Ransomware na domácím nebo kancelářském NAS (Synology/QNAP): Zastavení šifrování a expozice UPnP¶

Poslech pevných disků uvnitř vašeho síťového úložiště (NAS) spotřebič (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMasternebo Western Digital My Cloud) nepřetržité mlácení při 100% využití disku, zatímco se sdílené složky plní .deadbolt, .ech0raix, .qlocker, .7z, .lockbitnebo .encrypt rozšíření souborů (nebo zobrazení vaší webové přihlašovací obrazovky NAS nahrazené požadavkem na výkupné v bitcoinech) je kritická situace v oblasti úložiště. Zařízení NAS jsou ceněnými cíli pro automatizované internetové ransomwarové botnety (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterboxa Akira), protože jeden nezáplatovaný NAS často pojme 10 až 100 terabajtů celého digitálního života rodiny nebo malé firmy a je často vystaven přímo veřejnému internetu, aniž by si to vlastník uvědomoval prostřednictvím Router UPnP (Universal Plug and Play) Auto-Port-Forwarding nebo cloudové přenosové služby dodavatele (myQNAPcloud, Synology QuickConnect, EZ-Internet). Než vytrhnete napájecí kabel ze zdi, musíte učinit zásadní 10sekundové architektonické rozhodnutí založené na tom, zda váš NAS používá snímky typu Copy-on-Write (Btrfs nebo ZFS) nebo tradiční pole RAID; pro selhání diskového pole bez ransomwaru konzultujte Pole NAS RAID degradováno, selhání více disků a obnova ZFS/Btrfsa pro PC-založené ransomware infekce, viz napadení malwarem, ransomwarem a spywarem stejně jako zabezpečení domácích routerů a IoT zařízení. Pokud ransomware ovlivní provoz nemocnice, městské pohotovostní služby nebo infrastrukturu fyzické bezpečnosti, zavolejte na místní tísňové číslo (911 ve Spojených státech a Kanadě, 112 po celé Evropské unii, 999 ve Spojeném království) nebo se podívejte do našeho adresáře mezinárodních tísňová čísla.

