Skip to content

Lunavara kodu- või kontori-NAS-is (Synology/QNAP): krüptimise ja UPnP-ga kokkupuute peatamine

Hädaabinumbrid on riigiti erinevad. Sellel lehel kasutatakse numbrit 911, mis on USA ja Kanada number. Paljud teised riigid kasutavad numbrit 112, 999 või muud numbrit. Leidke oma riigi number.

Võrguga ühendatud salvestusruumi kõvaketaste kuulmine (NAS) seade (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, või Western Digital My Cloud). .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, või .encrypt faililaiendid (või nägemine, et teie NAS-i veebis sisselogimisekraan on asendatud Bitcoini lunaraha nõudega) on salvestamisel kriitiline hädaolukord. NAS-seadmed on automatiseeritud kogu internetti hõlmavate lunavarabotnettide jaoks hinnatud sihtmärgid (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterboxja Akira), sest ühes paigatamata NAS-is on sageli 10-100 terabaiti perekonna või väikeettevõtte kogu digitaalsest elust ja see on sageli otse avalikku internetti, ilma et omanik sellest aru saaks ruuteri UPnP kaudu (Universal Plug and Play) Auto-Port-Forwarding või hankija pilve edastamise teenused (myQNAPcloud, Synology QuickConnect, EZ-Internet). Enne vahelduvvoolu toitejuhtme seinast välja tõmbamist peate tegema olulise 10-sekundilise arhitektuurilise otsuse, mis põhineb sellel, kas teie NAS kasutab kopeerimis-kirjutamisel hetktõmmiseid (Btrfs või ZFS) või traditsioonilist RAID-massiivi; lunavaraga mitteseotud kettamassiivi krahhide puhul konsulteerige NAS RAID-massiivi halvenemine, mitme draivi rike ja ZFS/Btrfs-i taastamineja arvutipõhiste lunavaranakkuste kohta vt pahavara, lunavara ja nuhkvaranakkus samuti koduruuterite ja IoT-seadmete turvamine. Kui lunavara mõjutab haiglate tegevust, munitsipaalabiteenistusi või füüsilise turvalisuse infrastruktuuri, helistage oma kohalikule hädaabinumbrile (911 Ameerika Ühendriikides ja Kanadas, 112 kogu Euroopa Liidus, 999 Ühendkuningriigis) või tutvuge meie rahvusvaheliste kataloogidega hädaabinumbrid.

Tehke seda kohe

  1. ** Tõmmake füüsiline Ethernet (RJ45 / 10GbE) võrgukaabel(d) NAS-i tagaküljest KOHE, enne toitejuhtme puudutamist**:
  2. Etherneti kaabli(te) lahtiühendamine katkestab kohe ründaja interaktiivse SSH/HTTP käsu- ja juhtimisseansi, peatab NAS-il sekundaarse krüpteerimiskoormuse allalaadimise ja peatab koheselt teie kohaliku kontori LAN-i nakatunud lauaarvuti teie NAS-i krüptimast SMB/CIFS-võrgu jagamiste kaudu (\\NAS\Share).
  3. Tehke 15 sekundiga kindlaks, kas katkestada toide või peatada krüpteerimisprotsess puhtalt:
  4. Stsenaarium A: lunavara töötab teie LAN-i lauaarvutis ja krüpteerib NAS-faile SMB/kaardistatud võrguketta kaudu: 1. sammus tõmmake lihtsalt NAS-i Etherneti kaabel peatas juba 100% NAS-i krüptimisest. Jätke NAS sisselülitatuks, et selle RAID-massiv ja failisüsteem jääksid puhtaks, ning isoleerige nakatunud Windowsi/Maci tööjaam.
  5. ** Stsenaarium B: lunavara binaarfail käivitub otse NAS Linuxi operatsioonisüsteemis endas (DeadBolt, Qlocker, eCh0raix)**:
    • Kui teil ei ole Btrfs või ZFS hetktõmmised on lubatud (näiteks vanem ext4 helitugevus) ja draivid jahvatavad aktiivselt, kuna NAS krüpteerib teie ainsa failide koopia, vajutage ja hoidke NAS-i füüsilist eesmist toitenuppu 5-10 sekundit all, et sundida kohest tugevat väljalülitamist (või tõmmake alalis-/vahelduvvoolupistikust, kui nupp ei reageeri). Iga minut, kui NAS jääb sisselülitatuks, laseb selle CPU-l krüpteerida veel 5-20 gigabaiti teie faile.
    • Oluline hoiatus (Why DeadBolt & Qlocker victims must NOT reboot after recovery): lunavaratüved nagu Qlocker (mis teisaldab failid parooliga kaitstud .7z arhiive kasutades 7z) ja DeadBolt mõnikord hoidke aktiivset krüpteerimisolekut või dekrüpteerimisvõtmeid sees /tmp (RAM) või kaaperdage veebiliidese binaarfail (/home/httpd/index.html). Kui teil on NAS-is endiselt avatud kohalik SSH juurkesta, kontrollige ps aux ja /tmp enne väljalülitamist (vt 2. etappi allpool).
  6. Logige sisse oma Interneti-ruuterisse/tulemüüri (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP lüüsi) kohe ja lülitage VÄLJA UPnP (Universal Plug and Play) JA kustutage kõik WAN-i pordi edastamise reeglid, mis osutavad teie NAS-ile:
  7. Üle 80 protsendi kodudes ja väikeses kontoris kasutatavate NAS-i lunavara nakatumistest juhtub seetõttu, et kasutaja klõpsas algseadistuse ajal valikul „Automaatne ruuteri seadistamine / EZ-Internet / UPnP”, mis andis koduruuterile vaikselt korralduse avada TCP-pordid. 5000, 5001, 8080, 8443, 443, 22 (SSH) või 445 (SMB) otse kogu avalikku internetti (Shodan.io / Censys).
  8. Keelake UPnP jäädavalt oma ruuteri WAN/NAT-i seadetes ja kustutage kõik pordiedastuse reegel, mis osutab NAS-i kohalikule IP-aadressile.
  9. ÄRGE lähtestage, vormindage ega käivitage kõvaketastel käsku "Lähtesta/installige uuesti DSM või QTS", enne kui olete kontrollinud, kas lunavara kaaperdas ainult OS-i partitsiooni või andmemahu:
  10. Rünnakutel nagu DeadBolt, pahavara kirjutab üle NAS-i veebi sisselogimislehe (index.html), et kuvada täisekraanil lunarahateade, mis blokeerib juurdepääsu QNAP/Synology administraatori armatuurlauale, isegi kui Btrfs / ZFS hetktõmmised või suured videofailid (üle 20 megabaidi) on draividel endiselt 100 protsenti puutumata.
  11. Kontrollige, kas teie NAS-il on Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), või LVM Plokitaseme hetktõmmised (QNAP Storage & Snapshots):
  12. Sest Btrfs ja ZFS hetktõmmised on failisüsteemi plokikihis (ja Synology WORM / Muutumatuid hetktõmmiseid ei saa isegi rikutud kasutaja kustutada root administraatori konto), saate sageli 100 protsenti oma krüptitud jagatud kaustadest tagasi pöörata 60 sekundiga ilma andmete kadumise ja lunarahata.
  13. Enne lunaraha maksmist tehke kindlaks täpne lunavara tüvi, mida kasutate ID Ransomware (id-ransomware.malwarehunterteam.com) ja No More Ransom (nomoreransom.org):
  14. Mitmed suuremad NAS-i lunavaratüved (eCh0raix / QNAPCrypt, varakult Qlocker kaudu photorec / qrescue palgi väljavõtmine, Muhstikja SynoLocker).

