Рансъмуер на домашен или офис NAS (Synology/QNAP): Спиране на криптиране и излагане на UPnP¶

Чуване на твърдите дискове във вашето мрежово хранилище (NAS) уред (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, или Western Digital My Cloud) блъскане непрекъснато при 100 процента използване на диска, докато споделените папки се пълнят с .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, или .encrypt файлови разширения (или виждане на вашия екран за влизане в мрежата на NAS, заменен с искане за откуп за биткойни) е критичен спешен случай за съхранение. NAS устройствата са ценени цели за автоматизирани ботнети за рансъмуер в целия интернет (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, и Akira), тъй като един NAS без корекция често съдържа 10 до 100 терабайта от целия цифров живот на семейство или малък бизнес и често е изложен директно на обществения интернет, без собственикът да го осъзнава чрез Router UPnP (Universal Plug and Play) Auto-Port-Forwarding или услуги за предаване в облак на доставчик (myQNAPcloud, Synology QuickConnect, EZ-Internet). Преди да издърпате захранващия кабел за променлив ток от стената, трябва да вземете решаващо 10-секундно архитектурно решение въз основа на това дали вашият NAS използва моментни снимки за копиране при запис (Btrfs или ZFS) или традиционен RAID масив; за сривове на дискови масиви без ransomware, консултирайте се NAS RAID масивът е влошен, отказ на множество устройства и възстановяване на ZFS/Btrfs, а за PC-базирани рансъмуер инфекции вижте инфекция със зловреден софтуер, ransomware и шпионски софтуер както и осигуряване на домашни рутери и IoT устройства. Ако рансъмуерът повлияе на болничните операции, общинските служби за спешна помощ или инфраструктурата за физическа безопасност, обадете се на местния номер за спешни повиквания (911 в Съединените щати и Канада, 112 в целия Европейски съюз, 999 в Обединеното кралство) или се консултирайте с нашия указател за международни номера за спешни случаи.

