باج افزار در NAS خانه یا دفتر (Synology/QNAP): توقف رمزگذاری و قرار گرفتن در معرض UPnP¶

Hearing the hard drives inside your Network-Attached Storage (NAS) appliance (Synology DiskStation، QNAP Turbo NAS، TrueNAS، Asustor، TerraMaster، یا Western Digital My Cloud) thrashing continuously at 100 percent disk utilization while shared folders fill up with .deadbolt، .ech0raix، .qlocker، .7z، .lockbit، یا .encrypt file extensions (or seeing your NAS web login screen replaced by a Bitcoin ransom demand) is a critical storage emergency. NAS appliances are prized targets for automated internet-wide ransomware botnets (DeadBolt، Qlocker، eCh0raix / QNAPCrypt، AgeLocker، Chatterbox، و Akira) because a single unpatched NAS often holds 10 to 100 terabytes of a family's or small business's entire digital life and is frequently exposed directly to the public internet without the owner realizing it via Router UPnP (Universal Plug and Play) Auto-Port-Forwarding or vendor cloud-relay services (myQNAPcloud، Synology QuickConnect، EZ-Internet). Before you yank the AC power cord out of the wall, you must make a crucial 10-second architectural decision based on whether your NAS uses Copy-on-Write snapshots (Btrfs یا ZFS) or a traditional RAID array; for non-ransomware disk array crashes, consult NAS RAID array degraded, multiple drive failure, and ZFS/Btrfs recovery, and for PC-based ransomware infections, see malware, ransomware, and spyware infection as well as securing home routers and IoT devices. If the ransomware impacts hospital operations, municipal emergency services, or physical safety infrastructure, call your local emergency number (911 در ایالات متحده و کانادا، 112 در سراسر اتحادیه اروپا، 999 in the United Kingdom) or consult our directory of international شماره های اضطراری.

همین الان این کار را بکن¶

1. Pull the physical Ethernet (RJ45 / 10GbE) network cable(s) out of the back of the NAS RIGHT NOW, before touching the power cord:
2. Unplugging the Ethernet cable(s) immediately severs the attacker's interactive SSH/HTTP command-and-control session, stops the NAS from downloading secondary encryption payloads, and, equally important, instantly stops an infected desktop PC on your local office LAN from encrypting your NAS over SMB/CIFS network shares (\\NAS\Share).
3. Determine in 15 seconds whether to cut power or halt the encryption process cleanly:
4. Scenario A: The ransomware is running ON a desktop PC on your LAN and encrypting NAS files over an SMB/Mapped Network Drive: Simply pulling the NAS Ethernet cable in Step 1 already stopped 100% of the encryption on the NAS. Leave the NAS powered on so its RAID array and filesystem remain clean, and go isolate the infected Windows/Mac workstation.
5. Scenario B: The ransomware binary is executing directly INSIDE the NAS Linux operating system itself (DeadBolt، Qlocker، eCh0raix):
   • If you do not have Btrfs یا ZFS snapshots enabled (for example, an older ext4 volume) and the drives are actively grinding as the NAS encrypts your only copy of the files, press and hold the physical front Power Button on the NAS for 5 to 10 seconds to force an immediate hard power-off (or pull the DC/AC power plug if the button is unresponsive). Every minute the NAS stays powered on lets its CPU encrypt another 5 to 20 gigabytes of your files.
   • Important caveat (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware strains like Qlocker (which moves files into password-protected .7z archives using 7z) و DeadBolt sometimes keep active encryption state or decryption keys in /tmp (RAM) or hijack the web UI binary (/home/httpd/index.html). If you still have an open local SSH root shell into the NAS, check ps aux و /tmp before powering off (see Phase 2 below).
6. Log into your internet router / firewall (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP gateway) immediately and turn OFF UPnP (Universal Plug and Play) AND delete all WAN Port Forwarding rules pointing to your NAS:
7. Over 80 percent of home and small-office NAS ransomware infections happen because the user clicked "Auto Router Configuration / EZ-Internet / UPnP" during initial setup, which silently instructed the home router to open TCP ports 5000، 5001، 8080، 8443، 443، 22 (SSH), or 445 (SMB) directly to the entire public internet (Shodan.io / Censys).
8. Disable UPnP permanently in your router's WAN/NAT settings and delete every port-forwarding rule pointing to the NAS's local IP address.
9. قبل از بررسی اینکه آیا باج‌افزار فقط پارتیشن سیستم‌عامل یا حجم داده‌ها را ربوده است، «Reset/Install DSM or QTS» را روی دیسک‌های سخت مقداردهی اولیه، فرمت مجدد یا اجرا نکنید:
10. در حملاتی مانند DeadBolt، بدافزار صفحه ورود به وب NAS را بازنویسی می کند (index.html) برای نمایش یک یادداشت باج در تمام صفحه که دسترسی به داشبورد مدیریت QNAP/Synology را مسدود می کند، حتی زمانی که زمینه شما وجود دارد Btrfs / ZFS عکس های فوری یا فایل های ویدیویی بزرگ (بیش از 20 مگابایت) هنوز 100 درصد روی درایوها دست نخورده هستند.
11. ** بررسی کنید که آیا NAS شما دارد یا خیر Btrfs (Synology Snapshot Replication) ZFS (TrueNAS / QuTS hero) یا LVM عکس های فوری سطح بلوک (QNAP Storage & Snapshots)**:
12. چون Btrfs و ZFS عکس های فوری در لایه بلوک فایل سیستم (و Synology) فقط خواندنی هستند WORM / عکس های فوری غیرقابل تغییر حتی توسط یک در معرض خطر حذف نمی شوند root حساب مدیر)، ** اغلب می توانید 100 درصد پوشه های رمزگذاری شده مشترک خود را در 60 ثانیه با از دست دادن داده ها و باج صفر پرداخت کنید**.
13. قبل از پرداخت هر گونه باج، نوع دقیق باج افزار را شناسایی کنید ID Ransomware (id-ransomware.malwarehunterteam.com) و No More Ransom (nomoreransom.org):
14. چندین گونه اصلی باج افزار NAS (eCh0raix / QNAPCrypt، اوایل Qlocker از طریق photorec / qrescue استخراج سیاهههای مربوط، Muhstik، و SynoLocker) دارای **رمزگشاهای عمومی رایگان یا روش های استخراج کلید پزشکی قانونی ** منتشر شده توسط محققان امنیتی و اجرای قانون.