Danger

Miks te ei tohi KUNAGI paljastada Synology DSM-i (ports 5000/5001), QNAP QTS (ports 8080/443), SSH (port 22) või SMB (port 445) otse avalikku internetti pordi edastamise kaudu: tarbija- ja SMB NAS-i operatsioonisüsteemid (DSM, QTS, QuTS hero, ADM, TOS) käitage keerulisi PHP, C/CGI ja Pythoni veebihaldusliideseid kui root. Kui sisseehitatud fotorakenduses avastatakse nullpäevane autentimisest möödaviimise haavatavus (QNAP Photo Station, Music Station, Multimedia Console) või CGI-skripti abil skannivad automatiseeritud robotvõrgud kõik 4 miljardit IPv4-aadressi Internetis ja krüpteerivad iga pordiga edastatud NAS-i 4-12 tunni jooksul pärast avalikustamist. Kaugjuurdepääs NAS-ile peab toimuma ainult krüptitud, autentimata paketti langetava VPN-i (Tailscale, WireGuard või OpenVPN) kaudu.

Otsuste puu: kohene NAS-i lunavara triaaž ja taastamise tee

Kasutage seda töövoogu, et teha kindlaks, kas rünnak pärineb LAN-arvutist või otse NAS-ist, ja valige kõige turvalisem taastemeetod.

flowchart TD
    Symptom["NAS-draivide lihvimine 100% + failid ümbernimetatud (.deadbolt, .7z, .ech0raix, .lockbit) või veebi kasutajaliides näitab lunastuskuva"] --> PullLAN["1. SAMM (5 sekundi jooksul): eemaldage kõik Etherneti kaablid NAS-i tagaküljest"]

    PullLAN --> SourceCheck{"Kas krüptimine peatas kohe, kui NAS-i Etherneti kaabli lahti ühendasite?"}

    SourceCheck -->|"JAH: ketta aktiivsus langes nullini, kui LAN on lahti ühendatud"| SMBVector["ALLIKAS A: Ransomware töötab teie võrgus olevas Windowsi/Maci arvutis ja krüpteerib jagatud kaustu SMB kaudu"]

    SourceCheck -->|"EI: NAS-i kõvakettad jätkavad segamist, kui Ethernet on lahti ühendatud (või NAS-i veebisisselogimisleht ise asendati Ransom-ekraaniga)"| DirectNAS["ALLIKAS B: lunavara binaarfail käivitub otse NAS OS-is (kasutatakse UPnP / avatud WAN-portide 5000, 5001, 8080, 443, 22 kaudu)"]

    SMBVector --> IsolatePC["Nakatunud arvuti leidmine ja lahtiühendamine oma LAN-ist -> NAS-i jagatud kaustade taastamine Btrfs / ZFS / QNAP hetktõmmistest või Hyper Backupist"]

    DirectNAS -->SSHCheck{"Kas teil on aktiivne kohalik SSH-seanss avatud (või kas Qlocker töötab 7z)?"}