Udělejte to teď¶

1. Vytáhněte fyzický Ethernet (RJ45 / 10GbE) síťový kabel(y) ven ze zadní strany NAS PRÁVĚ TEĎ, než se dotknete napájecího kabelu:
2. Odpojení ethernetového kabelu (kabelů) okamžitě přeruší útočníkovu interaktivní relaci příkazů a ovládání SSH/HTTP, zabrání NAS ve stahování sekundárních šifrovacích dat a, co je stejně důležité, okamžitě zabrání infikovanému stolnímu počítači ve vaší místní kancelářské LAN v šifrování vašeho NAS přes sdílení v síti SMB/CIFS (\\NAS\Share).
3. Do 15 sekund rozhodněte, zda se má vypnout napájení nebo čistě zastavit proces šifrování:
4. Scénář A: Ransomware běží na stolním počítači ve vaší síti LAN a šifruje soubory NAS přes SMB/mapovaný síťový disk: Jednoduše zatáhněte za ethernetový kabel NAS v kroku 1 již zastavilo 100 % šifrování na NAS. Nechte NAS zapnutý, aby jeho pole RAID a souborový systém zůstaly čisté, a izolujte infikovanou pracovní stanici Windows/Mac.
5. Scénář B: Binární soubor ransomwaru se spouští přímo UVNITŘ samotného operačního systému NAS Linux (DeadBolt, Qlocker, eCh0raix):
   • Pokud nemáte Btrfs nebo ZFS snímky povoleny (například starší ext4 hlasitost) a disky se aktivně drtí, protože NAS zašifruje vaši jedinou kopii souborů, stiskněte a podržte fyzické přední tlačítko napájení na NAS po dobu 5 až 10 sekund, abyste si vynutili okamžité vypnutí napájení (nebo vytáhněte zástrčku DC/AC, pokud tlačítko nereaguje). Každou minutu, kdy NAS zůstane zapnutý, umožní jeho CPU zašifrovat dalších 5 až 20 gigabajtů vašich souborů.
   • Důležité upozornění (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware kmeny jako Qlocker (který přesouvá soubory do chráněného heslem .7z pomocí archivů 7z) a DeadBolt někdy ponechat aktivní stav šifrování nebo dešifrovací klíče /tmp (RAM) nebo unést binární webové uživatelské rozhraní (/home/httpd/index.html). Pokud máte v NAS stále otevřený lokální SSH root shell, zkontrolujte ps aux a /tmp před vypnutím (viz Fáze 2 níže).
6. Přihlaste se ke svému internetovému routeru / firewallu (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP brána) okamžitě a VYPNĚTE UPnP (Universal Plug and Play) A smažte všechna pravidla pro přesměrování portů WAN směřující na váš NAS:
7. K více než 80 procentům ransomwarových infekcí NAS v domácnostech a malých kancelářích dochází proto, že uživatel během počátečního nastavení klikl na „Automatická konfigurace routeru / EZ-Internet / UPnP“, což v tichosti nařídilo domácímu routeru, aby otevřel porty TCP. 5000, 5001, 8080, 8443, 443, 22 (SSH), popř 445 (SMB) přímo na celý veřejný internet (Shodan.io / Censys).
8. Trvale deaktivujte UPnP v nastavení WAN/NAT vašeho routeru a odstraňte každé pravidlo přesměrování portů směřující na místní IP adresu NAS.
9. Neinicializujte, nepřeformátujte ani nespouštějte „Reset/Reinstall DSM or QTS“ na pevných discích, než zkontrolujete, zda ransomware unesl pouze oddíl operačního systému nebo objem dat:
10. V útocích jako DeadBolt, malware přepíše webovou přihlašovací stránku NAS (index.html) pro zobrazení výkupného na celé obrazovce, který blokuje přístup k řídicímu panelu správce QNAP/Synology, i když Btrfs / ZFS snímky nebo velké videosoubory (přes 20 megabajtů) jsou na jednotkách stále 100 procent neporušené.
11. Zkontrolujte, zda má váš NAS Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), nebo LVM Snímky na úrovni bloku (QNAP Storage & Snapshots):
12. Protože Btrfs a ZFS snímky jsou pouze pro čtení na blokové vrstvě souborového systému (a Synology WORM / Immutable Snapshots nelze odstranit ani kompromitovaným root administrátorský účet), často můžete vrátit zpět 100 procent vašich zašifrovaných sdílených složek za 60 sekund s nulovou ztrátou dat a nulovým zaplaceným výkupným.
13. Před zaplacením jakéhokoli výkupného identifikujte přesný kmen ransomwaru, který používáte ID Ransomware (id-ransomware.malwarehunterteam.com) a No More Ransom (nomoreransom.org):
14. Několik hlavních kmenů ransomwaru NAS (eCh0raix / QNAPCrypt, brzy Qlocker přes photorec / qrescue extrakce logu, Muhstika SynoLocker) mají bezplatné veřejné dešifrovače nebo metody forenzní extrakce klíčů publikované výzkumnými pracovníky v oblasti vymáhání práva a bezpečnosti.

Rozhodovací strom: okamžité třídění ransomwaru NAS a cesta k obnově¶

Pomocí tohoto pracovního postupu zjistěte, zda útok pochází z počítače v síti LAN nebo přímo z NAS, a vyberte nejbezpečnější metodu obnovy:

flowchart TD
    Symptom["Disky NAS broušení na 100 % + soubory přejmenované (.deadbolt, .7z, .ech0raix, .lockbit) nebo webové uživatelské rozhraní zobrazuje výkupné"] --> PullLAN["KROK 1 (do 5 sekund): Odpojte všechny ethernetové kabely ze zadní strany NAS"]

    PullLAN --> SourceCheck{"Zastavilo šifrování okamžité odpojení ethernetového kabelu NAS?"}

    SourceCheck -->|"ANO: Aktivita disku klesla na nulu při odpojení LAN"| SMBVector["ZDROJ A: Ransomware běží na Windows/Mac PC ve vaší síti a šifruje sdílené složky přes SMB"]

    SourceCheck -->|"NE: Pevné disky NAS pokračují ve shazování s odpojeným Ethernetem (nebo samotná webová přihlašovací stránka NAS byla nahrazena obrazovkou Ransom)"| DirectNAS["ZDROJ B: Binární ransomware se spouští přímo uvnitř operačního systému NAS (využívání přes UPnP / odhalené porty WAN 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Najděte a odpojte infikovaný počítač ve vaší síti LAN -> Obnovte sdílené složky NAS ze snímků Btrfs / ZFS / QNAP nebo Hyper Backup"]