درخت تصمیم: تریاژ و مسیر بازیابی فوری باج افزار NAS¶

از این گردش کار برای تعیین اینکه آیا حمله از یک رایانه LAN یا مستقیماً روی NAS سرچشمه گرفته است، استفاده کنید و ایمن ترین روش بازیابی را انتخاب کنید:

flowchart TD
    Symptom["درایوهای NAS 100% آسیاب می‌شوند + فایل‌های تغییر نام یافته (deadbolt، .7z، .ech0raix، lockbit.) یا رابط کاربری وب، صفحه باج‌گیری را نشان می‌دهد"] --> PullLAN["مرحله 1 (در عرض 5 ثانیه): تمام کابل های اترنت را از پشت NAS جدا کنید"]

    PullLAN --> SourceCheck{"آیا رمزگذاری بلافاصله کابل اترنت NAS را قطع کرد؟"}

    SourceCheck -->|"بله: وقتی شبکه LAN قطع شد، فعالیت دیسک به صفر رسید"| SMBVector["منبع الف: باج‌افزار روی رایانه‌های Windows/Mac در شبکه شما اجرا می‌شود و پوشه‌های مشترک را از طریق SMB رمزگذاری می‌کند."]

    SourceCheck -->|"خیر: هارد دیسک‌های NAS با قطع اترنت به کار خود ادامه می‌دهند (یا خود صفحه ورود به وب NAS با صفحه Ransom جایگزین شده است)"| DirectNAS["منبع B: باج‌افزار باینری مستقیماً در داخل سیستم‌عامل NAS اجرا می‌شود (از طریق پورت‌های UPnP/WAN در معرض 5000، 5001، 8080، 443، 22 مورد سوء استفاده قرار می‌گیرد)"]

    SMBVector --> IsolatePC["کامپیوتر آلوده را در شبکه محلی خود پیدا و جدا کنید -> پوشه های مشترک NAS را از Btrfs / ZFS / QNAP Snapshots یا Hyper Backup بازیابی کنید"]

    DirectNAS -->SSHCheck{"آیا یک جلسه SSH محلی فعال باز دارید (یا Qlocker 7z اجرا می شود)؟"}

    SSHCheck -->|"بله (Qlocker / Active 7z Process)"| GrabPass["ps aux | grep 7z در SSH برای گرفتن رمز عبور 7-زیپ متن ساده از خط فرمان Args قبل از فرآیند کشتن"]
    SSHCheck -->|"بدون SSH / دیسک سنگ زنی ناشناخته"| PowerOff["دکمه پاور NAS را 5 تا 10 ثانیه نگه دارید تا اجباری خاموش شود و فایل های رمزگذاری نشده و فضای آزاد حفظ شود."]