    SSHCheck -->|"Jah (Qlocker / aktiivne 7z protsess)"| GrabPass["Kontrollige ps aux | grep 7z SSH-s, et jäädvustada tavateksti 7-Zip parool käsurealt Args enne tapmisprotsessi"]
    SSHCheck -->|"Puuduvad SSH / tundmatu pingega lihvimiskettad"| PowerOff["Hoidke NAS-i toitenuppu 5-10 sekundit all, et sundida kohest kõva väljalülitamist, et krüptimata failid ja vaba ruum säiliksid"]

    GrabPass --> KillUPnP["2. SAMM: logige sisse ruuterisse -> Keela UPnP jäädavalt + kustutage kõik pordi edastamise reeglid (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Millised taastamisvarad on NAS-is olemas?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots Olemas"| SnapRestore["Puhastage OS-i partitsioon / püsivara värskendus -> Kerige jagatud kaustad tagasi ründeeelse hetktõmmise jaoks"]
    RecoveryPath -->|"Väline USB / välise pilve varundamine (hüpervarundus / HBS 3)"| BackupRestore["NAS-i pühkimine ja taastamine parandatud püsivara puhul -> Taasta võrguühenduseta/pilvevarundusest"]
    RecoveryPath -->|"Puuduvad hetktõmmised ja varukoopiad"| ForensicCarve["Kirjutuskaitstud draivide kloonimine -> Kontrollige NoMoreRansom.org + Käivitage PhotoRec / QRescue jaotamata nikerdamine (eriti tõhus Qlockeri vastu)"]

Kuidas NAS-i lunavara sisse tungib: kaks rünnakuvektorit

Enne kui ühendate oma NAS-i tagasi kohaliku võrgu lülitiga, peate teadma, milline kahest täiesti erinevast sisenemisvektorist lubas lunavara teie salvestusmahtudele:

Atribuut Vektor nr 1: otse-NAS-i Linuxi lunavara (DeadBolt, Qlocker, eCh0raix, AgeLocker, Muhstik) Vektor nr 2: PC-NAS-i SMB võrgu jagamine lunavara (LockBit, Akira, BlackCat, Phobos, Play)
Kus pahavara tegelikult töötab? Otse NAS-i sisemises CPU-s ja Linux OS-is (koostatud kui x86_64 või ARM64 Linux ELF binaar- või shelliskript). Kohalikus võrgus olevas nakatunud Windowsi arvutis või Macis, mis krüpteerib failid kaardistatud võrgudraividel (Z:\) või UNC teed (\\192.168.1.50\Public).
Kuidas ründaja sisse pääses? 1. Ruuteri UPnP / portide käsitsi edastamine paljastab NAS-i administraatoripordid (8080, 443, 5000, 5001) või SSH (22) WAN-i.
2. Paigutamata CGI / rakenduse nullpäev (QNAP Photo Station, Multimedia Console, HBS 3 kõvakodeeritud volikirjad CVE-2021-28799).
3. Mandaadi täitmine / Brute Force 2FA-ta administraatorikonto vastu.		 Teie kodu- või kontorivõrgu kasutaja avas pahatahtliku meilimanuse, võltsbrauseri värskenduse või paljastas kaugtöölaua (RDP port 3389) nende Windowsi arvutis ja see arvuti oli salvestanud lugemis-kirjutamismandaadid teie NAS-i SMB jagatud kaustadesse.
Kas see rünnak võib teie NAS-id kustutada? Btrfs / ZFS / LVM Pilte? Jah, KUI hetktõmmis on standardne (muutuva): kuna Direct-NAS-i pahavara töötab root NAS OS-i sees sellised tüved nagu DeadBolt ja Qlocker proovige joosta lvremove või kustutage standardsed pildid, ** VÄLJA arvatud muutumatu (WORM) Hetketõmmised (Synology Immutable Snapshots / ZFS Hold)**, mis isegi root ei saa kustutada enne, kui säilitustaimer on aegunud. EI. Kuna lunavara suhtleb teie NAS-iga ainult SMB-võrgu failijagamisprotokolli kaudu, on sellel nulljuurdepääs NAS-i halduskonsoolile või plokitasemel hetktõmmiste haldurile. Sinu Btrfs, ZFSja QNAP-i helitugevuse hetktõmmised jäävad 100 protsenti puutumata.
Milliseid faile krüpteeritakse? Optimeerib sageli kiiruse järgi: näiteks DeadBolt krüpteerib ainult esimesed 512 kilobaiti (524,288 bytes) igast failist või jätab vahele teatud süsteemiteed, samas kui Qlocker kasutab NAS-i enda sisseehitatud /usr/local/sbin/7z utiliit, mis võimaldab teisaldada alla 100 MB faile parooliga kaitstud alla .7z arhiivid (algse faili kustutamine rakendusega unlink(), mis teeb toore eraldamata ketta nikerdamise PhotoRec / QRescue väga tõhus). Krüpteerib failid võrgu kaudu SMB lugemise-kirjutamise-ümbernimetamise operatsioonide kaudu (slowest over 1GbE Wi-Fi/Ethernet, mis tähendab, et võrgukaabli tõmbamine rünnaku keskel salvestab enamiku suurtest kaustadest).

