Праграмы-вымагальнікі на хатнім або офісным NAS (Synology/QNAP): спыненне шыфравання і ўздзеяння UPnP¶

Праслухоўванне жорсткіх дыскаў у вашым сеткавым сховішчы (NAS) прыбор (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, або Western Digital My Cloud) бесперапынна працуе пры 100-працэнтным выкарыстанні дыска, пакуль агульныя папкі запаўняюцца .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, або .encrypt пашырэнні файлаў (або калі ваш вэб-экран ўваходу ў сістэму NAS заменены патрабаваннем выкупу ў біткойнах) з'яўляецца крытычнай надзвычайнай сітуацыяй для захоўвання. Прылады NAS з'яўляюцца каштоўнымі мэтамі для аўтаматызаваных інтэрнэт-ботнетаў-вымагальнікаў (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, і Akira), таму што адзін NAS без выпраўленняў часта змяшчае ад 10 да 100 тэрабайт усяго лічбавага жыцця сям'і або малога бізнесу і часта падвяргаецца непасрэднаму доступу да агульнадаступнага Інтэрнэту без ведама ўладальніка праз Маршрутызатар UPnP (Universal Plug and Play) Аўтаматычная пераадрасацыя партоў або сэрвісы воблачнай рэтрансляцыі пастаўшчыка (myQNAPcloud, Synology QuickConnect, EZ-Internet). Перад тым як вырваць шнур сілкавання пераменнага току са сцяны, вы павінны прыняць важнае 10-секунднае архітэктурнае рашэнне, заснаванае на тым, ці выкарыстоўвае ваш NAS здымкі Copy-on-Write (Btrfs або ZFS) або традыцыйны масіў RAID; для збояў дыскавых масіваў, якія не звязаны з праграмамі-вымагальнікамі, пракансультуйцеся Масіў NAS RAID пагаршаецца, збой некалькіх дыскаў і аднаўленне ZFS/Btrfs, а пра заражэнне праграмамі-вымагальнікамі на ПК гл заражэнне шкоднаснымі праграмамі, праграмамі-вымагальнікамі і шпіёнскімі праграмамі а таксама забеспячэнне бяспекі хатніх маршрутызатараў і прылад IoT. Калі праграма-вымагальнік ўплывае на працу бальніцы, муніцыпальных службаў экстранай дапамогі або інфраструктуры фізічнай бяспекі, патэлефануйце ў мясцовы нумар службы экстранай дапамогі (911 у Злучаных Штатах і Канадзе, 112 па ўсім Еўрапейскім Саюзе, 999 у Злучаным Каралеўстве) або пракансультуйцеся з нашым каталогам міжнародных нумары экстраных службаў.