    GrabPass --> KillUPnP["مرحله 2: وارد روتر شوید -> UPnP را برای همیشه غیرفعال کنید + همه قوانین انتقال پورت را حذف کنید (5000، 5001، 8080، 443، 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"چه دارایی های بازیابی در NAS وجود دارد؟"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots ارائه می شود"| SnapRestore["پاک کردن پارتیشن سیستم عامل / به‌روزرسانی میان‌افزار -> بازگرداندن پوشه‌های اشتراک‌گذاری شده برای عکس فوری قبل از حمله"]
    RecoveryPath -->|"USB خارجی / پشتیبان‌گیری ابری خارج از سایت (Hyper Backup / HBS 3)"| BackupRestore["پاک کردن و بازسازی NAS در سیستم عامل وصله شده -> بازیابی از پشتیبان گیری آفلاین/کلود"]
    RecoveryPath -->|"بدون عکس فوری و بدون پشتیبان"| ForensicCarve["درایوهای Clone فقط خواندنی -> NoMoreRansom.org را بررسی کنید + اجرای PhotoRec / QRescue Unallocated Carving (به ویژه در برابر Qlocker موثر است)"]

چگونه باج افزار NAS نفوذ می کند: دو بردار حمله¶

قبل از اینکه NAS خود را مجدداً به سوئیچ شبکه محلی خود وصل کنید، باید بدانید که کدام یک از دو بردار ورودی کاملاً متفاوت به باج‌افزار اجازه ورود به حجم ذخیره‌سازی شما را داده است:

فاز 1: خاموش کردن قرار گرفتن در معرض اینترنت (Router UPnP، Port Forwardingو رله های ابری)¶

اگر NAS خود را بدون بستن سوراخ شبکه روی روتر خود تمیز یا بازیابی کنید، بات‌نت‌های خودکار که آدرس IP عمومی شما را اسکن می‌کنند، NAS را در عرض چند ساعت پس از بازگرداندن آنلاین مجدداً آلوده می‌کنند. ابتدا این قفل شبکه روتر خود را کامل کنید:

1. ** وارد روتر اینترنت / کنسول مدیریت فایروال خود شوید**:
2. Open a browser on a clean computer or phone and navigate to your router's gateway IP (typically 192.168.1.1، 192.168.0.1، 10.0.0.1, or via your mesh router app like UniFi، Eero، Google Home، TP-Link Deco، ASUS Router، Netgear Nighthawk).
3. Disable UPnP (Universal Plug and Play) Permanently:
4. Navigate to Advanced > NAT Forwarding / WAN / Network > UPnP and toggle UPnP to OFF / Disabled.
5. Why UPnP is so dangerous for NAS owners: When UPnP is enabled on your router, any device on your local network (including your NAS's "EZ-Internet" or "Auto Router Configuration" wizard, or malware on a smart TV) can silently send an IGD (Internet Gateway Device) request to your router saying "Open external WAN Port 8080 and 5001 to my local IP 192.168.1.50", bypassing your firewall without ever asking for your router password.
6. Delete All Manual Port Forwarding (Virtual Server) & DMZ Rules Pointing to the NAS:
7. Go to Advanced > NAT Forwarding > Port Forwarding (or Virtual Servers) and delete every rule forwarding TCP or UDP ports (80، 443، 5000، 5001، 8080، 8443، 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex if unneeded) to your NAS IP.
8. Check Advanced > DMZ and verify that DMZ Host is Disabled (placing a NAS IP in a router's DMZ exposes all 65,535 TCP and UDP ports of the NAS directly to the public internet).
9. Verify from Outside Your Network That Zero NAS Ports Are Open:
10. Visit shodan.io یا grc.com (ShieldsUP) or run a port scan against your public WAN IP address to confirm that ports 5000، 5001، 8080، 8443، 443، و 22 now return Filtered / Stealth / Closed.

