eCh0raix)¶

قبل مسح NAS أو دفع فدية، تحقق من سلالة برامج الفدية NAS المحددة التي أصابت جهازك. تتمتع كل عائلة NAS رئيسية بنقاط ضعف تقنية فريدة تسمح باستعادة البيانات جزئيًا أو كليًا دون الدفع:

1. إذا تم استبدال ملفاتك بـ .7z الأرشيف (Qlocker على QNAP / Linux NAS)¶

كيف Qlocker يعمل: بدلاً من كتابة محرك تشفير مخصص، Qlocker يقوم بتشغيل برنامج نصي يستدعي المدمج في NAS 7-Zip (/usr/local/sbin/7z) ثنائي لضغط كل ملف في ملف محمي بكلمة مرور .7z الأرشيف ومن ثم تشغيل لينكس العادي rm (unlink) في الملف الأصلي. - خدعة الفرز رقم 1 (التقاط كلمة المرور مباشرة ps aux قبل إيقاف التشغيل): إذا Qlocker لا يزال قيد التشغيل حاليًا على NAS الخاص بك ويمكنك تسجيل الدخول محليًا عبر SSH (ssh admin@nas-local-ip)، قم بتشغيل هذا الأمر مباشرة قبل إيقاف التشغيل:

ps aux | grep 7z

2. إذا تم استبدال شاشة تسجيل الدخول NAS الخاصة بك بـ DeadBolt صفحة الفدية (.deadbolt الملفات)¶

كيف DeadBolt يعمل: 1. DeadBolt يستبدل /home/httpd/index.html (أو /home/httpd/cgi-bin/index.cgi) مع صفحتها الثنائية/HTML الخاصة بها والتي تخطف متصفح الويب الخاص بك كلما حاولت فتح لوحة معلومات QNAP QTS / Asustor ADM، وتطلب Bitcoin مقابل مفتاح فك تشفير رئيسي مكون من 32 حرفًا سداسيًا (يتم تسليمه عبر Bitcoin على السلسلة OP_RETURN الصفقة). 2. ** كيفية استعادة الوصول إلى لوحة تحكم QNAP QTS / QuTS Hero Admin دون فقدان بياناتك : - الخيار أ (عبر SSH المحلي إذا تم تمكينه): SSH في NAS محليًا (ssh admin@<nas-ip>)، أوقف المارقة deadbolt قم بالمعالجة في حالة التشغيل، وقم بتشغيل البرنامج النصي الرسمي لاسترداد البرامج الثابتة الخاص بـ QNAP أو قم باستعادة النسخة الأصلية /home/httpd/index.html من صورة ROM لنظام القراءة فقط (/mnt/HDA_root/update_pkg/). - الخيار ب (فلاش البرامج الثابتة بدون أقراص + إعادة إدخال القابس السريع): 1. قم بإيقاف تشغيل NAS. 2. قم بتحريك كافة محركات الأقراص الثابتة للخارج بمقدار 2 سم (1 بوصة) بحيث يتم فصلها عن اللوحة الإلكترونية المعززة ( قم بترقيم ترتيبها بعناية باستخدام شريط الرسام أولاً ). 3. قم بتشغيل NAS بدون محركات الأقراص الثابتة، وابحث عن عنوان IP الخاص به عبر Qfinder Pro، وعندما يُطلب منك ذلك على شاشة الإعداد، قم بتوصيل محركات الأقراص مرة أخرى في فتحاتها المحددة، واختر "تحديث البرامج الثابتة فقط (الاحتفاظ بجميع البيانات والإعدادات)" (لا تنقر أبدًا على "تهيئة النظام"، الذي يمسح محركات الأقراص). 3. ملاحظة مهمة لفك تشفير تطبيق القانون DeadBolt: في عمليات منسقة بقيادة الشرطة الوطنية الهولندية ** (Politie), يوروبول (No More Ransom) وResponders.nu، نجح تطبيق القانون في خداع DeadBolt الجهات الفاعلة التهديدية أثناء ارتفاع رسوم mempool إلى إطلاق أكثر من 150 مفتاح فك تشفير رئيسي قبل أن يتم إلغاء معاملات Bitcoin منخفضة الرسوم للمهاجمين عبر Replace-By-Fee. تحقق deadbolt.responders.nu و nomoreransom.org لمعرفة ما إذا كان لديك محددة DeadBolt استولت الشرطة على مفتاح عنوان الضحية.