1. etapp: Interneti-särituse väljalülitamine (Router UPnP, Port Forwardingja pilveülekanded)

Kui puhastate või taastate oma NAS-i ilma ruuteri võrguauku sulgemata, nakatavad teie avalikku IP-aadressi skaneerivad automaatsed robotvõrgud NAS-i uuesti mõne tunni jooksul pärast selle uuesti võrku viimist. Viige esmalt ruuteris see võrgu lukustus lõpule.

  1. Logige sisse oma Interneti-ruuterisse/tulemüüri administraatorikonsooli:
  2. Avage puhtas arvutis või telefonis brauser ja navigeerige oma ruuteri lüüsi IP-le (tavaliselt 192.168.1.1, 192.168.0.1, 10.0.0.1või näiteks võrguruuteri rakenduse kaudu UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
  3. Keela UPnP (Universal Plug and Play) Püsivalt:
  4. Liikuge jaotisse Täpsem > NAT-edasitus / WAN / Võrk > UPnP ja lülitage UPnP asendisse VÄLJAS / Keelatud.
  5. ** Miks UPnP on NAS-i omanikele nii ohtlik**: kui UPnP on teie ruuteris lubatud, võivad kõik teie kohalikus võrgus olevad seaded (sh teie NAS-i EZ-Interneti või automaatse ruuteri konfigureerimise viisard või nutiteleri pahavara) vaikselt saata IGD (Internet Gateway Device) päring oma ruuterile, öeldes "Ava väline WAN-port 8080 ja 5001 minu kohalikule IP-le 192.168.1.50", minnes mööda tulemüürist ilma ruuteri parooli küsimata.
  6. ** Kustuta kõik käsitsi pordiedastused (Virtual Server) & DMZ NAS-ile osutavad reeglid**:
  7. Avage Advanced > NAT Forwarding > Port Forwarding (või Virtual Servers) ja kustutage kõik TCP- või UDP-portide edastamise reegel (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 VKE, 32400 Plex, kui see pole vajalik) teie NAS-i IP-le.
  8. Märkige ruuter Advanced > DMZ ja veenduge, et DMZ-host on keelatud (NAS-i IP paigutamine ruuteri DMZ-sse paljastab kõik NAS-i 65 535 TCP- ja UDP-porti otse avalikku internetti).
  9. Veenduge väljastpoolt võrku, et null NAS-porti oleks avatud:
  10. Külasta shodan.io või grc.com (ShieldsUP) või käivitage pordi skannimine teie avaliku WAN-i IP-aadressi alusel, et kinnitada, et need pordid on kinnitatud 5000, 5001, 8080, 8443, 443ja 22 nüüd tagasiFiltered / Stealth / Closed.

2. faas: tüvespetsiifiline hädaolukorra triaaž (Qlocker, DeadBolt, eCh0raix)

Enne NAS-i kustutamist või lunaraha maksmist kontrollige, milline NAS-i lunavara tüvi teie seadet tabas. Igal suuremal NAS-i perekonnal on ainulaadsed tehnilised nõrkused, mis võimaldavad andmete osalist või täielikku taastamist ilma maksmata:

1. Kui teie failid asendati failiga .7z Arhiivid (Qlocker QNAP / Linux NAS-is)

Kuidas Qlocker töötab: kohandatud krüptomootori kirjutamise asemel Qlocker käivitab skripti, mis kutsub NAS-i enda sisseehitatud 7-Zip (/usr/local/sbin/7z) binaarfail iga faili tihendamiseks parooliga kaitstud failiks .7z arhiveerida ja seejärel käivitada tavaline Linux rm (unlink) originaalfailis. - Triaažitrikk nr 1 (parooli tabamine reaalajas ps aux Enne väljalülitamist): Kui Qlocker on praegu veel töötab teie NAS-is ja saate kohalikult sisse logida SSH (ssh admin@nas-local-ip), käivitage see käsk vahetult enne väljalülitamist: 

ps aux | grep 7z
Sest Qlocker edastab 32-kohalise krüpteerimisparooli otse käsurealt 7z (7z a -p<THE_SECRET_PASSWORD_IS_RIGHT_HERE> -mhe=on ...), jooksmine ps aux | grep 7z failide tihendamise ajal prindib täpse dekrüpteerimise peaparooli lihttekstina otse teie ekraanile. Kopeerige see -p... string kohe: see avab kõik .7z fail kogu teie NAS-is. - Triaažitrikk nr 2 (algsete linkimata failide taastamine QRescue / PhotoRec Isegi pärast Qlocker Lõpetab): Sest Qlocker loob uue .7z faili ja töötab lihtsalt standardselt unlink() (rm) algse foto, dokumendi või videofaili kustutamiseks teie algsed krüptimata failid asuvad endiselt kõvaketaste eraldamata plokkides. - Lõpetage kohe kõik NAS-i kirjutamised. - Ühendage väline USB-kõvaketas NAS-iga (või ühendage RAID-draivid Linuxi tööjaamaga) ja käivitage PhotoRec (QRescue QNAP & CGSecurity), et eraldada oma algsed krüptimata fotod, PDF-id, Office'i dokumendid, ZIP-failid ja videod otse eraldamata kettaplokkidest.