Зрабіце гэта зараз¶

1. Выцягніце фізічны Ethernet (RJ45 / 10GbE) сеткавы(-ыя) кабель(-і) з задняй панэлі NAS ПРАМА ЗАРАЗ, перш чым дакранацца да шнура сілкавання:
2. Адключэнне кабеля(-аў) Ethernet неадкладна раз'ядноўвае інтэрактыўны сеанс камандавання і кіравання SSH/HTTP зламысніка, спыняе загрузку другаснай карыснай нагрузкі шыфравання NAS і, што не менш важна, імгненна спыняе заражаны настольны ПК у лакальнай офіснай лакальнай сетцы ад шыфравання вашага NAS праз агульныя сеткавыя папкі SMB/CIFS (\\NAS\Share).
3. Вызначце за 15 секунд, адключаць электраэнергію або чыста спыніць працэс шыфравання:
4. Сцэнар A: праграма-вымагальнік працуе НА настольным ПК у вашай лакальнай сетцы і шыфруе файлы NAS праз SMB/супастаўлены сеткавы дыск: простае выцягванне кабеля Ethernet NAS на этапе 1 ужо спыніла 100% шыфравання на NAS. Пакіньце NAS уключаным, каб яго масіў RAID і файлавая сістэма заставаліся чыстымі, і ізалюйце заражаную працоўную станцыю Windows/Mac.
5. Сцэнар Б: двайковы файл праграмы-вымагальніка выконваецца непасрэдна ЎНУТРЫ самой аперацыйнай сістэмы NAS Linux (DeadBolt, Qlocker, eCh0raix):
   • Калі ў вас не ёсць Btrfs або ZFS уключаны здымкі (напрыклад, стары ext4 аб'ём) і дыскі актыўна здрабняюцца, калі NAS шыфруе вашу адзіную копію файлаў, націсніце і ўтрымлівайце кнопку сілкавання на фізічнай пярэдняй панэлі NAS на працягу 5-10 секунд, каб неадкладна прымусова адключыць харчаванне (або выцягніце вілку DC/AC, калі кнопка не рэагуе). Кожную хвіліну, калі NAS застаецца ўключаным, працэсар можа зашыфраваць яшчэ ад 5 да 20 гігабайт вашых файлаў.
   • Важнае папярэджанне (Why DeadBolt & Qlocker victims must NOT reboot after recovery): штамы праграм-вымагальнікаў Qlocker (які перамяшчае файлы ў абаронены паролем .7z архівы з выкарыстаннем 7z) і DeadBolt часам захоўваюць актыўны стан шыфравання або ключы дэшыфравання /tmp (RAM) або захапіць двайковы файл вэб-інтэрфейсу (/home/httpd/index.html). Калі ў вас усё яшчэ ёсць адкрытая лакальная каранёвая абалонка SSH у NAS, праверце ps aux і /tmp перад адключэннем (гл. Фазу 2 ніжэй).
6. Увайдзіце ў свой інтэрнэт-маршрутызатар / брандмаўэр (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP gateway) неадкладна і ВЫКЛЮЧЫЦЬ UPnP (Universal Plug and Play) І выдаліць усе правілы пераадрасацыі партоў WAN, якія паказваюць на ваш NAS:
7. Больш за 80 працэнтаў заражэнняў NAS-вымагальнікамі ў хатніх умовах і ў малых офісах адбываюцца з-за таго, што карыстальнік націснуў кнопку «Аўтаматычная канфігурацыя маршрутызатара / EZ-Інтэрнэт / UPnP» падчас першапачатковай наладкі, што моўчкі загадала хатняму маршрутызатару адкрыць парты TCP 5000, 5001, 8080, 8443, 443, 22 (SSH), або 445 (SMB) напрамую ва ўвесь агульнадаступны Інтэрнэт (Shodan.io / Censys).
8. Назаўсёды адключыце UPnP у наладах WAN/NAT маршрутызатара і выдаліце ўсе правілы пераадрасацыі партоў, якія паказваюць на лакальны IP-адрас NAS.
9. НЕ ініцыялізуйце, не перафармаціруйце і не запускайце «Скід/пераўсталяванне DSM або QTS» на цвёрдых дысках, перш чым праверыць, ці не захапіла праграма-вымагальнік толькі раздзел АС або том даных:
10. У такіх нападах, як DeadBolt, шкоднасная праграма перазапісвае вэб-старонку ўваходу ў сістэму NAS (index.html), каб адлюстраваць поўнаэкраннае паведамленне аб выкупе, якое блакуе доступ да прыборнай панэлі адміністратара QNAP/Synology, нават калі ваш асноўны Btrfs / ZFS здымкі або вялікія відэафайлы (больш за 20 мегабайт) па-ранейшаму на 100 працэнтаў некранутымі на дысках.
11. Праверце, ці ёсць у вашым NAS Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), або LVM Здымкі на ўзроўні блокаў (QNAP Storage & Snapshots):
12. Таму што Btrfs і ZFS здымкі даступныя толькі для чытання на ўзроўні блокаў файлавай сістэмы (і Synology WORM / Immutable Snapshots не могуць быць нават выдалены скампраметаваны root уліковы запіс адміністратара), вы часта можаце адкаціць 100 працэнтаў вашых зашыфраваных агульных папак за 60 секунд без страты даных і без выплаты выкупу.
13. Перш чым плаціць выкуп, вызначце дакладны штам вымагальнікаў, які выкарыстоўвае ID Ransomware (id-ransomware.malwarehunterteam.com) і No More Ransom (nomoreransom.org):
14. Некалькі асноўных штамаў праграм-вымагальнікаў NAS (eCh0raix / QNAPCrypt, рана Qlocker праз photorec / qrescue здабыча часопісаў, Muhstik, і SynoLocker) ёсць бясплатныя агульнадаступныя дэшыфратары або крыміналістычныя метады здабывання ключоў, апублікаваныя праваахоўнымі органамі і даследчыкамі бяспекі.

Дрэва рашэнняў: неадкладная сартаванне праграм-вымагальнікаў NAS і шлях аднаўлення¶

Скарыстайцеся гэтым працоўным працэсам, каб вызначыць, ці адбылася атака з камп'ютара лакальнай сеткі або непасрэдна з NAS, і абярыце найбольш бяспечны метад аднаўлення:

flowchart TD
    Symptom["Назапашвальнікі NAS працуюць на 100% + перайменаваныя файлы (.deadbolt, .7z, .ech0raix, .lockbit) або вэб-інтэрфейс паказвае экран выкупу"] --> PullLAN["КРОК 1 (на працягу 5 секунд): адлучыце ўсе кабелі Ethernet ад задняй часткі NAS"]

    PullLAN --> SourceCheck{"Ці спыніла шыфраванне момант, калі вы адключылі кабель Ethernet NAS?"}

    SourceCheck -->|"ТАК: актыўнасць дыска зніжаецца да нуля пры адключэнні лакальнай сеткі"| SMBVector["КРЫНІЦА A: Праграмы-вымагальнікі запушчаны на ПК з Windows/Mac у вашай сетцы і шыфруюць агульныя папкі праз SMB"]

    SourceCheck -->|"НЕ: Жорсткія дыскі NAS працягваюць збівацца з Ethernet Unplugged (або сама старонка ўваходу ў сетку NAS была заменена экранам выкупу)"| DirectNAS["КРЫНІЦА B: двайковы файл-вымагальнік выконваецца непасрэдна ў АС NAS (выкарыстоўваецца праз UPnP / адкрытыя парты WAN 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Знайдзіце і адключыце заражаны ПК у лакальнай сетцы -> Аднавіць агульныя папкі NAS з Btrfs / ZFS / QNAP Snapshots або Hyper Backup"]