3. إذا انتهت ملفاتك بالـ .encrypt (eCh0raix / QNAPCrypt)¶

• عدة أجيال من eCh0raix (QNAPCrypt) استخدم اشتقاق مفتاح AES معيبًا أو كان لديه التحكم والتحكم (C2) قاعدة البيانات التي استولى عليها الباحثون الأمنيون وجهات إنفاذ القانون.
• زيارة nomoreransom.org وقم بتحميل ملفين مشفرين (أو مذكرة الفدية README_FOR_DECRYPT.txt) لاختبار Bitdefender / NoMoreRansom المجاني eCh0raix Decryptor قبل مسح أي شيء.

المرحلة 3: استعادة الملفات الخاصة بك من Btrfs, ZFSأو QNAP لقطات في 60 ثانية¶

إذا تم تشفير NAS الخاص بك بواسطة Vector #2 (جهاز كمبيوتر مصاب ببرامج الفدية على شبكة LAN لديك يقوم بتشفير المجلدات المشتركة عبر SMB)، أو إذا كان لديك غير قابل للتغيير (WORM) اللقطات أو لقطات LVM/Btrfs/ZFS التي لم تمسها أثناء هجوم مباشر على NAS، يمكنك استعادة 100 بالمائة من ملفاتك على الفور:

1. محطة الأقراص سينولوجي (DSM 7.x مع Btrfs النسخ المتماثل للقطات)¶

1. أولاً، تأكد من أن الكمبيوتر المصاب الموجود على شبكة LAN الخاصة بك مفصول عن الشبكة، وقم بتحديث Synology DSM إلى الإصدار الأحدث ضمن Control Panel > Update & Restore.
2. افتح حزمة Snapshot Replication داخل Synology DSM.
3. انقر فوق الاسترداد في الشريط الجانبي الأيسر.
4. حدد المجلد المشترك المشفر (أو iSCSI LUN) وانقر فوق استرداد.
5. تصفح قائمة اللقطات المجدولة (GMT+...) وحدد اللقطة التي تم التقاطها مباشرة قبل بدء تشفير برامج الفدية (حدد الإجراء > تصفح أولاً لمعاينة الملفات داخل تلك اللقطة والتأكد من أنها نظيفة وغير مشفرة).
6. انقر فوق إجراء > استعادة إلى هذه اللقطة (أو استنساخ باسم جديد إذا كنت تريد الاحتفاظ بالمجلد المشفر دون تغيير للحصول على أدلة الطب الشرعي أثناء تركيب نسخة نظيفة من المجلد المشترك على الفور).
7. لان Btrfs هي نسخة عند الكتابة (CoW) نظام الملفات، تستغرق عملية إرجاع مجلد مشترك مساحته 20 تيرابايت إلى لقطة ما قبل الهجوم أقل من 10 ثوانٍ.

2. كيو إن إيه بي ناس (QTS لقطات LVM على مستوى الكتلة & QuTS hero ZFS لقطات)¶

1. بمجرد تصحيح بطل QTS/QuTS وعزله عن شبكة WAN، افتح وحدة التخزين واللقطات.
2. انتقل إلى التخزين > التخزين/اللقطات، وحدد المجلد السميك أو المجلد الرفيع أو المجلد المشترك ZFS المتأثر، وانقر فوق Snapshot Manager (رمز الكاميرا).
3. حدد آخر لقطة نظيفة تم التقاطها قبل الطابع الزمني للهجوم.
4. تصفح شجرة المجلدات داخل الجزء الأيسر للتأكد من أن ملفاتك سليمة، ثم انقر فوق Revert Volume Snapshot (أو حدد جميع المجلدات وانقر فوق Restore للكتابة فوق الملفات المشفرة فقط).