2. Kui teie NAS-i sisselogimisekraan on asendatud järgmisega DeadBolt Lunaraha leht (.deadbolt failid)

Kuidas DeadBolt töötab: 1. DeadBolt asendab /home/httpd/index.html (või /home/httpd/cgi-bin/index.cgi) oma binaar-/HTML-lehega, mis kaaperdab teie veebibrauseri alati, kui proovite avada QNAP QTS / Asustor ADM armatuurlauda, nõudes Bitcoini vastutasuks 32-kuueteistkümnemärgilise peadekrüpteerimisvõtme eest (tarnitakse ahelasisese Bitcoini kaudu OP_RETURN tehing). 2. Kuidas taastada juurdepääs oma QNAP QTS / QuTS hero administraatori armatuurlauale ilma andmeid kaotamata: - Valik A (kohaliku SSH kaudu, kui see on lubatud): SSH kohalikku NAS-i (ssh admin@<nas-ip>), peatage pettur deadbolt protsess, kui see töötab, ja käivitage QNAP-i ametlik püsivara taastamise skript või taastage originaal /home/httpd/index.html kirjutuskaitstud süsteemi ROM-kujutisest (/mnt/HDA_root/update_pkg/). - Valik B (kettata püsivara välklamp + kiirpistiku taassisestamine): 1. Lülitage NAS välja. 2. Libistage kõik kõvakettad 2 sentimeetri (1 tolli) võrra välja, nii et need tagaplaadist lahti ühendatakse (nummerdage esmalt maalriteibiga hoolikalt nende lahtri järjekord). 3. Lülitage NAS sisse ilma kõvaketasteta, leidke selle IP Qfinder Pro kaudu, kui häälestuskuval küsitakse, ühendage draivid kuumalt tagasi nende täpsetesse pesadesse ja valige "Update Firmware Only (Keep All Data and Settings)" (ärge kunagi klõpsake "Initialize System", mis kustutab draivid). 3. Oluline õiguskaitsealane dekrüpteerimismärkus DeadBolt: Hollandi riikliku politsei juhitud koordineeritud operatsioonides (Politie), Europol (No More Ransom) ja Responders.nu, õiguskaitseorganid petsid edukalt DeadBolt Mempooli tasu suurenemise ajal vabastasid ohustajad üle 150 peamise dekrüpteerimisvõtme, enne kui ründajate madala tasuga Bitcoini tehingud tühistati Replace-By-Fee kaudu. Kontrollige deadbolt.responders.nu ja nomoreransom.org et näha, kas teie konkreetne DeadBolt ohvri aadressivõtme püüdis politsei kinni.

3. Kui teie failid lõpevad .encrypt (eCh0raix / QNAPCrypt)

  • Mitu põlvkonda eCh0raix (QNAPCrypt) kasutas vigaseid AES-võtmetuletusi või neil oli käsu- ja juhtimisfunktsioon (C2) turvateadlaste ja õiguskaitseorganite arestitud andmebaas.
  • Külasta nomoreransom.org ja laadige üles kaks krüptitud faili (või lunarahateade README_FOR_DECRYPT.txt) tasuta Bitdefenderi / NoMoreRansomi testimiseks eCh0raix Enne millegi pühkimist dekrüpteeri.

3. etapp: failide taastamine saidilt Btrfs, ZFS, või QNAP Pildistamine 60 sekundiga

Kui teie NAS-i krüpteeris Vector #2 (lunavaraga nakatunud arvuti teie LAN-is, mis krüpteerib jagatud kaustu SMB kaudu) või kui teil oli Muutamatu (WORM) Snapshots või puutumata LVM/Btrfs/ZFS Snapshots otsese NAS-i rünnaku ajal saate 100 protsenti oma failidest kohe taastada:

1. Synology DiskStation (DSM 7.x koos Btrfs Hetketõmmise replikatsioon)

  1. Esmalt veenduge, et teie LAN-i nakatunud arvuti on võrgust lahti ühendatud, ja värskendage Synology DSM-i uusimale versioonile jaotises Juhtpaneel > Värskenda ja taasta.
  2. Avage Synology DSM-is pakett Snapshot Replication.
  3. Klõpsake vasakpoolsel külgribal Taaste.
  4. Valige krüptitud Jagatud kaust (või iSCSI LUN) ja klõpsake nuppu Taasta.
  5. Sirvige ajastatud hetktõmmiste loendit (GMT+...) ja valige hetktõmmis, mis on tehtud vahetult enne lunavara krüptimise algust (kontrollige esmalt Action > Browse, et vaadata hetktõmmises olevate failide eelvaadet ja kinnitada, et need on puhtad ja krüptimata).
  6. Klõpsake valikutel Toiming > Taasta sellele hetktõmmisele (või Kloonida uue nimega, kui soovite hoida krüptitud kausta kohtuekspertiisi tõendite jaoks puutumatuna, ühendades samal ajal kohe jagatud kausta puhta koopia).
  7. Sest Btrfs on kirjutamisel kopeerimine (CoW).

2. QNAP NAS (QTS Plokitaseme LVM-i hetktõmmised ja QuTS hero ZFS hetktõmmised)

  1. Kui QTS/QuTS-kangelane on paigatud ja WAN-ist eraldatud, avage Salvestus ja hetktõmmised.
  2. Avage Salvestus > Salvestus/hetketõmmised, valige mõjutatud paks helitugevus, õhuke köide või ZFS-i jagatud kaust ja klõpsake valikul Snapshot Manager (kaamera ikoon).
  3. Valige viimane puhas hetktõmmis, mis on tehtud enne rünnaku ajatemplit.
  4. Sirvige parempoolses paanis olevat kaustapuud, et kontrollida, kas teie failid on terved, seejärel klõpsake nuppu Ennista helitugevuse hetktõmmis (või valige kõik kaustad ja klõpsake nuppu Taasta, et kirjutada üle ainult krüptitud failid).