    DirectNAS -->SSHCheck{"Máte otevřenou aktivní místní relaci SSH (nebo běží Qlocker 7z)?"}

    SSHCheck -->|"Ano (proces Qlocker / Active 7z)"| GrabPass["Zkontrolujte ps aux | grep 7z na SSH k zachycení prostého textu 7-Zip hesla z příkazového řádku Args před procesem zabíjení"]
    SSHCheck -->|"Žádné SSH / Unknown Strain Grinding Disks"| PowerOff["Podržením tlačítka napájení NAS po dobu 5-10 sekund vynutíte okamžité tvrdé vypnutí, aby byly zachovány nešifrované soubory a volné místo"]

    GrabPass --> KillUPnP["KROK 2: Přihlášení do směrovače -> Trvale zakázat UPnP + Smazat všechna pravidla přesměrování portů (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Jaká aktiva obnovy existují na NAS?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP blokové snímky Přítomny"| SnapRestore["Vyčistit oddíl OS / Aktualizace firmwaru -> Vrátit zpět sdílené složky na snímek před útokem"]
    RecoveryPath -->|"Externí USB / externí cloudové zálohování (Hyper Backup / HBS 3)"| BackupRestore["Vymazat a znovu vytvořit NAS na opraveném firmwaru -> Obnovit z offline/cloudové zálohy"]
    RecoveryPath -->|"Žádné snímky a žádné zálohy"| ForensicCarve["Klonovací disky pouze pro čtení -> Check NoMoreRansom.org + Spustit PhotoRec / QRescue Unallocated Carving (obzvláště účinné proti Qlocker)"]

Jak se NAS ransomware vloupe: Dva útočné vektory¶

Než připojíte NAS zpět k místnímu síťovému přepínači, musíte vědět, který ze dvou zcela odlišných vstupních vektorů povolil ransomware na vaše úložné svazky:

Fáze 1: Vypnutí expozice na internetu (Router UPnP, Port Forwardinga cloudová relé)¶

Pokud vyčistíte nebo obnovíte svůj NAS, aniž byste uzavřeli síťovou díru na routeru, automatizované botnety skenující vaši veřejnou IP adresu znovu infikují NAS během několika hodin od jeho opětovného připojení online. Nejprve dokončete toto uzamčení sítě na routeru:

1. Přihlaste se do administrátorské konzole internetového směrovače / brány firewall:
2. Otevřete prohlížeč na čistém počítači nebo telefonu a přejděte na adresu IP brány routeru (obvykle 192.168.1.1, 192.168.0.1, 10.0.0.1nebo prostřednictvím aplikace vašeho síťového routeru, jako je UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Zakázat UPnP (Universal Plug and Play) Trvale:
4. Přejděte na Pokročilé > Přesměrování NAT / WAN / Síť > UPnP a přepněte UPnP na VYPNUTO / Zakázáno.
5. Proč UPnP je pro vlastníky NAS tak nebezpečný: Když je na vašem routeru povoleno UPnP, jakékoli zařízení ve vaší místní síti (včetně průvodce „EZ-Internet“ nebo „Automatická konfigurace routeru“ vašeho NAS nebo malwaru na chytré televizi) může tiše odeslat IGD (Internet Gateway Device) požadavek na váš router s textem "Otevřete externí port WAN 8080 a 5001 pro moji místní IP 192.168.1.50", čímž se obejde váš firewall, aniž byste kdy požadovali heslo routeru.
6. Smazat všechny ruční přesměrování portů (Virtual Server) & DMZ Pravidla směřující na NAS:
7. Přejděte na Upřesnit > Přesměrování NAT > Přesměrování portů (nebo virtuální servery) a odstraňte všechna pravidla pro předávání TCP nebo UDP portů (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex, pokud není potřeba) na vaši IP adresu NAS.
8. Zaškrtněte Upřesnit > DMZ a ověřte, že hostitel DMZ je zakázán (umístěním IP adresy NAS do DMZ routeru se všech 65 535 TCP a UDP portů NAS vystaví přímo veřejnému internetu).
9. Ověřte mimo vaši síť, zda jsou otevřené nulové porty NAS:
10. Navštivte shodan.io nebo grc.com (ShieldsUP) nebo spusťte skenování portů proti vaší veřejné IP adrese WAN, abyste potvrdili, že porty jsou 5000, 5001, 8080, 8443, 443a 22 teď se vrať Filtered / Stealth / Closed.