Направете това сега¶

1. Издърпайте физическия Ethernet (RJ45 / 10GbE) мрежови кабел(и) от задната част на NAS ТОЧНО СЕГА, преди да докоснете захранващия кабел:
2. Изключването на Ethernet кабела(ите) незабавно прекъсва интерактивната SSH/HTTP командна и контролна сесия на нападателя, спира NAS от изтегляне на вторични данни за шифроване и, също толкова важно, незабавно спира заразен настолен компютър в локалната ви офисна LAN да криптира вашия NAS през SMB/CIFS мрежови споделяния (\\NAS\Share).
3. Определете за 15 секунди дали да прекъснете захранването или да спрете чисто процеса на криптиране:
4. Сценарий A: Рансъмуерът работи НА настолен компютър във вашата локална мрежа и шифрова NAS файлове през SMB/Mapped Network Drive: Просто издърпване на NAS Ethernet кабела в Стъпка 1 вече спря 100% от криптирането на NAS. Оставете NAS включен, така че неговият RAID масив и файлова система да останат чисти, и отидете да изолирате заразената Windows/Mac работна станция.
5. Сценарий B: Двоичният файл на рансъмуер се изпълнява директно ВЪТРЕ в самата операционна система NAS Linux (DeadBolt, Qlocker, eCh0raix):
   • Ако не имате Btrfs или ZFS активирани моментни снимки (например по-стар ext4 сила на звука) и дисковете активно се зареждат, докато NAS криптира единственото ви копие на файловете, натиснете и задръжте физическия преден бутон за захранване на NAS за 5 до 10 секунди, за да принудите незабавно пълно изключване на захранването (или издърпайте щепсела на DC/AC захранването, ако бутонът не реагира). Всяка минута, когато NAS остава включен, позволява на своя процесор да криптира още 5 до 20 гигабайта от вашите файлове.
   • Важно предупреждение (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware щамове като Qlocker (което премества файлове в защитени с парола .7z използване на архиви 7z) и DeadBolt понякога поддържа активно състояние на криптиране или ключове за дешифриране /tmp (RAM) или отвлечете двоичния уеб интерфейс (/home/httpd/index.html). Ако все още имате отворен локален SSH root shell в NAS, проверете ps aux и /tmp преди изключване (вижте Фаза 2 по-долу).
6. Влезте във вашия интернет рутер/защитна стена (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP gateway) незабавно и ИЗКЛЮЧЕТЕ UPnP (Universal Plug and Play) И изтрийте всички правила за пренасочване на WAN порт, сочещи към вашия NAS:
7. Над 80 процента от домашните и малките офисни NAS рансъмуер инфекции се случват, защото потребителят е щракнал върху „Автоматично конфигуриране на рутер / EZ-Internet / UPnP“ по време на първоначалната настройка, което безшумно инструктира домашния рутер да отвори TCP портове 5000, 5001, 8080, 8443, 443, 22 (SSH), или 445 (SMB) директно към целия обществен интернет (Shodan.io / Censys).
8. Деактивирайте UPnP за постоянно в WAN/NAT настройките на вашия рутер и изтрийте всяко правило за препращане на порт, сочещо към локалния IP адрес на NAS.
9. НЕ инициализирайте, преформатирайте или стартирайте „Нулиране/Преинсталиране на DSM или QTS“ на твърдите дискове, преди да проверите дали рансъмуерът е отвлякъл само дяла на ОС или обема с данни:
10. При атаки като DeadBolt, зловредният софтуер презаписва уеб страницата за вход на NAS (index.html), за да се покаже бележка за откуп на цял екран, блокираща достъпа до QNAP/Synology администраторското табло, дори когато основният ви Btrfs / ZFS моментни снимки или големи видео файлове (над 20 мегабайта) все още са 100 процента непокътнати на устройствата.
11. Проверете дали вашият NAS има Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), или LVM Моментни снимки на ниво блок (QNAP Storage & Snapshots):
12. защото Btrfs и ZFS моментните снимки са само за четене на блоковия слой на файловата система (и Synology WORM / Неизменните моментни снимки дори не могат да бъдат изтрити от компрометиран root администраторски акаунт), често можете да върнете 100 процента от своите криптирани споделени папки за 60 секунди с нулева загуба на данни и нулев платен откуп.
13. Преди да платите какъвто и да е откуп, идентифицирайте точния щам на рансъмуер, който използвате ID Ransomware (id-ransomware.malwarehunterteam.com) и No More Ransom (nomoreransom.org):
14. Няколко основни вида NAS рансъмуер (eCh0raix / QNAPCrypt, рано Qlocker чрез photorec / qrescue извличане на трупи, Muhstik, и SynoLocker) имат безплатни публични декриптори или криминалистични методи за извличане на ключове, публикувани от правоприлагащи органи и изследователи по сигурността.

Дърво на решения: незабавно сортиране на NAS рансъмуер и път за възстановяване¶

Използвайте този работен процес, за да определите дали атаката произхожда от LAN компютър или директно от NAS и изберете най-безопасния метод за възстановяване:

flowchart TD
    Symptom["NAS дисковете работят на 100% + преименувани файлове (.deadbolt, .7z, .ech0raix, .lockbit) или уеб интерфейсът показва екран за откуп"] --> PullLAN["СТЪПКА 1 (в рамките на 5 секунди): Изключете всички Ethernet кабели от задната страна на NAS"]

    PullLAN --> SourceCheck{"Криптирането спря ли мигновеното изключване на Ethernet кабела на NAS?"}

    SourceCheck -->|"ДА: Дисковата активност спада до нула, когато LAN е изключен"| SMBVector["ИЗТОЧНИК A: Рансъмуерът работи на компютър с Windows/Mac във вашата мрежа и шифрова споделени папки през SMB"]

    SourceCheck -->|"НЕ: Твърдите дискове на NAS продължават да се разбиват с изключен Ethernet (или самата страница за влизане в мрежата на NAS е заменена от екран за откуп)"| DirectNAS["ИЗТОЧНИК B: Двоичният софтуер за рансъмуер се изпълнява директно в NAS OS (използван чрез UPnP / открити WAN портове 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Намерете и изключете заразения компютър във вашата LAN -> Възстановете NAS споделени папки от Btrfs / ZFS / QNAP Snapshots или Hyper Backup"]

    DirectNAS -->SSHCheck{"Имате ли отворена активна локална SSH сесия (или Qlocker работи 7z)?"}