3. ترو ناس (CORE / SCALE على ZFS) و Unraid (ZFS / Btrfs)¶

• ** على TrueNAS (ZFS)**: انتقل إلى التخزين > اللقطات (أو حماية البيانات > مهام اللقطات الدورية)، وابحث عن اللقطة النظيفة (tank/share@auto-2026-10-31_12-00)، وانقر فوق استرجاع (أو انسخ اللقطة إلى مجموعة بيانات جديدة zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered لذلك لن تفقد أبدًا اللقطات المتوسطة الأحدث).

المرحلة 4: تقوية NAS لديك بحيث لا يمكن تشفيرها مرة أخرى (قائمة المراجعة المكونة من 7 نقاط)¶

بمجرد استرداد بياناتك، قم بتطبيق قواعد التكوين الإلزامية السبعة هذه على جهاز Synology أو QNAP أو TrueNAS أو Asustor قبل إعادة توصيله بالشبكة:

• 1. لا تقم أبدًا بإعادة توجيه أي منفذ على جهاز التوجيه الخاص بك إلى NAS الخاص بك: استخدم Tailscale أو WireGuard VPN بدلاً من ذلك:
• قم بتثبيت حزمة Tailscale الرسمية من Synology Package Center / QNAP App Center (أو قم بتشغيل WireGuard VPN Server المدمج في جهاز التوجيه الخاص بك).
• يقوم Tailscale بإنشاء نفق شبكي مشفر من نظير إلى نظير بدون تكوين من نوع WireGuard (100.x.y.z) بين هاتفك والكمبيوتر المحمول وجهاز NAS الخاص بك بدون منافذ مفتوحة على جدار الحماية لجهاز التوجيه المنزلي. يمكنك الوصول إلى الصور والملفات وشاشة الإدارة الخاصة بـ NAS من أي مكان في العالم بينما يظل NAS الخاص بك غير مرئي بنسبة 100% للماسحات الضوئية عبر الإنترنت مثل Shodan.
• **2. تعطيل الافتراضي المدمج admin الحساب وإنشاء مسؤول مسمى مخصص مع إلزامية 2FA **:
• يأتي كل من Synology DSM وQNAP QTS بحساب افتراضي يسمى admin (UID 1024 أو UID 0). تقوم روبوتات القوة الغاشمة الآلية بضرب اسم المستخدم admin 24/7.
• قم بإنشاء حساب مسؤول جديد تمامًا باستخدام اسم مستخدم فريد، وقم بتسجيل الدخول باستخدام هذا الحساب الجديد، وانتقل إلى لوحة التحكم > المستخدم والمجموعة (أو المستخدمون)، وتعطيل الإعداد الافتراضي admin الحساب.
• قم بتشغيل المصادقة الثنائية الإلزامية (OTP / Passkey / Approve Sign-in) لجميع حسابات المسؤول.
• 3. تشغيل غير قابل للتغيير (WORM) لقطات (7-to-14-Day Retention Lock):
• في Synology DSM 7.2+: افتح نسخ اللقطات المتماثلة > اللقطات > الإعدادات > الجدول، وقم بتمكين اللقطات اليومية، وحدد "تمكين اللقطات غير القابلة للتغيير" مع فترة حماية من 7 إلى 14 يومًا. حتى لو سرق أحد المتسللين كلمة مرور الجذر الخاصة بك أو استغل ثغرة أمنية في kernel في DSM، لا أحد (ولا حتى root) يمكنه حذف لقطة غير قابلة للتغيير حتى تنتهي مدة ساعة الجهاز البالغة 7 أيام.