    DirectNAS -->SSHCheck{"Ці ёсць у вас актыўная лакальная сесія SSH (ці гэта Qlocker працуе 7z)?"}

    SSHCheck -->|"Так (Qlocker / Актыўны працэс 7z)"| GrabPass["Праверце ps aux | grep 7z на SSH для захопу адкрытага тэксту пароля 7-Zip з аргументаў каманднага радка перад працэсам забойства"]
    SSHCheck -->|"Няма шліфавальных дыскаў SSH / невядомай дэфармацыі"| PowerOff["Утрымлівайце кнопку сілкавання NAS 5-10 секунд, каб прымусова неадкладна адключыць сілкаванне, каб незашыфраваныя файлы і вольная прастора захаваліся"]

    GrabPass --> KillUPnP["КРОК 2: Увайдзіце ў маршрутызатар -> Назаўсёды адключыце UPnP + Выдаліце ўсе правілы пераадрасацыі партоў (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Якія актывы для аднаўлення існуюць на NAS?"}

    RecoveryPath -->|"Прысутнічаюць здымкі блокаў Btrfs / ZFS / QNAP"| SnapRestore["Ачысціце раздзел АС / Абнаўленне прашыўкі -> Адкат агульных тэчак да здымка папярэдняй атакі"]
    RecoveryPath -->|"Знешні USB / рэзервовае капіраванне ў воблаку па-за месцам (Hyper Backup / HBS 3)"| BackupRestore["Ачысціце і перабудуйце NAS на выпраўленай прашыўцы -> Аднавіць з аўтаномнай/воблачнай рэзервовай копіі"]
    RecoveryPath -->|"Без здымкаў і рэзервовых копій"| ForensicCarve["Кланаваць дыскі толькі для чытання -> Праверце NoMoreRansom.org + запусціце PhotoRec / QRescue Unlocated Carving (асабліва эфектыўна супраць Qlocker)"]

Як урываецца праграма-вымагальнік NAS: два вектары атакі¶

Перад тым, як зноў падключыць NAS да камутатара лакальнай сеткі, вы павінны ведаць, які з двух абсалютна розных вектараў ўваходу дазволіў праграме-вымагальніку пранікнуць у вашыя сховішчы:

Этап 1: Адключэнне доступу да Інтэрнэту (Router UPnP, Port Forwardingі Cloud Relays)¶

Калі вы ачысціце або аднавіце NAS, не закрыўшы сеткавую дзірку на маршрутызатары, аўтаматызаваныя ботнеты, якія скануюць ваш агульнадаступны IP-адрас, паўторна заразяць NAS на працягу некалькіх гадзін пасля вяртання яго ў сетку. Спачатку завяршыце блакіроўку сеткі на маршрутызатары:

1. Увайдзіце ў кансоль адміністратара інтэрнэт-маршрутызатара / брандмаўэра:
2. Адкрыйце браўзер на чыстым кампутары або тэлефоне і перайдзіце да IP шлюза вашага маршрутызатара (звычайна 192.168.1.1, 192.168.0.1, 10.0.0.1, або праз прыкладанне маршрутызатара ячэістай сеткі, напрыклад UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Адключыць UPnP (Universal Plug and Play) Пастаянна:
4. Перайдзіце да Дадаткова > Пераадрасацыя NAT / WAN / Сетка > UPnP і пераключыце UPnP у становішча ВЫКЛ / Выключана.
5. ** Чаму UPnP настолькі небяспечна для ўладальнікаў NAS**: калі UPnP уключаны на вашым маршрутызатары, любая прылада ў лакальнай сетцы (у тым ліку майстар «EZ-Інтэрнэт» або «Аўтаматычная канфігурацыя маршрутызатара» вашага NAS, або шкоднасныя праграмы на смарт-тэлевізары) можа моўчкі адправіць IGD (Internet Gateway Device) запытаць вашаму маршрутызатару са словамі "Адкрыць знешні порт WAN 8080 і 5001 на мой лакальны IP 192.168.1.50", абмінаючы брандмаўэр, не запытваючы пароль маршрутызатара.
6. Выдаліць усе ручныя пераадрасацыі партоў (Virtual Server) & DMZ Правілы, якія паказваюць на NAS:
7. Перайдзіце ў раздзел Дадаткова > Пераадрасацыя NAT > Пераадрасацыя партоў (ці віртуальныя серверы) і выдаліце ўсе правілы перанакіравання партоў TCP або UDP (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex, калі ён не патрэбны) на IP-адрас NAS.
8. Праверце Дадаткова > DMZ і пераканайцеся, што Хост DMZ адключаны (размяшчэнне IP NAS у DMZ маршрутызатара адкрывае ўсе 65 535 партоў TCP і UDP NAS непасрэдна ў агульнадаступны Інтэрнэт).
9. Праверце па-за сеткай, што адкрыты нуль партоў NAS:
10. Наведайце shodan.io або grc.com (ShieldsUP) або запусціце сканаванне партоў на вашым агульнадаступным IP-адрасе WAN, каб пацвердзіць гэтыя парты 5000, 5001, 8080, 8443, 443, і 22 цяпер вярніся Filtered / Stealth / Closed.