    SSHCheck -->|"Да (Qlocker / активен 7z процес)"| GrabPass["Проверете ps aux | grep 7z на SSH за улавяне на обикновен текст 7-Zip парола от аргументи на командния ред преди процеса на унищожаване"]
    SSHCheck -->|"Без SSH / дискове за смилане с неизвестно напрежение"| PowerOff["Задръжте бутона за захранване на NAS 5-10 секунди, за да принудите незабавно твърдо изключване, така че да се запазят нешифрованите файлове и свободното пространство"]

    GrabPass --> KillUPnP["СТЪПКА 2: Влезте в рутера -> Деактивирайте UPnP за постоянно + Изтрийте всички правила за пренасочване на портове (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Какви активи за възстановяване съществуват в NAS?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots Налични"| SnapRestore["Почистване на дяла на ОС / Актуализация на фърмуера -> Връщане назад на споделени папки към моментна снимка преди атака"]
    RecoveryPath -->|"Външен USB / Архивиране в облак на място (Hyper Backup / HBS 3)"| BackupRestore["Изтриване и повторно изграждане на NAS на закрепен фърмуер -> Възстановяване от офлайн/облачно архивиране"]
    RecoveryPath -->|"Без моментни снимки и без архивиране"| ForensicCarve["Клонирани дискове само за четене -> Проверете NoMoreRansom.org + Стартирайте PhotoRec / QRescue Unallocated Carving (особено ефективно срещу Qlocker)"]

Как NAS Ransomware прониква: Двата вектора на атака¶

Преди да включите обратно вашия NAS в превключвателя на локалната мрежа, трябва да знаете кой от двата напълно различни входни вектора е позволил на рансъмуера да влезе във вашите обеми за съхранение:

Фаза 1: Изключване на интернет излагането (Router UPnP, Port Forwardingи Cloud Relays)¶

Ако почистите или възстановите вашия NAS, без да затворите мрежовата дупка на вашия рутер, автоматизирани ботнет мрежи, сканиращи вашия публичен IP адрес, ще заразят повторно NAS в рамките на часове след връщането му обратно онлайн. Първо завършете това блокиране на мрежата на вашия рутер:

1. Влезте в конзолата за администратор на интернет рутер/защитна стена:
2. Отворете браузър на чист компютър или телефон и навигирайте до IP адреса на шлюза на вашия рутер (обикновено 192.168.1.1, 192.168.0.1, 10.0.0.1, или чрез вашето приложение за мрежов рутер като UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Деактивиране UPnP (Universal Plug and Play) Постоянно:
4. Отидете до Разширени > NAT пренасочване / WAN / Мрежа > UPnP и превключете UPnP на ИЗКЛ./Деактивирано.
5. Защо UPnP е толкова опасно за собствениците на NAS: Когато UPnP е активиран на вашия рутер, всяко устройство във вашата локална мрежа (включително съветника „EZ-Internet“ или „Автоматично конфигуриране на рутера“ на вашия NAS или зловреден софтуер на смарт телевизор) може безшумно да изпрати IGD (Internet Gateway Device) поискайте към вашия рутер, казвайки "Отворете външен WAN порт 8080 и 5001 към моя локален IP 192.168.1.50", заобикаляйки вашата защитна стена, без изобщо да питате за паролата на вашия рутер.
6. Изтриване на всички ръчни пренасочвания на портове (Virtual Server) & DMZ Правила, сочещи към NAS:
7. Отидете на Advanced > NAT Forwarding > Port Forwarding (или Virtual Servers) и изтрийте всяко правило, препращащо TCP или UDP портове (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex, ако не е необходимо) към вашия IP на NAS.
8. Проверете Разширени > DMZ и се уверете, че DMZ хостът е деактивиран (поставянето на NAS IP в DMZ на рутера излага всички 65 535 TCP и UDP порта на NAS директно на обществения интернет).
9. Проверете отвън вашата мрежа, че нула NAS портове са отворени:
10. Посетете shodan.io или grc.com (ShieldsUP) или изпълнете сканиране на порт срещу вашия публичен WAN IP адрес, за да потвърдите тези портове 5000, 5001, 8080, 8443, 443, и 22 сега се върни Filtered / Stealth / Closed.