3. TrueNAS (CORE / SCALE sisse ZFS) ja Unraid (ZFS / Btrfs)

  • TrueNASis (ZFS): minge jaotisse Salvestus > Snapshots (või Andmekaitse > Perioodilised hetktõmmise ülesanded), leidke puhas hetktõmmis (tank/share@auto-2026-10-31_12-00) ja klõpsake nuppu Tagasi (või kloonige hetktõmmis uude andmekogumisse zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered nii et te ei kaota kunagi uuemaid vahepealseid hetktõmmiseid).

4. etapp: NAS-i tugevdamine, et seda ei saaks enam kunagi krüpteerida (7-punktiline kontrollnimekiri)

Kui andmed on taastatud, rakendage oma Synology, QNAP-i, TrueNAS-i või Asustori seadmes enne selle uuesti võrguga ühendamist neid seitset kohustuslikku konfiguratsioonireeglit.

  • 1. Ärge kunagi edastage ühtegi ruuteri porti oma NAS-i: kasutage Tailscale või WireGuard VPN Selle asemel:
  • Installige ametlik Tailscale pakett Synology Package Centerist / QNAP App Centerist (või käivitage oma ruuteri sisseehitatud WireGuard VPN Server).
  • Tailscale loob nullkonfiguratsiooniga peer-to-peer WireGuardi krüpteeritud võrgutunneli (100.x.y.z) teie telefoni, sülearvuti ja NAS-i vahel kui teie koduruuteri tulemüüril pole ühtegi avatud porti. Saate oma NAS-i fotodele, failidele ja administraatoriekraanile juurde pääseda kõikjal maailmas, samal ajal kui teie NAS jääb 100% nähtamatuks Interneti-skanneritele, näiteks Shodan.
  • 2. Keela sisseehitatud vaikeseade admin Konto ja kohandatud nimega administraatori loomine kohustusliku 2FA-ga:
  • Nii Synology DSM kui ka QNAP QTS tarnitakse vaikekontoga nimega admin (UID 1024 või UID 0). Automaatsed jõhkra jõuga robotid löövad kasutajanime vastu admin 24/7.
  • Looge täiesti uus administraatori konto unikaalse kasutajanimega, logige sisse selle uue kontoga, minge Juhtpaneel > Kasutajad ja rühm (või Kasutajad) ja Keelake vaikeseade admin konto.
  • Lülitage sisse Kohustuslik 2-faktoriline autentimine (OTP / Passkey / Approve Sign-in) kõigi administraatorikontode jaoks.
  • 3. Lülita SISSE muutumatu (WORM) Hetketõmmised (7-to-14-Day Retention Lock):
  • Synology DSM 7.2+ puhul: avage Snapshot Replication > Snapshots > Settings > Schedule, lubage igapäevased hetktõmmised ja märkige ruut "Luba muutumatud hetktõmmised" kaitseperioodiga 7-14 päeva. Isegi kui häkker varastab teie juurparooli või kasutab DSM-i tuuma haavatavust, keegi (isegi mitte root) saab kustutada muutumatu hetktõmmise, kuni 7-päevane riistvarakell aegub.
  • QNAP QuTS hero / QTS puhul: seadistage Snapshot Replica Vault või lubage WORM (Write Once, Read Many) kriitiliste varujagamiste säilitamiseeskirjad ja veenduge, et valik „Broneeri hetktõmmise ruum” on lubatud.
  • 4. Piira SMB võrgu ühiskasutusõigusi (Least Privilege) Nii et sülearvuti infektsioon ei saa kogu NAS-i krüpteerida:
  • Ärge kunagi kaardistage oma NAS-i juhti admin mandaadid Windows File Exploreris (\\NAS\) igapäevastel sülearvutitel.
  • Igapäevaseks failidele juurdepääsuks looge tavaline mitteadministraatori kasutajakonto ja määrake oma arhiivi-/fotokaustad (näiteks 2010-2025 Family Photos Archive) kuni kirjutuskaitstud (ro) igapäevastele lauaarvutite kasutajatele, et kui pereliikme Windowsiga arvuti tabab lunavara, saab arvuti neid kaustu lugeda, kuid ei saa neid krüptida ega muuta.
  • 5. Lülita NAS-i sisseehitatud tulemüür SISSE (Allow LAN + Tailscale Subnets Only) ja automaatne blokeerimine:
  • Looge jaotises Synology juhtpaneel > Turvalisus > tulemüür (või QNAP QuFirewall) range lubamisloendi reegel, mis lubab ühendusi ainult teie kohalikust LAN-i alamvõrgust (192.168.1.0/24) ja teie Tailscale/VPN-i alamvõrk (100.64.0.0/10), millele järgneb alumine reegel Keela kõik. Isegi kui keegi kogemata pöörab UPnP Ruuteris uuesti sisse lülitatakse NAS-i enda sisemine paketifilter iga avaliku Interneti-paketi koheselt maha.
  • 6. Keela SSH (Port 22) ja Telnet (Port 23) Kui ei tegele aktiivselt tõrkeotsinguga:
  • Jätke SSH asendisse VÄLJAS asendisse Juhtpaneel > Terminal & SNMP tavalise igapäevase töö käigus; Lülitage see sisse ainult selleks 10 minutiks, mida vajate käsurea ülesande käivitamiseks, seejärel lülitage see kohe uuesti välja.
  • 7. Säilitage tõeline "3-2-1" õhuvahega / muutumatu pilvvarundus (Hyper Backup / HBS 3):
  • Jälgi meie arvuti varukoopiad ja 3-2-1 avariitaastejuhend: Synology seadistamine Hyper Backup või QNAP Hybrid Backup Sync (HBS 3) et suruda igaõhtused krüptitud, kliendipoolsed deduplikeeritud varukoopiad välisele USB-kõvakettale, mille te füüsiliselt lahti ühendate või objekti lukustatud (S3 Object Lock Compliance Mode) pilvekämber (Backblaze B2, Wasabi, või AWS S3), kasutades piiratud ainult lisamise API võtmeid.