• في QNAP QuTS Hero / QTS: قم بتكوين Snapshot Replica Vault أو قم بتمكين WORM (Write Once, Read Many) سياسات الاحتفاظ بمشاركات النسخ الاحتياطي الهامة، وتأكد من تمكين "حجز مساحة اللقطات".
• **4. تقييد أذونات مشاركة شبكة SMB (Least Privilege) لذلك لا يمكن لعدوى الكمبيوتر المحمول تشفير NAS بالكامل **:
• لا تقم أبدًا بتعيين سيد NAS الخاص بك admin بيانات الاعتماد داخل مستكشف ملفات Windows (\\NAS\) على أجهزة الكمبيوتر المحمولة اليومية.
• قم بإنشاء حساب مستخدم قياسي غير إداري للوصول اليومي إلى الملفات، وقم بتعيين مجلدات الأرشيف/الصور (على سبيل المثال، 2010-2025 Family Photos Archive) إلى ** للقراءة فقط (ro)** لمستخدمي سطح المكتب يوميًا، بحيث إذا اكتشف جهاز الكمبيوتر الشخصي الخاص بأحد أفراد العائلة الذي يعمل بنظام التشغيل Windows برامج الفدية، فيمكن لجهاز الكمبيوتر قراءة هذه المجلدات ولكن لا يمكنه تشفيرها أو تعديلها.
• 5. قم بتشغيل جدار الحماية المدمج في NAS (Allow LAN + Tailscale Subnets Only) والحظر التلقائي:
• داخل Synology Control Panel > Security > Firewall (أو QNAP QuFirewall)، أنشئ قاعدة صارمة تسمح بالاتصالات فقط من شبكة LAN الفرعية المحلية (192.168.1.0/24) والشبكة الفرعية Tailscale/VPN (100.64.0.0/10)، متبوعة بقاعدة سفلية مضبوطة على رفض الكل. حتى لو تحول شخص ما عن طريق الخطأ UPnP مرة أخرى على جهاز التوجيه، سيقوم مرشح الحزم الداخلي الخاص بـ NAS بإسقاط كل حزمة إنترنت عامة على الفور.
• 6. تعطيل SSH (Port 22) و التلنت (Port 23) عندما لا يتم استكشاف الأخطاء وإصلاحها بشكل فعال:
• اترك SSH قيد التشغيل OFF بالداخل Control Panel > Terminal & SNMP أثناء التشغيل اليومي العادي؛ قم بتشغيله فقط لمدة 10 دقائق التي تحتاجها لتشغيل مهمة سطر الأوامر، ثم قم بإيقاف تشغيله مرة أخرى.
• 7. الحفاظ على نسخة احتياطية سحابية حقيقية "3-2-1" Air-Gapped / غير قابلة للتغيير (Hyper Backup / HBS 3):
• اتبع لدينا النسخ الاحتياطية للكمبيوتر ودليل التعافي من الكوارث 3-2-1: تكوين Synology Hyper Backup أو كيو إن إيه بي Hybrid Backup Sync (HBS 3) لدفع النسخ الاحتياطية المشفرة ليلاً والمكررة من جانب العميل إلى محرك أقراص USB ثابت خارجي قمت بفصله فعليًا أو إلى Object-Locked (S3 Object Lock Compliance Mode) دلو السحابة (Backblaze B2, Wasabiأو AWS S3) باستخدام مفاتيح API المقيدة للإلحاق فقط.