Phase 2: Strain-Specific Emergency Triage (Qlocker، DeadBolt، eCh0raix)¶

Before you wipe the NAS or pay a ransom, check which specific NAS ransomware strain hit your device. Each major NAS family has unique technical weaknesses that allow partial or total data recovery without paying:

1. If Your Files Were Replaced with .7z Archives (Qlocker on QNAP / Linux NAS)¶

How Qlocker works: Instead of writing a custom cryptographic engine, Qlocker اسکریپتی را اجرا می کند که داخلی NAS را فراخوانی می کند 7-Zip (/usr/local/sbin/7z) باینری برای فشرده سازی هر فایل به یک رمز محافظت شده .7z آرشیو و سپس لینوکس معمولی را اجرا می کند rm (unlink) در فایل اصلی. - ** ترفند تریاژ شماره 1 (دریافت رمز عبور زنده ps aux قبل از خاموش کردن): اگر Qlocker در حال حاضر هنوز در NAS شما در حال اجراست و می توانید از طریق SSH به صورت محلی وارد شوید (ssh admin@nas-local-ip)، این دستور را بلافاصله قبل از خاموش کردن اجرا کنید:

ps aux | grep 7z

2. اگر صفحه ورود به سیستم NAS شما توسط صفحه جایگزین شده بود DeadBolt صفحه باج (.deadbolt فایل ها)¶

How DeadBolt آثار: 1. DeadBolt جایگزین می کند /home/httpd/index.html (یا /home/httpd/cgi-bin/index.cgi) با صفحه باینری/HTML مخصوص به خود که هر زمان که بخواهید داشبورد QNAP QTS / Asustor ADM را باز کنید، مرورگر وب شما را ربوده و در ازای یک کلید رمزگشایی اصلی 32 کاراکتری هگزا (که از طریق بیت‌کوین زنجیره‌ای ارائه می‌شود، بیت کوین درخواست می‌کند). OP_RETURN معامله). 2. چگونه بدون از دست دادن اطلاعات خود به داشبورد مدیریت QNAP QTS / QuTS قهرمان خود دسترسی پیدا کنید: - گزینه A (در صورت فعال بودن از طریق SSH محلی): SSH به صورت محلی به NAS (ssh admin@<nas-ip>) سرکش را متوقف کنید deadbolt در صورت اجرا شدن را پردازش کنید و اسکریپت رسمی بازیابی سیستم عامل QNAP را اجرا کنید یا نسخه اصلی را بازیابی کنید /home/httpd/index.html از تصویر رام سیستم فقط خواندنی (/mnt/HDA_root/update_pkg/). - گزینه B (فلش سفت‌افزار بدون دیسک + نصب مجدد Hot-Plug): 1. NAS را خاموش کنید. 2. همه هارد درایوها را به اندازه 2 سانتی متر (1 اینچ) به بیرون بکشید تا از صفحه پشتی جدا شوند (ترتیب درایو آنها را با دقت ابتدا با نوار نقاش شماره گذاری کنید). 3. NAS بدون هارد دیسک را روشن کنید، IP آن را از طریق Qfinder Pro پیدا کنید، وقتی در صفحه راه اندازی از شما خواسته شد، درایوها را به محل دقیق خود وصل کنید و "فقط به روز رسانی سیستم عامل (همه داده ها و تنظیمات را حفظ کنید)" را انتخاب کنید (هرگز روی "Initialize System" کلیک نکنید، که درایوها را پاک می کند). 3. نکته مهم رمزگشایی نیروی انتظامی در DeadBolt: In coordinated operations led by the Dutch National Police (Politie), Europol (No More Ransom), and Responders.nu, law enforcement successfully tricked the DeadBolt threat actors during a mempool fee spike into releasing over 150 master decryption keys before the attackers' low-fee Bitcoin transactions were canceled via Replace-By-Fee. Check deadbolt.responders.nu و nomoreransom.org to see if your specific DeadBolt victim address key was captured by police.

3. If Your Files End in .encrypt (eCh0raix / QNAPCrypt)¶

• Several generations of eCh0raix (QNAPCrypt) used flawed AES key derivation or had their command-and-control (C2) database seized by security researchers and law enforcement.
• Visit nomoreransom.org and upload two encrypted files (or the ransom note README_FOR_DECRYPT.txt) to test the free Bitdefender / NoMoreRansom eCh0raix Decryptor before wiping anything.