Fáze 2: Nouzové třídění specifické pro kmen (Qlocker, DeadBolt, eCh0raix)¶

Než NAS vymažete nebo zaplatíte výkupné, zkontrolujte, který konkrétní kmen ransomwaru NAS zasáhl vaše zařízení. Každá hlavní rodina NAS má jedinečné technické nedostatky, které umožňují částečnou nebo úplnou obnovu dat bez placení:

1. Pokud byly vaše soubory nahrazeny .7z archivy (Qlocker na QNAP / Linux NAS)¶

Jak Qlocker funguje: Místo psaní vlastního kryptografického stroje, Qlocker spustí skript, který vyvolá vlastní vestavěný NAS 7-Zip (/usr/local/sbin/7z) binární pro kompresi každého souboru do souboru chráněného heslem .7z archivovat a poté spustí normální Linux rm (unlink) v původním souboru. - Triage trik #1 (zachycení hesla v reálném čase ps aux Před vypnutím): Pokud Qlocker momentálně stále běží na vašem NAS a můžete se přihlásit lokálně přes SSH (ssh admin@nas-local-ip), spusťte tento příkaz bezprostředně před vypnutím:

ps aux | grep 7z

2. Pokud byla vaše přihlašovací obrazovka NAS nahrazena DeadBolt Stránka výkupného (.deadbolt soubory)¶

Jak DeadBolt funguje: 1. DeadBolt nahrazuje /home/httpd/index.html (nebo /home/httpd/cgi-bin/index.cgi) s vlastní binární/HTML stránkou, která unese váš webový prohlížeč, kdykoli se pokusíte otevřít řídicí panel QNAP QTS / Asustor ADM, vyžaduje bitcoiny výměnou za hlavní dešifrovací klíč s 32 hexadecimálními znaky (doručovaný prostřednictvím bitcoinu v řetězci OP_RETURN transakce). 2. Jak znovu získat přístup k vašemu hlavnímu administrátorskému panelu QNAP QTS / QuTS bez ztráty dat: - Možnost A (přes místní SSH, pokud je povoleno): SSH do NAS lokálně (ssh admin@<nas-ip>), zastavte darebáka deadbolt pokud běží, a spusťte oficiální skript pro obnovení firmwaru QNAP nebo obnovte originál /home/httpd/index.html z obrazu systémové ROM pouze pro čtení (/mnt/HDA_root/update_pkg/). - Možnost B (bezdiskový firmware Flash + opětovné vložení hot-Plug): 1. Vypněte NAS. 2. Vysuňte všechny pevné disky o 2 centimetry (1 palec), aby byly odpojeny od základní desky (** nejprve pečlivě očíslujte pořadí jejich pozic pomocí malířské pásky**). 3. Zapněte NAS bez pevných disků, zjistěte jeho IP přes Qfinder Pro, po výzvě na obrazovce nastavení zapojte disky zpět do jejich přesných pozic a zvolte „Aktualizovat pouze firmware (uchovat všechna data a nastavení)“ (nikdy neklikejte na „Inicializovat systém“, čímž dojde k vymazání disků). 3. Důležitá poznámka k dešifrování pro vymáhání práva DeadBolt: V koordinovaných operacích vedených Nizozemskou národní policií (Politie), Europol (No More Ransom) a Responders.nu, orgány činné v trestním řízení úspěšně oklamaly DeadBolt aktéři hrozeb během mempoolového poplatku prudce uvolnili více než 150 hlavních dešifrovacích klíčů, než byly bitcoinové transakce útočníků s nízkými poplatky zrušeny prostřednictvím Replace-By-Fee. Zkontrolujte deadbolt.responders.nu a nomoreransom.org abyste zjistili, zda jste konkrétní DeadBolt Klíč adresy oběti zachytila policie.

3. Pokud vaše soubory končí v .encrypt (eCh0raix / QNAPCrypt)¶

• Několik generací eCh0raix (QNAPCrypt) používali chybné odvození klíče AES nebo měli své příkazy a ovládání (C2) databáze zabavená bezpečnostními výzkumníky a orgány činnými v trestním řízení.
• Navštivte nomoreransom.org a nahrajte dva zašifrované soubory (nebo výkupné README_FOR_DECRYPT.txt) k testování bezplatného Bitdefender / NoMoreRansom eCh0raix Decryptor, než cokoliv otřete.