Piirkondlikud hädaabinumbrid ja agentuuride protokollid

NAS-seadmetele suunatud lunavararünnakuid uurivad üle maailma riiklikud küberkuritegevuse agentuurid, kes haldavad arestitud dekrüpteerimisvõtmete hoidlaid (No More Ransom) ja jälgida kriminaalset infrastruktuuri:

  • Ameerika Ühendriigid ja Kanada:
  • Eluohutuse hädaolukord: helistage 911 kui lunavara häirib tervishoiu- või füüsilise turvalisuse süsteeme.
  • CISA ja FBI Interneti-kuritegevuse kaebuste keskus (IC3): teatage NAS-i lunavarakampaaniatest (DeadBolt, Akira, LockBit, Qlocker) kell stopransomware.gov, ic3.gov või helistage CISA-le numbril 1-844-Say-CISA (1-844-729-2472).
  • Kanada küberturvalisuse ja RCMP keskus: teatage aadressil cyber.gc.ca (1-833-CYBER-88) või Kanada pettustevastases keskuses.
  • Ühendkuningriik:
  • Hädaabiteenused: helistage 999 (või 101 mitte-kiirabipolitsei jaoks).
  • Action Fraud & NCSC: teatage lunavarajuhtumitest aadressil actionfraud.police.uk või helista 0300 123 2040 (24/7 reaalajas küberintsidentide liin). Väikeettevõtted ja heategevusorganisatsioonid saavad tutvuda NCSC küberintsidentidele reageerimisega (ncsc.gov.uk) portaal.
  • Euroopa Liit:
  • Hädaabiteenused: helistage 112 kõigis EL-i liikmesriikides.
  • Europoli Euroopa küberkuritegevuse keskus (EC3) & NoMoreRansom.org: Kontrolli nomoreransom.org (mida haldavad Hollandi riiklik politsei, Europol ja partneragentuurid) konfiskeeritud NAS-i lunavara dekrüpteerimisvõtmete eest ning teatage oma riiklikule CSIRT-ile ja andmekaitseasutusele (DPA 72 tunni jooksul, kui isikuandmed on GDPR-i alusel väljafiltreeritud või kadunud).
  • Austraalia ja Uus-Meremaa:
  • Hädaabiteenused: helistage 000 Austraalias või 111 Uus-Meremaal.
  • Austraalia küberturvakeskus (ACSC): helistage 24/7 Ransomware Hotline numbril 1300 CYBER1 (1300 292 371) või teatage aadressil cyber.gov.au.
  • CERT NZ: teatage aadressil cert.govt.nz.
  • India ja Aasia ja Vaikse ookeani piirkond:
  • India (CERT-In ja küberkuritegevuse abitelefon): helistage 1930 või teatage aadressil cybercrime.gov.in ja incident@cert-in.org.in.
  • Taiwan (TWCERT/CC, Synology, QNAP-i ja Asustori PSIRT-ide kodune jurisdiktsioon): saatke müüja turvaintsidentide piletid otse QNAP PSIRT-ile (service.qnap.com) või Synology PSIRT (synology.com/en-global/security/advisory).

Korduma kippuvad küsimused

Kuidas lunavara minu QNAP-i või Synology NAS-i nakatas, kui ma kunagi ühelgi andmepüügilingil ei klõpsanud ja mu arvutid on täiesti puhtad?

Teie NAS nakatus otse avalikust Internetist ilma teie arvuteid puudutamata. Kas teie Interneti-ruuteril oli UPnP (`Universal Plug and Play`) lubatud (võimaldab NAS-i funktsioonil "Automaatne ruuteri konfigureerimine / EZ-Internet / myQNAPcloud" porte vaikselt avada 8080, 443, 5000, 5001, või 22 tulemüüris) või edastasite käsitsi pordi, et oma failidele kaugjuurdepääsuks saada. Automaatsed robotvõrgud skannivad pidevalt kõiki Internetis olevaid avalikke IP-aadresse ja kasutavad ära parandamata turvaauke või nõrku kohti. admin paroolid avatud NAS-i veebiliidestel.

Kuidas teha kindlaks, kas lunavara jooksis otse minu NAS OS-is või mõnes mu Windowsi arvutis võrgujagamise kaudu?