Phase 3: Restoring Your Files from Btrfs، ZFS، یا QNAP Snapshots in 60 Seconds¶

If your NAS was encrypted by Vector #2 (a ransomware-infected PC on your LAN encrypting shared folders over SMB), or if you had Immutable (WORM) Snapshots or untouched LVM/Btrfs/ZFS Snapshots during a direct NAS attack, you can restore 100 percent of your files immediately:

1. Synology DiskStation (DSM 7.x with Btrfs Snapshot Replication)¶

1. First, verify that the infected PC on your LAN is disconnected from the network, and update Synology DSM to the latest release under Control Panel > Update & Restore.
2. Open the Snapshot Replication package inside Synology DSM.
3. Click Recovery in the left sidebar.
4. Select the encrypted Shared Folder (or iSCSI LUN) and click Recover.
5. Browse the list of scheduled snapshots (GMT+...) and select the snapshot taken immediately before the ransomware encryption started (check Action > Browse first to preview the files inside that snapshot and confirm they are clean and unencrypted).
6. Click Action > Restore to this snapshot (or Clone with a new name if you want to keep the encrypted folder untouched for forensic evidence while immediately mounting a clean copy of the shared folder).
7. چون Btrfs is a Copy-on-Write (CoW) filesystem, rolling back a 20-terabyte shared folder to a pre-attack snapshot takes less than 10 seconds.

2. QNAP NAS (QTS Block-Level LVM Snapshots & QuTS hero ZFS Snapshots)¶

1. Once QTS/QuTS hero is patched and isolated from the WAN, open Storage & Snapshots.
2. Go to Storage > Storage/Snapshots, select your affected Thick Volume, Thin Volume, or ZFS Shared Folder, and click Snapshot Manager (the camera icon).
3. Select the last clean snapshot taken prior to the attack timestamp.
4. Browse the folder tree inside the right pane to verify your files are intact, then click Revert Volume Snapshot (or select all folders and click Restore to overwrite only the encrypted files).

3. TrueNAS (CORE / SCALE در ZFS) و Unraid (ZFS / Btrfs)¶

• On TrueNAS (ZFS): Go to Storage > Snapshots (or Data Protection > Periodic Snapshot Tasks), find the clean snapshot (tank/share@auto-2026-10-31_12-00), and click Rollback (or clone the snapshot to a new dataset zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered so you never lose newer intermediate snapshots).

Phase 4: Hardening Your NAS So It Can Never Be Encrypted Again (The 7-Point Checklist)¶

Once your data is recovered, apply these seven mandatory configuration rules on your Synology, QNAP, TrueNAS, or Asustor appliance before reconnecting it to the network:

• 1. Never Forward Any Port on Your Router to Your NAS: Use Tailscale یا WireGuard VPN Instead:
• بسته رسمی Tailscale را از مرکز بسته Synology / مرکز برنامه QNAP نصب کنید (یا سرور WireGuard VPN داخلی روتر خود را اجرا کنید).
• Tailscale یک تونل مش رمزگذاری شده WireGuard با پیکربندی صفر ایجاد می کند (100.x.y.z) بین تلفن، لپ تاپ و NAS با پورت های باز صفر در فایروال روتر خانگی شما. می‌توانید از هر کجای دنیا به عکس‌ها، فایل‌ها و صفحه مدیریت NAS خود دسترسی داشته باشید، در حالی که NAS شما 100% برای اسکنرهای اینترنتی مانند نامرئی باقی می‌ماند. Shodan.
• 2. پیش فرض داخلی را غیرفعال کنید admin حساب کاربری و ایجاد یک مدیر با نام سفارشی با Mandatory 2FA:
• هم Synology DSM و هم QNAP QTS با یک حساب پیش فرض به نام ** ارسال می شوند.admin** (UID 1024 یا UID 0). ربات‌های brute-force خودکار نام کاربری را چکش می‌کنند admin 24/7.
• یک حساب کاربری جدید با یک نام کاربری منحصر به فرد ایجاد کنید، با آن حساب جدید وارد شوید، به کنترل پنل > کاربر و گروه (یا کاربران) بروید و ** پیش فرض را غیرفعال کنید. admin حساب **.
• ** احراز هویت اجباری دو مرحله ای (OTP / Passkey / Approve Sign-in)** برای همه حساب های سرپرست.
• 3. غیر قابل تغییر (WORM) عکس های فوری (7-to-14-Day Retention Lock):
• در Synology DSM 7.2+: Snapshot Replication > Snapshots > Settings > Schedule را باز کنید، عکس های فوری روزانه را فعال کنید و "Enable snapshots inmutable" را با دوره حفاظت 7 تا 14 روز علامت بزنید. حتی اگر یک هکر رمز عبور ریشه شما را بدزدد یا از یک آسیب پذیری هسته در DSM سوء استفاده کند، هیچ کس (حتی root) می تواند یک عکس فوری غیرقابل تغییر را حذف کند تا زمانی که ساعت سخت افزاری 7 روزه منقضی شود.
• در QNAP QuTS hero / QTS: یک Snapshot Replica Vault را پیکربندی کنید یا WORM (Write Once, Read Many) خط‌مشی‌های حفظ در اشتراک‌های پشتیبان حیاتی، و مطمئن شوید "Reserve Snapshot Space" فعال باشد.
• 4. محدود کردن مجوزهای اشتراک شبکه SMB (Least Privilege) بنابراین عفونت لپ تاپ نمی تواند کل NAS را رمزگذاری کند:
• هرگز استاد NAS خود را نقشه نکشید admin اعتبار در داخل Windows File Explorer (\\NAS\) در لپ تاپ های روزمره.
• یک حساب کاربری استاندارد غیر ادمین برای دسترسی روزانه به فایل ایجاد کنید و پوشه های آرشیو/عکس خود را تنظیم کنید (به عنوان مثال، 2010-2025 Family Photos Archive) به ** فقط خواندنی (ro)** برای کاربران روزانه دسکتاپ، به طوری که اگر رایانه شخصی ویندوز یکی از اعضای خانواده باج افزار را پیدا کند، رایانه می تواند آن پوشه ها را بخواند اما نمی تواند آنها را رمزگذاری یا تغییر دهد.
• **5. فایروال داخلی NAS را روشن کنید (Allow LAN + Tailscale Subnets Only) و مسدود کردن خودکار **:
• در داخل کنترل پنل Synology > امنیت > فایروال (یا QNAP QuFirewall)، یک قانون لیست مجاز سختگیرانه ایجاد کنید که به اتصالات اجازه می دهد فقط از زیر شبکه LAN محلی خود (192.168.1.0/24) و زیرشبکه Tailscale/VPN شما (100.64.0.0/10)، به دنبال آن یک قانون پایین تنظیم شده است به ** رد همه **. حتی اگر کسی به طور تصادفی بچرخد UPnP دوباره در روتر، فیلتر بسته داخلی خود NAS هر بسته اینترنت عمومی را فورا حذف می کند.
• 6. غیرفعال کردن SSH (Port 22) و Telnet (Port 23) هنگامی که به طور فعال عیب یابی نمی شود:
• SSH را خاموش*** در داخل کنترل پنل > ترمینال و SNMP در طول کارکرد عادی روزانه بگذارید. فقط برای 10 دقیقه ای که برای اجرای یک وظیفه خط فرمان نیاز دارید، آن را روشن کنید، سپس آن را مستقیماً خاموش کنید.
• 7. پشتیبان گیری ابری با شکاف هوا / غیرقابل تغییر واقعی "3-2-1" (Hyper Backup / HBS 3):
• ما را دنبال کنید پشتیبان گیری کامپیوتر و راهنمای بازیابی فاجعه 3-2-1: پیکربندی Synology Hyper Backup یا QNAP Hybrid Backup Sync (HBS 3) برای فرستادن پشتیبان‌های پشتیبان‌گیری حذف‌شده رمزگذاری‌شده شبانه به یک دیسک سخت USB خارجی که به‌طور فیزیکی آن را جدا می‌کنید یا به یک شخص قفل شده (S3 Object Lock Compliance Mode) سطل ابر (Backblaze B2، Wasabi، یا AWS S3) با استفاده از کلیدهای API فقط ضمیمه محدود.

شماره های اضطراری منطقه ای و پروتکل های آژانس¶

حملات باج‌افزاری که دستگاه‌های NAS را هدف قرار می‌دهند توسط آژانس‌های ملی جرایم سایبری در سراسر جهان، که مخازن کلیدهای رمزگشایی ضبط شده را نگهداری می‌کنند، بررسی می‌شوند.No More Ransom) و زیرساخت های جنایی را ردیابی کنید:

• ایالات متحده و کانادا:
• قطع اضطراری ایمنی زندگی: شماره گیری 911 اگر باج افزار سیستم های مراقبت های بهداشتی یا ایمنی فیزیکی را مختل کند.
• ** مرکز شکایت جرایم اینترنتی CISA و FBI (IC3)**: گزارش کمپین های باج افزار NAS (DeadBolt، Akira، LockBit، Qlocker) at stopransomware.gov، ic3.gov, or call CISA at 1-844-Say-CISA (1-844-729-2472).
• Canadian Centre for Cyber Security & RCMP: Report at cyber.gc.ca (1-833-CYBER-88) or the Canadian Anti-Fraud Centre.
• بریتانیا:
• خدمات اورژانس: شماره گیری 999 (یا 101 برای پلیس غیر اورژانس).
• Action Fraud & NCSC: Report ransomware incidents at actionfraud.police.uk یا تماس بگیرید 0300 123 2040 (24/7 live cyber incident line). Small businesses and charities can consult the NCSC Cyber Incident Response (ncsc.gov.uk) پورتال.
• اتحادیه اروپا:
• خدمات اورژانس: شماره گیری 112 در تمام کشورهای عضو اتحادیه اروپا.
• مرکز جرایم سایبری اروپا یوروپل (EC3) & NoMoreRansom.org: بررسی کنید nomoreransom.org (که توسط پلیس ملی هلند، یوروپل و آژانس‌های شریک نگهداری می‌شود) برای کلیدهای رمزگشایی باج‌افزار NAS توقیف شده، و به CSIRT ملی و سازمان حفاظت از داده گزارش دهید (DPA within 72 hours if personal data was exfiltrated or lost under GDPR).
• استرالیا و نیوزلند:
• خدمات اورژانس: شماره گیری 000 در استرالیا یا 111 در نیوزلند.
• Australian Cyber Security Centre (ACSC): Call the 24/7 Ransomware Hotline at 1300 CYBER1 (1300 292 371) یا گزارش در cyber.gov.au.
• CERT NZ: گزارش در cert.govt.nz.
• هند و آسیا و اقیانوسیه:
• هند (CERT-In خط کمک و جرایم سایبری): شماره گیری 1930 یا گزارش در cybercrime.gov.in و incident@cert-in.org.in.
• تایوان (TWCERT/CC, home jurisdiction of Synology, QNAP, and Asustor PSIRTs): Submit vendor security incident tickets directly to QNAP PSIRT (service.qnap.com) or Synology PSIRT (synology.com/en-global/security/advisory).

سوالات متداول¶

How did ransomware infect my QNAP or Synology NAS when I never clicked any phishing link and my computers are completely clean?¶

Your NAS was infected directly from the public internet without touching your computers. Either your internet router had UPnP (`Universal Plug and Play`) enabled (allowing the NAS's "Auto Router Configuration / EZ-Internet / myQNAPcloud" feature to silently open ports 8080، 443، 5000، 5001، یا 22 در فایروال خود)، یا به صورت دستی یک پورت را برای دسترسی به فایل های خود از راه دور ارسال کردید. بات نت های خودکار به طور مداوم هر آدرس IP عمومی را در اینترنت اسکن می کنند و از آسیب پذیری های اصلاح نشده یا ضعیف سوء استفاده می کنند. مدیر رمزهای عبور در رابط های وب NAS در معرض نمایش

چگونه می توانم تشخیص دهم که باج افزار مستقیماً در داخل سیستم عامل NAS من در مقابل یکی از رایانه های ویندوزی من از طریق اشتراک شبکه اجرا می شود؟¶

به سه شاخص نگاه کنید: اول، اگر خود صفحه ورود به سیستم مدیریت وب NAS با یک یادداشت باج (مانند DeadBolt)، یا اگر فقط NAS فایل های رمزگذاری شده را در حالی که هر رایانه شخصی در شبکه شما تمیز است داشته باشد، بدافزار مستقیماً در سیستم عامل لینوکس NAS اجرا می شود. دوم، باز کنید گزارش اتصال NAS / گزارش انتقال فایل SMB (در سینولوژی مرکز ورود به سیستم یا QNAP مرکز QuLog): اگر یک آدرس IP محلی LAN (مانند 192.168.1.24) انجام ده ها هزار سریع نوشتن / تغییر نام / حذف عملیات به پایان رسید SMB، سپس کامپیوتر در 192.168.1.24 دستگاه آلوده ای است که NAS شما را از طریق شبکه رمزگذاری می کند.