Fáze 3: Obnovení souborů z Btrfs, ZFSnebo QNAP Snímky za 60 sekund¶

Pokud byl váš NAS zašifrován Vektorem č. 2 (počítač ve vaší LAN infikovaný ransomwarem, který šifruje sdílené složky přes SMB), nebo pokud jste měli Immutable (WORM) Snímky nebo nedotčené LVM/Btrfs/ZFS Snapshots během přímého útoku NAS můžete okamžitě obnovit 100 procent svých souborů:

1. Synology DiskStation (DSM 7.x s Btrfs Replikace snímku)¶

1. Nejprve ověřte, zda je infikovaný počítač ve vaší síti LAN odpojen od sítě, a aktualizujte Synology DSM na nejnovější verzi v části Ovládací panely > Aktualizace a obnovení.
2. Otevřete balíček Snapshot Replication v systému Synology DSM.
3. Klikněte na Obnovení v levém postranním panelu.
4. Vyberte zašifrovanou Sdílenou složku (nebo iSCSI LUN) a klikněte na Obnovit.
5. Procházet seznam naplánovaných snímků (GMT+...) a vyberte snímek pořízený bezprostředně před zahájením šifrování ransomware (nejprve zaškrtněte Akce > Procházet, abyste zobrazili náhled souborů uvnitř snímku a ověřili, že jsou čisté a nezašifrované).
6. Klikněte na Akce > Obnovit tento snímek (nebo Klonovat s novým názvem, pokud chcete ponechat zašifrovanou složku nedotčenou pro forenzní důkazy a okamžitě připojit čistou kopii sdílené složky).
7. Protože Btrfs je Copy-on-Write (CoW) souborový systém, vrácení sdílené složky o velikosti 20 terabajtů zpět na snímek před útokem trvá méně než 10 sekund.

2. QNAP NAS (QTS Snímky LVM na úrovni bloku a QuTS hero ZFS snímky)¶

1. Jakmile je hrdina QTS/QuTS opraven a izolován od WAN, otevřete Storage & Snapshots.
2. Přejděte na Úložiště > Úložiště/Snímky, vyberte dotčený silný svazek, tenký svazek nebo sdílenou složku ZFS a klikněte na Správce snímků (ikona fotoaparátu).
3. Vyberte poslední čistý snímek pořízený před časovým razítkem útoku.
4. Procházejte strom složek v pravém podokně a ověřte, zda jsou vaše soubory neporušené, poté klikněte na Vrátit snímek svazku (nebo vyberte všechny složky a klikněte na Obnovit, chcete-li přepsat pouze zašifrované soubory).

3. TrueNAS (CORE / SCALE na ZFS) a Unraid (ZFS / Btrfs)¶

• Na TrueNAS (ZFS): Přejděte na Úložiště > Snímky (nebo Ochrana dat > Pravidelné úlohy se snímkováním), najděte čistý snímek (tank/share@auto-2026-10-31_12-00) a klikněte na Rollback (nebo klonujte snímek do nové datové sady zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered takže nikdy neztratíte novější přechodné snímky).

Fáze 4: Zpevnění vašeho NAS, aby jej již nikdy nebylo možné zašifrovat (7bodový kontrolní seznam)¶

Jakmile budou vaše data obnovena, aplikujte na zařízení Synology, QNAP, TrueNAS nebo Asustor těchto sedm povinných konfiguračních pravidel, než je znovu připojíte k síti:

• 1. Nikdy nepřesměrovávejte žádný port na vašem routeru do vašeho NAS: Použijte Tailscale nebo WireGuard VPN Místo toho:
• Nainstalujte si oficiální balíček Tailscale ze Synology Package Center / QNAP App Center (nebo spusťte ve svém routeru vestavěný WireGuard VPN Server).
• Tailscale vytváří peer-to-peer šifrovaný síťový tunel WireGuard s nulovou konfigurací (100.x.y.z) mezi vaším telefonem, notebookem a vaším NAS s nulovými otevřenými porty na vašem domácím routeru firewall. Ke svým fotografiím, souborům a administrátorské obrazovce NAS máte přístup odkudkoli na světě, zatímco váš NAS zůstává 100% neviditelný pro internetové skenery, jako jsou Shodan.
• 2. Zakázat vestavěné výchozí admin Účet a vytvoření vlastního pojmenovaného správce s povinným 2FA:
• Synology DSM i QNAP QTS se dodávají s výchozím účtem s názvem admin (UID 1024 nebo UID 0). Automatizovaní roboti hrubou silou zatloukají uživatelské jméno admin 24/7.
• Vytvořte zbrusu nový účet správce s jedinečným uživatelským jménem, přihlaste se pomocí tohoto nového účtu, přejděte na Ovládací panely > Uživatel a skupina (nebo Uživatelé) a Zakažte výchozí admin účet.
• Zapněte Povinné dvoufaktorové ověření (OTP / Passkey / Approve Sign-in) pro všechny účty administrátorů.
• 3. Zapnout Immutable (WORM) Snímky (7-to-14-Day Retention Lock):
• V Synology DSM 7.2+: Otevřete Snapshot Replication > Snapshots > Settings > Schedule, povolte denní snímky a zaškrtněte „Povolit neměnné snímky“ s ochrannou lhůtou 7 až 14 dní. I když hacker ukradne vaše heslo root nebo zneužije zranitelnost jádra v DSM, nikdo (ani root) může odstranit neměnný snímek, dokud nevyprší 7denní hardwarové hodiny.
• Na QNAP QuTS hero / QTS: Nakonfigurujte Snapshot Replica Vault nebo povolte WORM (Write Once, Read Many) zásady uchovávání u kritických sdílených záloh a ujistěte se, že je povoleno „Rezervovat místo pro snímky“.
• 4. Omezit oprávnění pro sdílení v síti SMB (Least Privilege) Infekce notebooku tedy nemůže zašifrovat celý NAS:
• Nikdy nemapujte hlavní zařízení NAS admin přihlašovací údaje v Průzkumníku souborů Windows (\\NAS\) na každodenních noteboocích.
• Vytvořte si standardní uživatelský účet, který není správcem, pro každodenní přístup k souborům a nastavte složky s archivy/fotkami (např. 2010-2025 Family Photos Archive) až pouze pro čtení (ro) pro každodenní uživatele stolních počítačů, takže pokud počítač se systémem Windows člena rodiny zachytí ransomware, počítač může tyto složky číst, ale nemůže je šifrovat ani upravovat.
• 5. Zapněte vestavěnou bránu firewall NAS (Allow LAN + Tailscale Subnets Only) & Automatické blokování:
• V části Ovládací panel Synology > Zabezpečení > Firewall (nebo QNAP QuFirewall) vytvořte přísné pravidlo seznamu povolených povolující připojení pouze z vaší místní podsítě LAN (192.168.1.0/24) a vaše podsíť Tailscale/VPN (100.64.0.0/10), za nímž následuje spodní pravidlo nastavené na Odmítnout vše. I když se někdo náhodou otočí UPnP zpět na routeru, vlastní interní paketový filtr NAS okamžitě zahodí každý veřejný internetový paket.
• 6. Zakázat SSH (Port 22) a Telnet (Port 23) Když není aktivní odstraňování problémů:
• Během běžného denního provozu ponechte SSH vypnuté VYPNUTÉ uvnitř Ovládací panel > Terminál a SNMP; zapněte jej pouze na 10 minut, které potřebujete ke spuštění úlohy příkazového řádku, a poté jej opět vypněte.
• 7. Udržujte skutečnou zálohu „3-2-1“ Air-Gapped / Immutable Cloud Backup (Hyper Backup / HBS 3):
• Sledujte naše zálohování počítače a průvodce obnovou po havárii 3-2-1: konfigurace Synology Hyper Backup nebo QNAP Hybrid Backup Sync (HBS 3) k odesílání nočních šifrovaných záloh deduplikovaných na straně klienta na externí pevný disk USB, který fyzicky odpojíte nebo na Uzamčený objekt (S3 Object Lock Compliance Mode) cloud bucket (Backblaze B2, Wasabinebo AWS S3) pomocí omezených klíčů API pouze pro připojení.