Фаза 2: Специфичен за щама спешен триаж (Qlocker, DeadBolt, eCh0raix)¶

Преди да изтриете NAS или да платите откуп, проверете кой конкретен NAS ransomware щам е ударил вашето устройство. Всяка голяма фамилия NAS има уникални технически слабости, които позволяват частично или пълно възстановяване на данни без заплащане:

1. Ако вашите файлове са били заменени с .7z Архиви (Qlocker на QNAP / Linux NAS)¶

как Qlocker работи: Вместо да напишете персонализирана криптографска машина, Qlocker изпълнява скрипт, който извиква собствения вграден на NAS 7-Zip (/usr/local/sbin/7z) двоичен за компресиране на всеки файл в защитен с парола .7z архивира и след това работи нормален Linux rm (unlink) върху оригиналния файл. - Сортиране на трик №1 (улавяне на паролата на живо в ps aux Преди изключване): Ако Qlocker в момента все още работи на вашия NAS и можете да влезете локално чрез SSH (ssh admin@nas-local-ip), изпълнете тази команда непосредствено преди изключване:

ps aux | grep 7z

2. Ако вашият екран за влизане в NAS е бил заменен от DeadBolt Страница за откуп (.deadbolt файлове)¶

как DeadBolt работи: 1. DeadBolt замества /home/httpd/index.html (или /home/httpd/cgi-bin/index.cgi) със собствена двоична/HTML страница, която отвлича уеб браузъра ви всеки път, когато се опитате да отворите QNAP QTS / Asustor ADM таблото, изисквайки биткойн в замяна на главен ключ за декриптиране с 32 шестнадесетични знака (доставен чрез биткойн във веригата OP_RETURN сделка). 2. Как да си възвърнете достъпа до вашето табло за управление QNAP QTS / QuTS hero Admin без да губите данните си: - Опция A (Чрез локален SSH, ако е активиран): SSH в NAS локално (ssh admin@<nas-ip>), спрете мошеника deadbolt процес, ако се изпълнява, и стартирайте официалния скрипт за възстановяване на фърмуера на QNAP или възстановете оригинала /home/httpd/index.html от системния ROM образ само за четене (/mnt/HDA_root/update_pkg/). - Опция B (флаш на фърмуера без диск + повторно включване с горещо включване): 1. Изключете NAS. 2. Плъзнете всички твърди дискове навън с 2 сантиметра (1 инч), така че да бъдат изключени от задната платка (номерирайте внимателно техния ред на гнездата първо с бояджийската лента). 3. Включете NAS без твърди дискове, намерете неговия IP чрез Qfinder Pro, когато бъдете подканени на екрана за настройка, включете горещо устройствата обратно в техните точни гнезда и изберете "Актуализиране само на фърмуера (Запазване на всички данни и настройки)" (никога не щракнете върху "Инициализиране на системата", което изтрива устройствата). 3. Важна бележка за декриптиране на правоприлагащите органи DeadBolt: В координирани операции, ръководени от Холандската национална полиция (Politie), Европол (No More Ransom) и Responders.nu, органите на реда успешно са измамили DeadBolt участниците в заплахата по време на пика на таксата на mempool в освобождаването на над 150 главни ключа за декриптиране преди биткойн транзакциите с ниска такса на нападателите да бъдат анулирани чрез Replace-By-Fee. Проверете deadbolt.responders.nu и nomoreransom.org за да видите дали вашият специфичен DeadBolt адресният ключ на жертвата беше заловен от полицията.

3. Ако вашите файлове свършат .encrypt (eCh0raix / QNAPCrypt)¶

• Няколко поколения на eCh0raix (QNAPCrypt) са използвали погрешно извличане на AES ключ или са имали тяхното управление и контрол (C2) база данни, иззета от изследователи по сигурността и правоприлагащи органи.
• Посетете nomoreransom.org и качете два криптирани файла (или бележката за откуп README_FOR_DECRYPT.txt), за да тествате безплатния Bitdefender / NoMoreRansom eCh0raix Декриптор, преди да изтриете нещо.