أرقام الطوارئ الإقليمية وبروتوكولات الوكالة¶

يتم التحقيق في هجمات برامج الفدية التي تستهدف أجهزة NAS من قبل وكالات الجرائم الإلكترونية الوطنية في جميع أنحاء العالم، والتي تحتفظ بمستودعات مفاتيح فك التشفير المضبوطة (No More Ransom) وتتبع البنية التحتية الإجرامية:

• الولايات المتحدة وكندا:
• انقطاع الطوارئ لسلامة الحياة: اتصل 911 إذا عطلت برامج الفدية أنظمة الرعاية الصحية أو السلامة البدنية.
• مركز شكاوى جرائم الإنترنت التابع لوكالة المخابرات المركزية الأمريكية ومكتب التحقيقات الفيدرالي (IC3): الإبلاغ عن حملات برامج الفدية NAS (DeadBolt, Akira, LockBit, Qlocker) في stopransomware.gov, ic3.gov أو اتصل بـ CISA على 1-844-Say-CISA (1-844-729-2472).
• المركز الكندي للأمن السيبراني وRCMP: التقرير في cyber.gc.ca (1-833-CYBER-88) أو المركز الكندي لمكافحة الاحتيال.
• المملكة المتحدة:
• خدمات الطوارئ: اتصل 999 (أو 101 للشرطة غير الطوارئ).
• الاحتيال في الإجراءات وNCSC: قم بالإبلاغ عن حوادث برامج الفدية على actionfraud.police.uk أو اتصل 0300 123 2040 (خط الحوادث السيبرانية المباشر على مدار الساعة طوال أيام الأسبوع). يمكن للشركات الصغيرة والجمعيات الخيرية استشارة ** NCSC Cyber Incident Response (ncsc.gov.uk)** البوابة.
• الاتحاد الأوروبي:
• خدمات الطوارئ: اتصل 112 في جميع الدول الأعضاء في الاتحاد الأوروبي.
• مركز يوروبول الأوروبي للجرائم الإلكترونية (EC3) & NoMoreRansom.org: تحقق nomoreransom.org (تحتفظ بها الشرطة الوطنية الهولندية واليوروبول والوكالات الشريكة) فيما يتعلق بمفاتيح فك تشفير برامج الفدية NAS التي تم الاستيلاء عليها، وإبلاغها إلى CSIRT الوطنية وهيئة حماية البيانات (DPA في غضون 72 ساعة إذا تم تسريب البيانات الشخصية أو فقدها بموجب اللائحة العامة لحماية البيانات).
• أستراليا ونيوزيلندا:
• خدمات الطوارئ: اتصل 000 في أستراليا أو 111 في نيوزيلندا.
• ** مركز الأمن السيبراني الأسترالي (ACSC)**: اتصل بالخط الساخن لبرامج الفدية على مدار الساعة طوال أيام الأسبوع على 1300 CYBER1 (1300 292 371) أو الإبلاغ في cyber.gov.au.
• CERT NZ: قم بالإبلاغ في cert.govt.nz.
• الهند وآسيا والمحيط الهادئ:
• ** الهند (CERT-In وخط المساعدة الخاص بالجرائم الإلكترونية)**: اتصل 1930 أو الإبلاغ في cybercrime.gov.in و incident@cert-in.org.in.
• ** تايوان (TWCERT/CC، الولاية القضائية الرئيسية لـ Synology وQNAP وAsustor PSIRTs)**: أرسل تذاكر الحوادث الأمنية للمورد مباشرةً إلى QNAP PSIRT (service.qnap.com) أو سينولوجي PSIRT (synology.com/en-global/security/advisory).

الأسئلة المتداولة¶

كيف أصابت برامج الفدية نظام QNAP أو Synology NAS الخاص بي عندما لم أنقر مطلقًا على أي رابط تصيد وكانت أجهزة الكمبيوتر الخاصة بي نظيفة تمامًا؟¶

تم إصابة NAS الخاص بك مباشرة من الإنترنت العام دون لمس أجهزة الكمبيوتر الخاصة بك. إما أن يكون جهاز توجيه الإنترنت الخاص بك بنب (`Universal Plug and Play`) ممكّن (مما يسمح لميزة "Auto Router Configuration / EZ-Internet / myQNAPcloud" الخاصة بـ NAS بفتح المنافذ بصمت 8080, 443, 5000, 5001أو 22 على جدار الحماية الخاص بك)، أو قمت بإعادة توجيه منفذ يدويًا للوصول إلى ملفاتك عن بُعد. تقوم شبكات الروبوت الآلية بفحص كل عنوان IP عام على الإنترنت بشكل مستمر واستغلال نقاط الضعف غير المصححة أو الضعيفة admin كلمات المرور على واجهات الويب NAS المكشوفة.