Regionální čísla tísňového volání a protokoly agentur¶

Ransomwarové útoky zaměřené na zařízení NAS vyšetřují národní agentury pro počítačovou kriminalitu po celém světě, které udržují úložiště zabavených dešifrovacích klíčů (No More Ransom) a sledovat kriminální infrastrukturu:

• Spojené státy a Kanada:
• Nouzový výpadek ochrany života: Vytočte 911 pokud ransomware naruší systémy zdravotní péče nebo fyzické bezpečnosti.
• CISA & FBI Internet Crime Complaint Center (IC3): Hlásit NAS ransomwarové kampaně (DeadBolt, Akira, LockBit, Qlocker) v stopransomware.gov,ic3.gov nebo zavolejte CISA na číslo 1-844-Say-CISA (1-844-729-2472).
• Kanadské centrum pro kybernetickou bezpečnost a RCMP: Zpráva na cyber.gc.ca (1-833-CYBER-88) nebo Kanadské centrum pro boj proti podvodům.
• Spojené království:
• Pohotovostní služby: Vytočte 999 (nebo 101 pro nenouzovou policii).
• Action Fraud & NCSC: Hlásit incidenty ransomwaru na actionfraud.police.uknebo volejte0300 123 2040 (24/7 živá linka kybernetických incidentů). Malé podniky a charitativní organizace mohou nahlédnout do NCSC Cyber Incident Response (ncsc.gov.uk) portál.
• Evropská unie:
• Pohotovostní služby: Vytočte 112 ve všech členských státech EU.
• Europol Evropské centrum pro počítačovou kriminalitu (EC3) & NoMoreRansom.org: Zkontrolujte nomoreransom.org (spravované nizozemskou národní policií, Europolem a partnerskými agenturami) pro zabavené dešifrovací klíče NAS ransomware a nahlaste to svému národnímu CSIRT a úřadu pro ochranu dat (DPA do 72 hodin, pokud došlo k exfiltraci nebo ztrátě osobních údajů podle GDPR).
• Austrálie a Nový Zéland:
• Pohotovostní služby: Vytočte 000 v Austrálii nebo 111 na Novém Zélandu.
• Australské centrum kybernetické bezpečnosti (ACSC): Volejte 24/7 Ransomware Hotline na 1300 CYBER1 (1300 292 371) nebo se nahlaste na cyber.gov.au.
• CERT NZ: Zpráva na cert.govt.nz.
• Indie a Asie a Tichomoří:
• Indie (CERT-In Linka pomoci a kybernetické kriminality): Volejte 1930 nebo se nahlaste na cybercrime.gov.in a incident@cert-in.org.in.
• Tchaj-wan (TWCERT/CC, domovská jurisdikce Synology, QNAP a Asustor PSIRT): Odešlete lístky na bezpečnostní incidenty dodavatele přímo na QNAP PSIRT (service.qnap.com) nebo Synology PSIRT (synology.com/en-global/security/advisory).

Často kladené otázky¶

Jak ransomware infikoval můj QNAP nebo Synology NAS, když jsem nikdy neklikl na žádný phishingový odkaz a moje počítače jsou zcela čisté?¶

Váš NAS byl infikován přímo z veřejného internetu, aniž byste se dotkli vašich počítačů. Měl to buď váš internetový router UPnP (`Universal Plug and Play`) povoleno (umožňuje funkci NAS „Automatická konfigurace routeru / EZ-Internet / myQNAPcloud“ tiše otevírat porty 8080, 443, 5000, 5001nebo 22 na vaší bráně firewall), nebo jste ručně předali port pro vzdálený přístup k vašim souborům. Automatizované botnety nepřetržitě skenují každou veřejnou IP adresu na internetu a využívají neopravené zranitelnosti nebo slabé stránky. admin hesla na exponovaných webových rozhraních NAS.

Jak zjistím, zda se ransomware spustil přímo v mém operačním systému NAS vs. na jednom z mých počítačů se systémem Windows prostřednictvím sdílené síťové složky?¶

Podívejte se na tři indikátory: Za prvé, pokud Samotná přihlašovací obrazovka webové administrace NAS bylo nahrazeno výkupným (např DeadBolt), nebo pokud pouze NAS má zašifrované soubory, zatímco každý počítač ve vaší síti je čistý, malware se spustil přímo v NAS Linux OS. Za druhé, otevřete Protokol připojení NAS / Protokol přenosu souborů SMB (v Synology Log centrum nebo QNAP Centrum QuLog): pokud vidíte místní IP adresu LAN (např 192.168.1.24) provedení desítek tisíc rapid Zapsat / Přejmenovat / Smazat operace skončily SMB, pak počítač na 192.168.1.24 je infikované zařízení šifrující váš NAS přes síť.