Фаза 3: Възстановяване на вашите файлове от Btrfs, ZFS, или QNAP Моментални снимки за 60 секунди¶

Ако вашият NAS е бил шифрован от Vector #2 (заразен с ransomware компютър във вашата LAN, шифроващ споделени папки през SMB) или ако сте имали Immutable (WORM) Моментни снимки или недокоснати LVM/Btrfs/ZFS моментни снимки по време на директна NAS атака, можете да възстановите 100 процента от вашите файлове незабавно:

1. Synology DiskStation (DSM 7.x с Btrfs Репликация на моментна снимка)¶

1. Първо проверете дали заразеният компютър във вашата LAN е прекъснат от мрежата и актуализирайте Synology DSM до най-новата версия под Контролен панел > Актуализиране и възстановяване.
2. Отворете пакета Snapshot Replication в Synology DSM.
3. Щракнете върху Възстановяване в лявата странична лента.
4. Изберете шифрованата Споделена папка (или iSCSI LUN) и щракнете върху Възстановяване.
5. Преглед на списъка с планирани моментни снимки (GMT+...) и изберете моментната снимка, направена непосредствено преди началото на криптирането на ransomware (първо проверете Действие > Преглед, за да визуализирате файловете в тази моментна снимка и да потвърдите, че са чисти и некриптирани).
6. Щракнете върху Действие > Възстановяване на тази моментна снимка (или Клониране с ново име, ако искате да запазите шифрованата папка недокосната за съдебно доказателство, докато незабавно монтирате чисто копие на споделената папка).
7. защото Btrfs е Copy-on-Write (CoW) файлова система, връщането на споделена папка от 20 терабайта до моментна снимка преди атака отнема по-малко от 10 секунди.

2. QNAP NAS (QTS LVM моментни снимки на ниво блок & QuTS hero ZFS моментни снимки)¶

1. След като QTS/QuTS hero бъде закрепен и изолиран от WAN, отворете Съхранение и моментни снимки.
2. Отидете на Storage > Storage/Snapshots, изберете вашия засегнат дебел том, тънък том или ZFS споделена папка и щракнете върху Snapshot Manager (иконата на камерата).
3. Изберете последната чиста снимка, направена преди клеймото за време на атаката.
4. Прегледайте дървото на папките в десния панел, за да се уверите, че файловете ви са непокътнати, след което щракнете върху Връщане на снимката на тома (или изберете всички папки и щракнете върху Възстановяване, за да презапишете само шифрованите файлове).

3. TrueNAS (CORE / SCALE на ZFS) и Unraid (ZFS / Btrfs)¶

• На TrueNAS (ZFS): Отидете на Съхранение > Моментни снимки (или Защита на данните > Периодични задачи за моментни снимки), намерете чистата моментна снимка (tank/share@auto-2026-10-31_12-00) и щракнете върху Връщане назад (или клонирайте моментната снимка към нов набор от данни zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered така че никога да не губите по-нови междинни моментни снимки).

Фаза 4: Укрепване на вашия NAS, така че никога повече да не може да бъде криптиран (контролният списък от 7 точки)¶

След като данните ви бъдат възстановени, приложете тези седем задължителни правила за конфигуриране на вашето устройство Synology, QNAP, TrueNAS или Asustor, преди да го свържете отново към мрежата:

• 1. Никога не препращайте който и да е порт на вашия рутер към вашия NAS: Използвайте Tailscale или WireGuard VPN Вместо:
• Инсталирайте официалния пакет Tailscale от Synology Package Center / QNAP App Center (или стартирайте вградения във вашия рутер WireGuard VPN Server).
• Tailscale създава нулева конфигурация, peer-to-peer WireGuard криптиран мрежест тунел (100.x.y.z) между вашия телефон, вашия лаптоп и вашия NAS с нула отворени портове на защитната стена на вашия домашен рутер. Можете да получите достъп до вашите NAS снимки, файлове и администраторски екран от всяка точка на света, докато вашият NAS остава 100% невидим за интернет скенери като Shodan.
• 2. Деактивирайте вградената настройка по подразбиране admin Акаунт и създаване на потребителски именуван администратор със задължителен 2FA:
• Както Synology DSM, така и QNAP QTS се доставят с акаунт по подразбиране с име admin (UID 1024 или UID 0). Автоматизирани груби ботове забиват потребителското име admin 24/7.
• Създайте чисто нов администраторски акаунт с уникално потребителско име, влезте с този нов акаунт, отидете на Контролен панел > Потребител и група (или Потребители) и Деактивирайте стандартното admin сметка.
• Включете Задължително двуфакторно удостоверяване (OTP / Passkey / Approve Sign-in) за всички администраторски акаунти.
• 3. Включете Неизменно (WORM) Моментни снимки (7-to-14-Day Retention Lock):
• На Synology DSM 7.2+: Отворете Репликация на моментни снимки > Моментни снимки > Настройки > График, активирайте ежедневните моментни снимки и отметнете „Активиране на неизменни моментни снимки“ със защитен период от 7 до 14 дни. Дори ако хакер открадне вашата root парола или използва уязвимост на ядрото в DSM, никой (дори root) може да изтрие неизменна моментна снимка до изтичане на 7-дневния хардуерен часовник.
• На QNAP QuTS hero / QTS: Конфигурирайте Snapshot Replica Vault или активирайте WORM (Write Once, Read Many) политики за задържане на критични резервни копия и се уверете, че „Резервиране на място за моментна снимка“ е активирано.
• 4. Ограничете разрешенията за споделяне на SMB мрежа (Least Privilege) Така че инфекцията на лаптоп не може да шифрова целия NAS:
• Никога не картографирайте главното устройство на вашия NAS admin идентификационни данни в Windows File Explorer (\\NAS\) на ежедневни лаптопи.
• Създайте стандартен неадминистраторски потребителски акаунт за ежедневен достъп до файлове и задайте вашите архивни/снимкови папки (напр. 2010-2025 Family Photos Archive) на Само за четене (ro) за ежедневни потребители на десктоп, така че ако компютърът с Windows на член на семейството хване ransomware, компютърът може да чете тези папки, но не може да ги шифрова или модифицира.
• 5. Включете вградената защитна стена на NAS (Allow LAN + Tailscale Subnets Only) & Автоматично блокиране:
• В Контролен панел на Synology > Защита > Защитна стена (или QNAP QuFirewall), създайте стриктно правило за разрешен списък, позволяващо връзки само от вашата локална LAN подмрежа (192.168.1.0/24) и вашата подмрежа Tailscale/VPN (100.64.0.0/10), последвано от долно правило, зададено на Отказ на всички. Дори ако някой случайно се обърне UPnP обратно към рутера, собственият вътрешен пакетен филтър на NAS ще отхвърли незабавно всеки публичен интернет пакет.
• 6. Деактивирайте SSH (Port 22) и Telnet (Port 23) Когато не се извършва активно отстраняване на неизправности:
• Оставете SSH включен ИЗКЛЮЧЕН в Контролен панел > Терминал и SNMP по време на нормална ежедневна работа; включете го само за 10 минути, необходими за изпълнение на задача от командния ред, след което го изключете веднага.
• 7. Поддържайте истинско "3-2-1" Air-Gapped / Неизменно архивиране в облак (Hyper Backup / HBS 3):
• Следвайте нашите архивиране на компютъра и ръководство за възстановяване след авария 3-2-1: конфигурирайте Synology Hyper Backup или QNAP Hybrid Backup Sync (HBS 3) за изпращане на криптирани през нощта резервни копия с дедупликация от страна на клиента към външен USB твърд диск, който физически изключвате или към Заключен обект (S3 Object Lock Compliance Mode) облачна кофа (Backblaze B2, Wasabi, или AWS S3), използвайки ограничени API ключове само за добавяне.

Регионални номера за спешни повиквания и протоколи на агенцията¶

Ransomware атаките, насочени към NAS устройства, се разследват от национални агенции за киберпрестъпления по целия свят, които поддържат хранилища на конфискувани ключове за дешифриране (No More Ransom) и проследяване на престъпна инфраструктура:

• САЩ и Канада:
• Аварийно прекъсване на безопасността на живота: Наберете 911 ако рансъмуер нарушава системите за здравеопазване или физическа безопасност.
• CISA & FBI Център за жалби за интернет престъпления (IC3): Докладвайте за NAS рансъмуер кампании (DeadBolt, Akira, LockBit, Qlocker) в stopransomware.gov, ic3.gov или се обадете на CISA на 1-844-Say-CISA (1-844-729-2472).
• Канадски център за киберсигурност и RCMP: Докладвайте на cyber.gc.ca (1-833-CYBER-88) или Канадския център за борба с измамите.
• Обединено кралство:
• Спешни услуги: Наберете 999 (или 101 за неспешна полиция).
• Action Fraud & NCSC: Докладвайте за инциденти с ransomware на actionfraud.police.uk или се обадете 0300 123 2040 (24/7 линия за кибер инциденти на живо). Малките предприятия и благотворителните организации могат да се консултират с NCSC Cyber Incident Response (ncsc.gov.uk) портал.
• Европейски съюз:
• Спешни услуги: Наберете 112 във всички страни членки на ЕС.
• Европейски център за киберпрестъпност на Европол (EC3) & NoMoreRansom.org: Проверете nomoreransom.org (поддържан от холандската национална полиция, Европол и партньорски агенции) за конфискувани ключове за дешифриране на ransomware на NAS и докладвайте на вашия национален CSIRT и органа за защита на данните (DPA в рамките на 72 часа, ако личните данни са били ексфилтрирани или изгубени съгласно GDPR).
• Австралия и Нова Зеландия:
• Спешни услуги: Наберете 000 в Австралия или 111 в Нова Зеландия.
• Австралийски център за киберсигурност (ACSC): Обадете се на денонощната гореща линия за рансъмуер на 1300 CYBER1 (1300 292 371) или докладвайте на cyber.gov.au.
• CERT NZ: Докладвайте на cert.govt.nz.
• Индия и Азиатско-тихоокеанския регион:
• Индия (CERT-In и Гореща линия за киберпрестъпления): Наберете 1930 или докладвайте на cybercrime.gov.in и incident@cert-in.org.in.
• Тайван (TWCERT/CC, местна юрисдикция на PSIRT на Synology, QNAP и Asustor): Изпратете билети за инциденти със сигурността на доставчика директно на QNAP PSIRT (service.qnap.com) или Synology PSIRT (synology.com/en-global/security/advisory).

Често задавани въпроси¶

Как рансъмуерът зарази моя QNAP или Synology NAS, когато никога не съм щраквал върху фишинг връзка и компютрите ми са напълно чисти?¶

Вашият NAS беше заразен директно от обществения интернет, без да докосвате компютрите си. Или вашият интернет рутер е имал UPnP (`Universal Plug and Play`) активиран (позволявайки на функцията „Автоматична конфигурация на рутера / EZ-Internet / myQNAPcloud“ на NAS да отваря безшумно портове 8080, 443, 5000, 5001, или 22 на вашата защитна стена), или ръчно сте препратили порт за отдалечен достъп до вашите файлове. Автоматизираните ботнети непрекъснато сканират всеки публичен IP адрес в интернет и използват неотстранени уязвимости или слаби администратор пароли на откритите уеб интерфейси на NAS.

Как мога да разбера дали рансъмуерът е стартирал директно в моята NAS OS или на един от моите Windows компютри през мрежов дял?¶

Вижте три индикатора: Първо, ако Самият екран за влизане в уеб администрацията на NAS беше заменен от бележка за откуп (като DeadBolt), или ако само NAS има шифровани файлове, докато всеки компютър в мрежата ви е чист, зловредният софтуер се изпълнява директно в NAS Linux OS. Второ, отворете Дневник на NAS връзката / Дневник за прехвърляне на SMB файлове (в Synology Център за регистрационни файлове или QNAP QuLog център): ако видите локален LAN IP адрес (като 192.168.1.24), изпълнявайки десетки хиляди бързи Писане / Преименуване / Изтриване операции над SMB, след това компютърът в 192.168.1.24 е заразеното устройство, което криптира вашия NAS по мрежата.