Vaadake kolme näitajat: Esiteks, kui NAS-i veebihalduse sisselogimisekraan ise asendati lunarahaga (nagu DeadBolt) või kui ainult NAS-il on krüptitud failid, samal ajal kui kõik teie võrgu arvutid on puhtad, käivitatakse pahavara otse NAS-i Linuxi OS-is. Teiseks avage NAS-i ühenduse logi / SMB failiedastuslogi (Sünoloogias Logikeskus või QNAP QuLogi keskus): kui näete kohalikku LAN-i IP-aadressi (nt 192.168.1.24) sooritades kümneid tuhandeid kiireid Kirjutage / nimetage ümber / kustutage operatsioonid läbi SMB, seejärel arvuti aadressil 192.168.1.24 on nakatunud seade, mis krüpteerib teie NAS-i võrgu kaudu.

Miks tegi DeadBolt krüpteerida ainult oma suurte video- või andmebaasifailide algust ja kas ma saan siiski osaliselt krüptitud faile esitada või parandada?

Kümnete terabaitide NAS-i salvestusruumi krüptimiseks enne, kui omanik märkab kõvakettaid jahvatamas ja pistikust välja tõmbab, pingutab nagu DeadBolt ainult krüptida esimesed 512 kilobaiti (`524,288 bytes`) iga faili kohta ja lisage .sulgpolt laiendiga, jättes faili ülejäänud gigabaidid lihttekstis puutumata. Kuigi esimese 512 KB kaotamine hävitab väikesed dokumendid ja JPEG-fotod täielikult, suured mitme gigabaidised videofailid (`.mp4`, `.mov`, `.mkv`), töötlemata kaameramaterjali ja teatud virtuaalse masina kettakujutisi (`VMDK`/`VHDX`) või SQL-andmebaase saab sageli parandada siirdades ümber kehtiva konteineri päise (`moov` aatom) teisest videost, mis on salvestatud sama kaameraga, kasutades selliseid tööriistu nagu untrunc.

Kui ruuteri UPnP ja käsitsi pordi edastamine on täielikult välja lülitatud, on väljaminevad edastusteenused nagu Synology QuickConnect Relee ja myQNAPcloud Link on oluliselt turvalisemad kui avatud WAN-pordid, kuna need ei ava ruuteri tulemüüri kuulamisporte. Kuid need paljastavad endiselt teie NAS-i sisselogimiskuva (`DSM` / `QTS` veebi autentimise töötleja) kõigile, kes teavad või arvavad teie `QuickConnect ID`. Maksimaalse turvalisuse tagamiseks keelake avalik relee juurdepääs administraatoriliidesele ja kasutage Sabaskaala või WireGuard VPN selle asemel, mis nõuab krüptograafilise seadme autentimist enne üks HTTP-pakett võib jõuda isegi teie NAS-i veebiserverisse.

Kas ma peaksin maksma Bitcoini lunaraha DeadBolt, Qlocker, või eCh0raix kui mul pole varukoopiaid ega hetktõmmiseid?

Õiguskaitseorganid (`FBI`, `CISA`, `Europol`, `NCSC`) soovitab tungivalt mitte maksta lunaraha, kuna makseid rahastavad kuritegelikud sündikaadid ega garanteeri, et ründaja automatiseeritud dekrüpteerimisskript töötab faile rikkumata. Enne maksmise kaalumist: (1) Pildistage või säilitage draivid, et te ei saaks asju hullemaks muuta, (2) Kontrollige **`nomoreransom.org`** ja **`deadbolt.responders.nu`** et näha, kas õiguskaitseorganid on juba teie tüve peavõtme konfiskeerinud, (3) **`Qlocker`**, jookse**`PhotoRec` / `QRescue`** jaotamata kettaruumil (mis taastab sageli tasuta 60-90% kustutatud originaalidest) ja (4) `.mp4`/`.mov` videod, mida tabas osalise päise krüpteerimine, testige päise rekonstrueerimist `untrunc`.

Seotud juhendid

Allikad ja ametlikud juhised

  • Küberturvalisuse ja infrastruktuuri turvaagentuur (CISA) & Föderaalne Juurdlusbüroo (FBI) (StopRansomware.gov): Hoiatus võrguga ühendatud salvestusruumi kohta (NAS) Seadmed, mille sihtmärgiks on DeadBolt, Qlocker, eCh0raix ja Akira Ransomware.
  • Europoli Euroopa küberkuritegevuse keskus (EC3) ja Hollandi riiklik politsei (Politie) (NoMoreRansom.org): Operatsioon DeadBolt Key Seizure, eCh0raix Decryptor Repository ja Ransomware Mitigation Guidelines.
  • QNAP toote turvaintsidentidele reageerimise meeskond (QNAP PSIRT) & Synology turvalisuse nõuandekogu: tehnilised bülletäänid ruuteri UPnP keelamise, kaaperdatud administraatorikonsoolide taastamise kohta, QRescue (PhotoRec) Jaotamata taastamine ja muutumatu lubamine WORM Hetkevõtted.
  • Riiklik küberjulgeolekukeskus (NCSC) (Ühendkuningriik): Pahavara ja lunavara leevendamine võrgusalvestusseadmetes ja väikestes kontoriseadmetes.