كيف يمكنني معرفة ما إذا كان برنامج الفدية قد تم تشغيله مباشرة داخل نظام التشغيل NAS الخاص بي مقابل تشغيله على أحد أجهزة الكمبيوتر التي تعمل بنظام التشغيل Windows عبر مشاركة الشبكة؟¶

انظر إلى ثلاثة مؤشرات: أولا، إذا كان شاشة تسجيل الدخول لإدارة الويب NAS نفسها تم استبداله بمذكرة فدية (مثل DeadBolt)، أو إذا كان NAS فقط يحتوي على ملفات مشفرة بينما يكون كل جهاز كمبيوتر على شبكتك نظيفًا، فسيتم تنفيذ البرامج الضارة مباشرة داخل نظام التشغيل NAS Linux. ثانيا قم بفتح سجل اتصال NAS / سجل نقل ملفات SMB (في السينولوجيا مركز السجل أو كيو إن إيه بي مركز كولوغ): إذا رأيت عنوان IP لشبكة محلية محلية (مثل 192.168.1.24) أداء عشرات الآلاف من السريع كتابة / إعادة تسمية / حذف انتهت العمليات الشركات الصغيرة والمتوسطة، ثم الكمبيوتر في 192.168.1.24 هو الجهاز المصاب الذي يقوم بتشفير NAS الخاص بك عبر الشبكة.

لماذا فعلت DeadBolt تشفير بداية ملفات الفيديو أو قاعدة البيانات الكبيرة فقط، وهل لا يزال بإمكاني تشغيل الملفات المشفرة جزئيًا أو إصلاحها؟¶

لتشفير عشرات التيرابايت من تخزين NAS قبل أن يلاحظ المالك أن محركات الأقراص الثابتة تطحن وتسحب القابس، سلالات مثل DeadBolt تشفير فقط أول 512 كيلو بايت (`524,288 bytes`) من كل ملف وإلحاق . ديدبولت التمديد، مع ترك الجيجابايت المتبقية من الملف دون تغيير في نص عادي. بينما يؤدي فقدان أول 512 كيلو بايت إلى تدمير المستندات الصغيرة وصور JPEG بالكامل، ملفات فيديو كبيرة متعددة الجيجابايت (`.mp4`, `.mov`, `.mkv`)، ولقطات الكاميرا الأولية، وبعض صور قرص الجهاز الظاهري (`VMDK`/`VHDX`) أو يمكن في كثير من الأحيان إصلاح قواعد بيانات SQL عن طريق زرع رأس حاوية صالح (`moov` atom) من مقطع فيديو آخر تم تسجيله بنفس الكاميرا باستخدام أدوات مثل untrunc.

هو سينولوجي QuickConnect أو myQNAPcloud Link هل من الآمن تركه ممكّنًا إذا قمت بإيقاف تشغيل جهاز التوجيه UPnP وإعادة توجيه المنفذ؟¶

مع إيقاف تشغيل جهاز التوجيه UPnP وإعادة توجيه المنفذ يدويًا بشكل كامل، يتم تشغيل خدمات الترحيل الصادر مثل Synology تتابع الاتصال السريع و رابط myQNAPcloud تعتبر أكثر أمانًا بشكل ملحوظ من منافذ WAN المفتوحة لأنها لا تفتح منافذ الاستماع على جدار الحماية لجهاز التوجيه الخاص بك. ومع ذلك، فإنها لا تزال تعرض شاشة تسجيل الدخول إلى NAS (`DSM` / `QTS` معالج مصادقة الويب) لأي شخص يعرف أو يخمن `QuickConnect ID`. للحصول على الحد الأقصى من الأمان، قم بتعطيل وصول الترحيل العام إلى واجهة المسؤول واستخدامه مقياس الذيل أو وايرجارد VPN بدلاً من ذلك، الأمر الذي يتطلب مصادقة جهاز التشفير من قبل يمكن لحزمة HTTP واحدة أن تصل إلى خادم الويب NAS الخاص بك.