Фаза 2: Экстраная сартаванне па канкрэтным штаму (Qlocker, DeadBolt, eCh0raix)¶

Перш чым ачысціць NAS або заплаціць выкуп, праверце, які канкрэтны штам праграм-вымагальнікаў NAS трапіў на вашу прыладу. Кожнае асноўнае сямейства NAS мае унікальныя тэхнічныя недахопы, якія дазваляюць часткова або цалкам аднаўляць даныя без аплаты:

1. Калі вашы файлы былі заменены на .7z Архівы (Qlocker на QNAP / Linux NAS)¶

як Qlocker працуе: Замест таго, каб пісаць уласны крыптаграфічны механізм, Qlocker запускае скрыпт, які выклікае ўласны ўбудаваны NAS 7-Zip (/usr/local/sbin/7z) двайковы файл для сціску кожнага файла ў абаронены паролем .7z архіваваць, а затым запускае звычайны Linux rm (unlink) у зыходны файл. - Трук №1 (падхоп пароля ў прамым эфіры ps aux Перад выключэннем): Калі Qlocker у цяперашні час усё яшчэ працуе на вашым NAS, і вы можаце ўвайсці лакальна праз SSH (ssh admin@nas-local-ip), запусціце гэтую каманду непасрэдна перад выключэннем:

ps aux | grep 7z

2. Калі ваш экран ўваходу ў NAS быў заменены на DeadBolt Старонка выкупу (.deadbolt файлы)¶

як DeadBolt працуе: 1. DeadBolt замяняе /home/httpd/index.html (або /home/httpd/cgi-bin/index.cgi) са сваёй уласнай двайковай/HTML-старонкай, якая захоплівае ваш вэб-браўзер кожны раз, калі вы спрабуеце адкрыць прыборную панэль QNAP QTS / Asustor ADM, патрабуючы біткойн у абмен на 32-шаснаццатковы галоўны ключ дэшыфравання (дастаўляецца праз біткойн у ланцужку). OP_RETURN здзелка). 2. Як аднавіць доступ да панэлі адміністратара QNAP QTS / QuTS hero без страты даных: - Варыянт A (праз лакальны SSH, калі ён уключаны): лакальны SSH у NAS (ssh admin@<nas-ip>), спыніце жуліка deadbolt працэс, калі ён запушчаны, і запусціце афіцыйны сцэнар аднаўлення прашыўкі QNAP або аднавіце арыгінал /home/httpd/index.html з вобраза ПЗУ сістэмы толькі для чытання (/mnt/HDA_root/update_pkg/). - Варыянт B (флэш-прашыўка без дыска + гарачая паўторная ўстаўка): 1. Выключыце NAS. 2. Высуньце ўсе жорсткія дыскі на 2 сантыметры (1 цаля), каб яны былі адлучаны ад задняй панэлі (уважліва пранумаруйце іх парадак адсекаў спачатку малярнай стужкай). 3. Уключыце NAS без цвёрдых дыскаў, знайдзіце яго IP праз Qfinder Pro, калі будзе прапанавана на экране наладкі, падключыце дыскі назад у патрэбныя адсекі і абярыце «Абнавіць толькі прашыўку (захаваць усе даныя і налады)» (ніколі не націскайце «Ініцыялізаваць сістэму», што выдаляе дыскі). 3. Важная заўвага аб дэшыфраванні праваахоўных органаў DeadBolt: У скаардынаваных аперацыях пад кіраўніцтвам Нацыянальнай паліцыі Нідэрландаў (Politie), Еўрапол (No More Ransom) і Responders.nu, праваахоўныя органы паспяхова падманулі DeadBolt суб'екты пагрозы падчас скачка платы Mempool выпусцілі больш за 150 галоўных ключоў дэшыфравання да таго, як транзакцыі зламыснікаў па біткойнах з нізкай камісіяй былі адменены праз Replace-By-Fee. Праверыць deadbolt.responders.nu і nomoreransom.org каб убачыць, калі ваш канкрэтны DeadBolt ключ з адрасам ахвяры быў захоплены паліцыяй.

3. Калі вашы файлы заканчваюцца .encrypt (eCh0raix / QNAPCrypt)¶

• Некалькі пакаленняў eCh0raix (QNAPCrypt) выкарыстоўвалі памылковы ключ AES або мелі свой камандна-кантрольны (C2) база дадзеных, канфіскаваная даследчыкамі бяспекі і праваахоўнымі органамі.
• Наведайце nomoreransom.org і загрузіце два зашыфраваных файла (або запіску аб выкупе README_FOR_DECRYPT.txt), каб праверыць бясплатны Bitdefender / NoMoreRansom eCh0raix Decryptor, перш чым што-небудзь сціраць.