Защо DeadBolt шифровам само началото на моите големи видео файлове или файлове с бази данни и мога ли да възпроизвеждам или поправям частично шифровани файлове?¶

За шифроване на десетки терабайти NAS хранилище, преди собственикът да забележи, че твърдите дискове се къртят и да издърпа щепсела, напрежение като DeadBolt само шифровайте първите 512 килобайта (`524,288 bytes`) на всеки файл и добавете .закопчалка разширение, оставяйки останалите гигабайти от файла недокоснати в обикновен текст. Докато загубата на първите 512 KB унищожава напълно малки документи и JPEG снимки, големи многогигабайтови видео файлове (`.mp4`, `.mov`, `.mkv`), необработени кадри от камерата и някои дискови изображения на виртуална машина (`VMDK`/`VHDX`) или SQL бази данни често могат да бъдат поправени чрез трансплантиране на валиден хедър на контейнер (`moov` atom) от друго видео, записано със същата камера с помощта на инструменти като untrunc.

Е Synology QuickConnect или myQNAPcloud Link безопасно да оставя активиран, ако изключа UPnP на рутера и пренасочване на портове?¶

С UPnP на рутера и ръчното пренасочване на портове е напълно изключено, изходящите релейни услуги като Synology Реле QuickConnect и myQNAPcloud връзка са значително по-безопасни от отворените WAN портове, защото не отварят слушащи портове на защитната стена на вашия рутер. Въпреки това, те все още разкриват вашия екран за влизане в NAS (`DSM` / `QTS` манипулатор за уеб удостоверяване) на всеки, който знае или предполага вашия `QuickConnect ID`. За максимална сигурност деактивирайте публичния релейен достъп до администраторския интерфейс и използвайте Опашна люспа или WireGuard VPN вместо това, което изисква удостоверяване на криптографско устройство преди един HTTP пакет може дори да достигне до вашия NAS уеб сървър.

Трябва ли да платя биткойн откупа за DeadBolt, Qlocker, или eCh0raix ако нямам резервни копия и моментни снимки?¶

Органи на реда (`FBI`, `CISA`, `Europol`, `NCSC`) силно препоръчва да не се плащат откупи, тъй като плащането финансира престъпни синдикати и не носи гаранция, че автоматизираният скрипт за декриптиране на нападателя ще работи, без да повреди файловете. Преди да обмислите плащане: (1) Снимете или запазете дисковете, за да не влошите нещата, (2) Проверете **`nomoreransom.org`** и **`deadbolt.responders.nu`** за да видите дали правоприлагащите органи вече са иззели главния ключ за вашия щам, (3) За **`Qlocker`**, бягай **`PhotoRec` / `QRescue`** върху неразпределеното дисково пространство (което често възстановява 60% до 90% от изтритите оригинали безплатно) и (4) За големи `.mp4`/`.mov` видеоклипове, засегнати от криптиране с частично заглавие, тестова реконструкция на заглавка с `untrunc`.

Свързани ръководства¶

• Заразяване със зловреден софтуер, ransomware и шпионски софтуер: незабавно ограничаване и възстановяване
• Защита на домашни рутери и IoT устройства
• NAS RAID масивът е влошен, отказ на множество устройства и възстановяване на ZFS/Btrfs
• Компютърни резервни копия, стратегията 3-2-1 и възстановяване след бедствие
• Zero-day exploit спешно коригиране и изолиране на устройства в края на живота
• Номера за спешни повиквания по държави

Източници и официални указания¶

• Агенция за киберсигурност и сигурност на инфраструктурата (CISA) и Федералното бюро за разследване (FBI) (StopRansomware.gov): Предупреждение за мрежово хранилище (NAS) Уреди, насочени от DeadBolt, Qlocker, eCh0raix и Akira Ransomware.
• Европейски център за киберпрестъпност на Европол (EC3) и холандската национална полиция (Politie) (NoMoreRansom.org): Изземване на ключ DeadBolt, хранилище на eCh0raix Decryptor и насоки за смекчаване на Ransomware.
• Екип за реагиране при инциденти със сигурността на продуктите на QNAP (QNAP PSIRT) & Консултативен съвет по сигурността на Synology: Технически бюлетини за деактивиране на UPnP на рутера, възстановяване на отвлечени административни конзоли, QRescue (PhotoRec) Неразпределено възстановяване и активиране на неизменно WORM Моментни снимки.
• Национален център за киберсигурност (NCSC) (Обединеното кралство): Намаляване на зловреден софтуер и рансъмуер в мрежово хранилище и малки офис устройства.