هل يجب أن أدفع فدية البيتكوين مقابل DeadBolt, Qlockerأو eCh0raix إذا لم يكن لدي أي نسخ احتياطية ولا لقطات؟¶

وكالات إنفاذ القانون (`FBI`, `CISA`, `Europol`, `NCSC`) ننصح بشدة بعدم دفع الفدية لأن الدفع يمول العصابات الإجرامية ولا يحمل أي ضمان بأن البرنامج النصي لفك التشفير الآلي للمهاجم سيعمل دون إتلاف الملفات. قبل التفكير في الدفع: (1) قم بتصوير محركات الأقراص أو الاحتفاظ بها حتى لا تزيد الأمور سوءًا، (2) تحقق من **`nomoreransom.org`** و **`deadbolt.responders.nu`** لمعرفة ما إذا كانت سلطات إنفاذ القانون قد صادرت بالفعل المفتاح الرئيسي لسلالتك، (3) من أجل **`Qlocker`**، تشغيل **`PhotoRec` / `QRescue`** على مساحة القرص غير المخصصة (التي تسترد في كثير من الأحيان 60% إلى 90% من النسخ الأصلية المحذوفة مجانًا)، و(4) للنسخ الكبيرة `.mp4`/`.mov` مقاطع الفيديو التي تعرضت لتشفير جزئي للرأس، واختبار إعادة بناء الرأس باستخدام `untrunc`.

أدلة ذات صلة¶

• الإصابة بالبرامج الضارة وبرامج الفدية وبرامج التجسس: الاحتواء والاسترداد الفوري
• تأمين أجهزة التوجيه المنزلية وأجهزة إنترنت الأشياء
• تدهورت مجموعة NAS RAID، وفشل العديد من محركات الأقراص، واسترداد ZFS/Btrfs
• النسخ الاحتياطي للكمبيوتر، واستراتيجية 3-2-1، والتعافي من الكوارث
• استغلال يوم الصفر لتصحيح حالات الطوارئ وعزل الأجهزة عند انتهاء عمرها الافتراضي
• أرقام الطوارئ حسب البلد

المصادر والتوجيهات الرسمية¶

• وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومكتب التحقيقات الفيدرالي (FBI) (StopRansomware.gov): * تنبيه بشأن وحدة التخزين المتصلة بالشبكة (NAS) الأجهزة المستهدفة بواسطة DeadBolt وQlocker وeCh0raix وAkira Ransomware*.
• مركز اليوروبول الأوروبي للجرائم الإلكترونية (EC3) والشرطة الوطنية الهولندية (Politie) (NoMoreRansom.org): عملية الاستيلاء على مفتاح DeadBolt، ومستودع eCh0raix Decryptor، وإرشادات التخفيف من برامج الفدية.
• فريق الاستجابة لحوادث أمن المنتجات في QNAP (QNAP PSIRT) والمجلس الاستشاري للأمان في Synology: نشرات فنية حول تعطيل جهاز التوجيه UPnP، واستعادة وحدات تحكم المشرف المختطفة، QRescue (PhotoRec) الاسترداد غير المخصص، وتمكين غير قابل للتغيير WORM لقطات.
• المركز الوطني للأمن السيبراني (NCSC) (المملكة المتحدة): التخفيف من البرامج الضارة وبرامج الفدية على وحدات تخزين الشبكة والأجهزة المكتبية الصغيرة.