Этап 3: Аднаўленне вашых файлаў з Btrfs, ZFS, або QNAP Здымкі за 60 секунд¶

Калі ваш NAS быў зашыфраваны Vector #2 (заражаны праграмай-вымагальнікам ПК у вашай лакальнай сетцы, які шыфруе агульныя папкі праз SMB) або калі ў вас быў Immutable (WORM) Здымкі або некранутыя здымкі LVM/Btrfs/ZFS падчас прамой атакі NAS, вы можаце неадкладна аднавіць 100 працэнтаў вашых файлаў:

1. Synology DiskStation (DSM 7.x з Btrfs Рэплікацыя здымка)¶

1. Спачатку пераканайцеся, што заражаны ПК у вашай лакальнай сетцы адключаны ад сеткі, і абнавіце Synology DSM да апошняй версіі ў раздзеле Панэль кіравання > Абнаўленне і аднаўленне.
2. Адкрыйце пакет Snapshot Replication ўнутры Synology DSM.
3. Націсніце Аднаўленне на левай бакавой панэлі.
4. Выберыце зашыфраваную Агульную папку (або iSCSI LUN) і націсніце Аднавіць.
5. Праглядзіце спіс запланаваных здымкаў (GMT+...) і выберыце здымак, зроблены непасрэдна перад пачаткам шыфравання праграм-вымагальнікаў (спачатку адзначце Дзеянне > Агляд, каб праглядзець файлы ўнутры гэтага здымка і пераканацца, што яны чыстыя і незашыфраваныя).
6. Націсніце Дзеянне > Аднавіць да гэтага здымка (ці Кланаваць з новай назвай, калі вы жадаеце захаваць зашыфраваную папку некранутай для судовых доказаў і неадкладна падключыць чыстую копію агульнай папкі).
7. Таму што Btrfs гэта капіраванне пры запісе (CoW) файлавай сістэмы, адкат 20-тэрабайтнай агульнай папкі да здымка да атакі займае менш за 10 секунд.

2. QNAP NAS (QTS Здымкі LVM на ўзроўні блокаў і QuTS hero ZFS здымкі)¶

1. Пасля таго як герой QTS/QuTS будзе выпраўлены і ізаляваны ад WAN, адкрыйце Сховішча і здымкі.
2. Перайдзіце ў Сховішча > Захоўванне/здымкі, абярыце тоўсты том, тонкі том або агульную папку ZFS і націсніце Дыспетчар здымкаў (значок камеры).
3. Выберыце апошні чысты здымак, зроблены да пазнакі часу атакі.
4. Праглядзіце дрэва папак у правай панэлі, каб пераканацца, што вашы файлы не пашкоджаныя, затым націсніце Вярнуць здымак тома (або выберыце ўсе папкі і націсніце Аднавіць, каб перазапісаць толькі зашыфраваныя файлы).

3. TrueNAS (CORE / SCALE на ZFS) і Unraid (ZFS / Btrfs)¶

• На TrueNAS (ZFS): перайдзіце ў Сховішча > Здымкі (або Абарона даных > Перыядычныя задачы па здымках), знайдзіце чысты здымак (tank/share@auto-2026-10-31_12-00), і націсніце Адкат (або клануйце здымак у новы набор даных zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered так што вы ніколі не страціце новыя прамежкавыя здымкі).

Этап 4: Умацаванне вашага NAS, каб ён больш ніколі не мог быць зашыфраваны (кантрольны спіс з 7 пунктаў)¶

Пасля аднаўлення даных прымяніце гэтыя сем абавязковых правілаў канфігурацыі на вашым прыладзе Synology, QNAP, TrueNAS або Asustor, перш чым паўторна падключаць яго да сеткі:

• 1. Ніколі не перанакіроўвайце любы порт вашага маршрутызатара на ваш NAS: выкарыстоўвайце Tailscale або WireGuard VPN Замест:
• Усталюйце афіцыйны пакет Tailscale з Synology Package Center / QNAP App Center (або запусціце ў маршрутызатар убудаваны WireGuard VPN Server).
• Tailscale стварае аднарангавы WireGuard зашыфраваны ячэісты тунэль без канфігурацыі (100.x.y.z) паміж тэлефонам, ноўтбукам і NAS з нулём адкрытых партоў на брандмаўэры хатняга маршрутызатара. Вы можаце атрымаць доступ да фатаграфій, файлаў і экрана адміністратара NAS з любой кропкі свету, у той час як ваш NAS застаецца на 100% нябачным для інтэрнэт-сканераў, такіх як Shodan.
• 2. Адключыць убудаваную па змаўчанні admin Уліковы запіс і стварэнне карыстальніцкага імя адміністратара з абавязковым 2FA:
• І Synology DSM, і QNAP QTS пастаўляюцца з уліковым запісам па змаўчанні пад назвай admin (UID 1024 або UID 0). Аўтаматызаваныя робаты грубай сілы забіваюць імя карыстальніка admin 24/7.
• Стварыце зусім новы ўліковы запіс адміністратара з унікальным імем карыстальніка, увайдзіце пад гэтым новым уліковым запісам, перайдзіце ў Панэль кіравання > Карыстальнік і група (або Карыстальнікі) і Адключыце стандартны admin рахунак.
• Уключыце Абавязковую 2-фактарную аўтэнтыфікацыю (OTP / Passkey / Approve Sign-in) для ўсіх уліковых запісаў адміністратара.
• 3. Уключыце нязменны (WORM) Здымкі (7-to-14-Day Retention Lock):
• У Synology DSM 7.2+: адкрыйце Рэплікацыя здымкаў > Здымкі > Налады > Расклад, уключыце штодзённыя здымкі і адзначце "Уключыць нязменныя здымкі" з перыядам абароны ад 7 да 14 дзён. Нават калі хакер выкрадзе ваш каранёвы пароль або выкарыстае ўразлівасць ядра ў DSM, ніхто (нават root) можна выдаліць нязменны здымак, пакуль не скончыцца 7-дзённы апаратны час.
• На QNAP QuTS hero / QTS: наладзьце Snapshot Replica Vault або ўключыце WORM (Write Once, Read Many) палітыку захавання крытычна важных абагульванняў рэзервовых копій і пераканайцеся, што "Зарэзерваваць месца для здымкаў" уключана.
• 4. Абмежаваць дазволы на агульны доступ да сеткі SMB (Least Privilege) Такім чынам, заражэнне ноўтбука не можа зашыфраваць увесь NAS:
• Ніколі не адлюстроўвайце майстар вашага NAS admin уліковыя даныя ўнутры Правадыра файлаў Windows (\\NAS\) на штодзённых ноўтбуках.
• Стварыце стандартны ўліковы запіс карыстальніка без правоў адміністратара для штодзённага доступу да файлаў і ўсталюйце папкі для архіваў/фота (напрыклад, 2010-2025 Family Photos Archive) у Толькі для чытання (ro) для штодзённых карыстальнікаў працоўнага стала, так што калі ПК члена сям'і з Windows выявіць праграмы-вымагальнікі, ПК зможа прачытаць гэтыя тэчкі, але не зможа зашыфраваць або змяніць іх.
• 5. Уключыце ўбудаваны брандмаўэр NAS (Allow LAN + Tailscale Subnets Only) і аўтаматычная блакіроўка:
• Унутры Панэлі кіравання Synology > Бяспека > Брандмаўэр (або QNAP QuFirewall) стварыце строгае правіла белага спісу, якое дазваляе падключацца толькі з лакальнай падсеткі лакальнай сеткі (192.168.1.0/24) і ваша падсетка Tailscale/VPN (100.64.0.0/10), за якім усталявана ніжняе правіла Забараніць усім. Нават калі нехта выпадкова павернецца UPnP вернуўшыся на маршрутызатар, уласны ўнутраны фільтр пакетаў NAS імгненна адкідае кожны публічны інтэрнэт-пакет.
• 6. Адключыць SSH (Port 22) і Telnet (Port 23) Пры адсутнасці актыўнага ліквідацыі непаладак:
• Пакіньце SSH адключаным ВЫКЛ у Панэлі кіравання > Тэрмінал і SNMP падчас звычайнай штодзённай працы; уключыце яго толькі на 10 хвілін, якія неабходныя для выканання задачы каманднага радка, а потым зноў выключыце.
• 7. Падтрымлівайце сапраўднае "3-2-1" паветранае / нязменнае рэзервовае капіраванне ў воблаку (Hyper Backup / HBS 3):
• Сачыце за нашымі рэзервовае капіраванне кампутара і кіраўніцтва па аварыйным аднаўленні 3-2-1: наладзіць Synology Hyper Backup або QNAP Hybrid Backup Sync (HBS 3) каб адпраўляць штовечар зашыфраваныя рэзервовыя копіі з дэдуплікатамі на баку кліента на вонкавы цвёрды дыск USB, які вы фізічна адключаеце, або на заблакіраваны аб'ект (S3 Object Lock Compliance Mode) воблачнае вядро (Backblaze B2, Wasabi, або AWS S3) з выкарыстаннем абмежаваных ключоў API толькі для дадання.

Рэгіянальныя нумары экстраных службаў і пратаколы агенцтваў¶

Атакі праграм-вымагальнікаў, нацэленыя на прылады NAS, расследуюцца нацыянальнымі агенцтвамі па барацьбе з кіберзлачыннасцю па ўсім свеце, якія захоўваюць сховішчы канфіскаваных ключоў дэшыфравання (No More Ransom) і адсочваць крымінальную інфраструктуру:

• Злучаныя Штаты і Канада:
• Аварыйнае адключэнне службы бяспекі: набярыце 911 калі праграмы-вымагальнікі парушаюць працу сістэм аховы здароўя або фізічнай бяспекі.
• Цэнтр скаргаў на інтэрнэт-злачынствы CISA і ФБР (IC3): Паведаміць пра кампаніі вымагальнікаў NAS (DeadBolt, Akira, LockBit, Qlocker) у stopransomware.gov, ic3.gov або патэлефануйце ў CISA па нумары 1-844-Say-CISA (1-844-729-2472).
• Канадскі цэнтр кібербяспекі і RCMP: справаздача на cyber.gc.ca (1-833-CYBER-88) або Канадскі цэнтр па барацьбе з махлярствам.
• Вялікабрытанія:
• Аварыйныя службы: набярыце 999 (або 101 для неаварыйнай міліцыі).
• Action Fraud & NCSC: паведамляйце аб інцыдэнтах з праграмамі-вымагальнікамі на actionfraud.police.uk або патэлефануйце 0300 123 2040 (24/7 жывая лінія кіберінцыдэнтаў). Малы бізнес і дабрачынныя арганізацыі могуць пракансультавацца ў NCSC Cyber Incident Response (ncsc.gov.uk) партал.
• Еўрапейскі саюз:
• Аварыйныя службы: набярыце 112 ва ўсіх краінах ЕС.
• Еўрапейскі цэнтр барацьбы з кіберзлачыннасцю Еўрапола (EC3) & NoMoreRansom.org: Праверыць nomoreransom.org (падтрымліваецца Нацыянальнай паліцыяй Нідэрландаў, Еўраполам і партнёрскімі агенцтвамі) для канфіскаваных ключоў расшыфроўкі праграм-вымагальнікаў NAS і паведаміць у нацыянальны CSIRT і орган па абароне даных (DPA на працягу 72 гадзін, калі асабістыя даныя былі выкрадзены або страчаны ў адпаведнасці з GDPR).
• Аўстралія і Новая Зеландыя:
• Аварыйныя службы: набярыце 000 у Аўстраліі або 111 у Новай Зеландыі.
• Аўстралійскі цэнтр кібербяспекі (ACSC): Тэлефануйце на кругласутачную гарачую лінію праграм-вымагальнікаў па нумары 1300 CYBER1 (1300 292 371) або паведамляйце на cyber.gov.au.
• CERT NZ: Справаздача ў cert.govt.nz.
• Індыя і Азіяцка-Ціхаакіянскі рэгіён:
• Індыя (CERT-In і лінія даверу па кіберзлачынствам): набярыце 1930 або паведаміце на cybercrime.gov.in і incident@cert-in.org.in.
• Тайвань (TWCERT/CC, хатняя юрысдыкцыя Synology, QNAP і Asustor PSIRT): адпраўце білеты на інцыдэнты бяспекі пастаўшчыка непасрэдна ў QNAP PSIRT (service.qnap.com) або Synology PSIRT (synology.com/en-global/security/advisory).

Часта задаюць пытанні¶

Як праграма-вымагальнік заразіла мой QNAP або Synology NAS, калі я ніколі не націскаў ні на адну фішынг-спасылку і мае кампутары цалкам чыстыя?¶

Ваш NAS быў заражаны непасрэдна з агульнадаступнага Інтэрнэту, не дакранаючыся вашых кампутараў. Альбо ваш інтэрнэт-маршрутызатар меў UPnP (`Universal Plug and Play`) уключана (дазваляючы функцыі NAS "Аўтаматычная канфігурацыя маршрутызатара / EZ-Інтэрнэт / myQNAPcloud" бясшумна адкрываць парты 8080, 443, 5000, 5001, або 22 на брандмаўэры), або вы ўручную пераадрасавалі порт для аддаленага доступу да файлаў. Аўтаматызаваныя ботнеты бесперапынна скануюць кожны агульнадаступны IP-адрас у Інтэрнэце і выкарыстоўваюць невыпраўленыя ўразлівасці або слабыя адмін паролі на адкрытых вэб-інтэрфейсах NAS.

Як я магу вызначыць, ці запусцілася праграма-вымагальнік непасрэдна ў маёй АС NAS, а не на адным з маіх камп'ютараў Windows праз сеткавую папку?¶

Паглядзіце на тры паказчыка: па-першае, калі Экран ўваходу ў вэб-адміністраванне NAS быў заменены запіскай аб выкупе (як Дэдболт), або калі толькі NAS мае зашыфраваныя файлы, у той час як кожны ПК у вашай сетцы чысты, шкоднасная праграма запускаецца непасрэдна ў АС NAS Linux. Па-другое, адкрыйце Журнал злучэнняў NAS / Журнал перадачы файлаў SMB (у Synology Цэнтр часопісаў або QNAP Цэнтр QuLog): калі вы бачыце лакальны IP-адрас лакальнай сеткі (напрыклад 192.168.1.24), выконваючы дзесяткі тысяч хуткіх Напісаць / Перайменаваць / Выдаліць аперацыі над SMB, затым кампутар у 192.168.1.24 гэта заражаная прылада, якая шыфруе ваш NAS па сетцы.