Proč ano? DeadBolt zašifrovat pouze začátek mého velkého videa nebo databázových souborů a mohu přesto přehrát nebo opravit částečně zašifrované soubory?¶

Zašifrovat desítky terabajtů úložiště NAS, než si majitel všimne, že se pevné disky drtí a vytáhne zástrčku, DeadBolt pouze zašifrovat prvních 512 kB (`524,288 bytes`) každého souboru a připojit .závora a zbývající gigabajty souboru zůstanou v prostém textu nedotčené. Zatímco ztráta prvních 512 kB zcela zničí malé dokumenty a fotografie JPEG, velké multigigabajtové video soubory (`.mp4`, `.mov`, `.mkv`), nezpracovaný záznam z kamery a určité obrazy disků virtuálních strojů (`VMDK`/`VHDX`) nebo SQL databáze lze často opravit přesazením platné hlavičky kontejneru (`moov` atom) z jiného videa zaznamenaného stejnou kamerou pomocí nástrojů jako untrunc.

Je Synology QuickConnect nebo myQNAPcloud Link bezpečné nechat zapnuté, když vypnu směrovač UPnP a přesměrování portů?¶

S routerem UPnP a ručním přesměrováním portů zcela vypnutým, odchozí přenosové služby, jako je Synology Relé QuickConnect a Odkaz na myQNAPcloud jsou výrazně bezpečnější než otevřené porty WAN, protože neotevírají naslouchací porty na vašem routeru firewall. Stále však odhalují vaši přihlašovací obrazovku NAS (`DSM` / `QTS` obslužný nástroj webové autentizace) komukoli, kdo zná nebo hádá váš `QuickConnect ID`. Pro maximální zabezpečení zakažte veřejný přenosový přístup k rozhraní správce a používejte jej Stupnice ocasu nebo WireGuard VPN místo toho vyžaduje ověření kryptografického zařízení dříve jeden HTTP paket může dokonce dosáhnout vašeho NAS serveru.

Mám zaplatit bitcoinové výkupné DeadBolt, Qlockernebo eCh0raix pokud nemám žádné zálohy a žádné snímky?¶

Orgány činné v trestním řízení (`FBI`, `CISA`, `Europol`, `NCSC`) důrazně nedoporučujeme platit výkupné, protože platby financují zločinecké syndikáty a nezaručují, že útočníkův automatický dešifrovací skript bude fungovat bez poškození souborů. Než začnete uvažovat o platbě: (1) Zobrazte nebo zachovejte disky, abyste situaci nemohli zhoršit, (2) Zkontrolujte **`nomoreransom.org`** a **`deadbolt.responders.nu`** abyste zjistili, zda orgány činné v trestním řízení již zabavily hlavní klíč pro váš kmen, (3) pro **`Qlocker`**, běž **`PhotoRec` / `QRescue`** na nepřiděleném místě na disku (který často zdarma obnoví 60 % až 90 % smazaných originálů) a (4) pro velké `.mp4`/`.mov` videa zasažená šifrováním částečného záhlaví, testovací rekonstrukce záhlaví s `untrunc`.

Související průvodci¶

• Infekce malware, ransomware a spyware: okamžité omezení a obnovení
• Zabezpečení domácích routerů a IoT zařízení
• Pole NAS RAID degradováno, selhání více disků a obnova ZFS/Btrfs
• Počítačové zálohy, strategie 3-2-1 a zotavení po havárii
• Zero-day využívá nouzové opravy a izolace zařízení na konci životnosti
• Tísňová čísla podle zemí

Zdroje a oficiální pokyny¶

• Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) a Federální úřad pro vyšetřování (FBI) (StopRansomware.gov): Upozornění na úložiště připojené k síti (NAS) Spotřebiče, na které se zaměřují DeadBolt, Qlocker, eCh0raix a Akira Ransomware.
• Evropské centrum pro boj proti počítačové kriminalitě Europolu (EC3) a Nizozemská národní policie (Politie) (NoMoreRansom.org): Operace DeadBolt Key Seizition, eCh0raix Decryptor Repositor a pokyny pro zmírnění ransomwaru.
• QNAP Product Security Incident Response Team (QNAP PSIRT) & Poradní výbor pro zabezpečení společnosti Synology: Technické bulletiny o deaktivaci routeru UPnP, obnově ukradených administrátorských konzolí, QRescue (PhotoRec) Nepřidělené obnovení a povolení neměnného WORM Snímky.
• Národní centrum kybernetické bezpečnosti (NCSC) (Spojené království): Zmírnění malwaru a ransomwaru na síťových úložištích a malých kancelářských zařízeních.