Чаму зрабіў DeadBolt шыфраваць толькі пачатак майго вялікага відэа ці файлаў базы дадзеных, і ці магу я па-ранейшаму прайграваць або аднаўляць часткова зашыфраваныя файлы?¶

Каб зашыфраваць дзясяткі тэрабайт сховішча NAS, перш чым уладальнік заўважыць, што цвёрдыя дыскі скрыгочуць і выцягне вілку, напружваецца як Дэдболт толькі зашыфраваць першыя 512 кілабайт (`524,288 bytes`) кожнага файла і дадайце .засоў пашырэнне, пакідаючы астатнія гігабайты файла некранутымі ў выглядзе звычайнага тэксту. У той час як страта першых 512 КБ цалкам знішчае невялікія дакументы і фатаграфіі JPEG, вялікія шматгігабайтныя відэафайлы (`.mp4`, `.mov`, `.mkv`), неапрацаваныя запісы камеры і выявы дыскаў некаторых віртуальных машын (`VMDK`/`VHDX`) або базы дадзеных SQL часта можна аднавіць шляхам перасадкі сапраўднага загалоўка кантэйнера (`moov` атам) з іншага відэа, запісанага той жа камерай з дапамогай такіх інструментаў, як неабрэзаны.

Гэта Synology QuickConnect або myQNAPcloud Link Ці можна пакідаць уключаным, калі я адключаю маршрутызатар UPnP і пераадрасацыю партоў?¶

Калі UPnP маршрутызатара і ручная перанакіраванне партоў цалкам адключаны, службы рэтрансляцыі выходных пасылак, такія як Synology Рэле QuickConnect і Спасылка myQNAPcloud значна бяспечней, чым адкрытыя парты WAN, таму што яны не адкрываюць парты праслухоўвання на брандмаўэры маршрутызатара. Аднак яны па-ранейшаму паказваюць ваш экран ўваходу ў NAS (`DSM` / `QTS` апрацоўшчык вэб-аўтэнтыфікацыі) для ўсіх, хто ведае або здагадваецца ваш `QuickConnect ID`. Для максімальнай бяспекі адключыце публічны доступ да інтэрфейсу адміністратара і выкарыстоўвайце яго Хвастая луска або WireGuard VPN замест гэтага, што патрабуе аўтэнтыфікацыі крыптаграфічнай прылады раней адзін пакет HTTP можа нават дасягнуць вашага вэб-сервера NAS.

Ці павінен я плаціць выкуп за біткойны DeadBolt, Qlocker, або eCh0raix калі ў мяне няма рэзервовых копій і здымкаў?¶

Праваахоўныя органы (`FBI`, `CISA`, `Europol`, `NCSC`) настойліва раім не плаціць выкупы, таму што плацяжы фінансуюцца злачыннымі сіндыкатамі і не гарантуюць, што аўтаматызаваны скрыпт дэшыфравання зламысніка будзе працаваць без пашкоджання файлаў. Перш чым разглядаць магчымасць аплаты: (1) Стварыце выяву або захавайце дыскі, каб не пагоршыць сітуацыю, (2) Праверце **`nomoreransom.org`** і **`deadbolt.responders.nu`** каб даведацца, ці праваахоўныя органы ўжо канфіскавалі галоўны ключ для вашага штаму, (3) Для **`Qlocker`**, бяжы **`PhotoRec` / `QRescue`** на неразмеркаванай дыскавай прасторы (якая часта бясплатна аднаўляе ад 60% да 90% выдаленых арыгіналаў) і (4) для вялікіх `.mp4`/`.mov` відэа з частковым шыфраваннем загалоўка, тэставая рэканструкцыя загалоўка з дапамогай `untrunc`.

Звязаныя даведнікі¶

• Заражэнне шкоднаснымі праграмамі, праграмамі-вымагальнікамі і шпіёнскімі праграмамі: неадкладнае стрымліванне і аднаўленне
• Бяспека хатніх маршрутызатараў і прылад IoT
• Масіў NAS RAID пагаршаецца, збой некалькіх дыскаў і аднаўленне ZFS/Btrfs
• Рэзервовае капіраванне кампутара, стратэгія 3-2-1 і аварыйнае аднаўленне
• Экстранае выпраўленне эксплойта нулявога дня і ізаляцыя прылад па заканчэнні тэрміну службы
• Нумары экстраных службаў па краінах

Крыніцы і афіцыйнае кіраўніцтва¶

• Агенцтва кібербяспекі і бяспекі інфраструктуры (CISA) і Федэральнае бюро расследаванняў (FBI) (StopRansomware.gov): Абвестка аб сеткавым сховішчы (NAS) Тэхніка, на якую накіраваны праграмы-вымагальнікі DeadBolt, Qlocker, eCh0raix і Akira.
• Еўрапейскі цэнтр Еўрапола па кіберзлачыннасці (EC3) і нацыянальная паліцыя Нідэрландаў (Politie) (NoMoreRansom.org).
• Група рэагавання на інцыдэнты бяспекі прадукту QNAP (QNAP PSIRT) & Кансультатыўны савет па бяспецы Synology: Тэхнічныя бюлетэні па адключэнні UPnP маршрутызатара, аднаўленні ўзламаных кансоляў адміністратара, QRescue (PhotoRec) Неразмеркаванае аднаўленне і ўключэнне Immutable WORM Здымкі.
• Нацыянальны цэнтр кібербяспекі (NCSC) (Вялікабрытанія): Зніжэнне шкоднасных праграм і праграм-вымагальнікаў у сеткавых сховішчах і невялікіх офісных прыладах.