چرا کرد DeadBolt فقط ابتدای فایل های ویدیویی یا پایگاه داده بزرگ من را رمزگذاری می کند، و آیا هنوز هم می توانم فایل های رمزگذاری شده نیمه رمزگذاری شده را پخش یا تعمیر کنم؟¶

برای رمزگذاری ده‌ها ترابایت فضای ذخیره‌سازی NAS قبل از اینکه مالک متوجه شود هارد دیسک‌ها در حال چرخش هستند و دوشاخه را بکشد، فشارهایی مانند DeadBolt فقط رمزگذاری کنید 512 کیلوبایت اول (`524,288 bytes`) از هر فایل و ضمیمه .ددبولت پسوند، گیگابایت های باقی مانده از فایل را در متن ساده دست نخورده باقی می گذارد. در حالی که از دست دادن 512 کیلوبایت اول اسناد کوچک و عکس های JPEG را به طور کامل از بین می برد. فایل های ویدیویی بزرگ چند گیگابایتی (`.mp4`، `.mov`، `.mkv`)، فیلم خام دوربین، و برخی تصاویر دیسک ماشین مجازی (`VMDK`/`VHDX`) یا پایگاه داده های SQL اغلب قابل تعمیر هستند با پیوند یک هدر ظرف معتبر (`moov` atom) از ویدیوی دیگری که با همان دوربین با استفاده از ابزارهایی مانند untrunch.

سینولوژی است QuickConnect یا myQNAPcloud Link اگر مسیریاب UPnP و پورت فورواردینگ را خاموش کنم، ایمن است که فعال شود؟¶

با روتر UPnP و ارسال دستی پورت کاملاً خاموش، خدمات رله خروجی مانند Synology رله QuickConnect و پیوند myQNAPcloud به طور قابل توجهی ایمن تر از پورت های WAN باز هستند زیرا درگاه های گوش دادن را در فایروال روتر شما باز نمی کنند. با این حال، آنها همچنان صفحه ورود به سیستم NAS شما را نشان می دهند (`DSM` / `QTS` کنترل کننده احراز هویت وب) به هر کسی که شما را می شناسد یا حدس می زند `QuickConnect ID`. برای حداکثر امنیت، دسترسی رله عمومی به رابط مدیریت را غیرفعال کنید و از آن استفاده کنید مقیاس دم یا WireGuard VPN در عوض، که به احراز هویت دستگاه رمزنگاری نیاز دارد قبل از حتی یک بسته HTTP می تواند به وب سرور NAS شما برسد.

آیا باید باج بیت کوین را پرداخت کنم؟ DeadBolt، Qlocker، یا eCh0raix اگر پشتیبان و عکس فوری نداشته باشم؟¶

سازمان های مجری قانون (`FBI`، `CISA`، `Europol`، `NCSC`) اکیداً از پرداخت باج توصیه می‌کنیم، زیرا پرداخت به سندیکاهای جنایتکار کمک مالی می‌کند و هیچ تضمینی ندارد که اسکریپت رمزگشایی خودکار مهاجم بدون خراب کردن فایل‌ها کار کند. قبل از اینکه به پرداخت فکر کنید: (1) درایوها را تصویر کنید یا حفظ کنید تا نتوانید اوضاع را بدتر کنید، (2) بررسی کنید **`nomoreransom.org`** و **`deadbolt.responders.nu`** برای دیدن اینکه آیا مجری قانون قبلاً کلید اصلی را برای فشار شما ضبط کرده است یا خیر، (3) برای **`Qlocker`**، اجرا **`PhotoRec` / `QRescue`** در فضای دیسک اختصاص داده نشده (که اغلب 60٪ تا 90٪ از نسخه های اصلی حذف شده را به صورت رایگان بازیابی می کند) و (4) برای بزرگ `.mp4`/`.mov` ویدیوها با رمزگذاری هدر جزئی، آزمایش بازسازی هدر با `untrunc`.

راهنماهای مرتبط¶

• آلودگی بدافزار، باج افزار و جاسوس افزار: مهار و بازیابی فوری
• ایمن سازی روترهای خانگی و دستگاه های اینترنت اشیا
• NAS RAID array degraded, multiple drive failure, and ZFS/Btrfs recovery
• پشتیبان گیری کامپیوتر، استراتژی 3-2-1 و بازیابی فاجعه
• وصله‌سازی اضطراری و ایزوله‌سازی دستگاه پایان عمر بهره‌برداری صفر روز
• شماره های اضطراری بر اساس کشور

منابع و راهنمای رسمی¶

• آژانس امنیت سایبری و امنیت زیرساخت (CISA) و اداره فدرال تحقیقات (FBI) (StopRansomware.gov): هشدار در مورد ذخیره سازی متصل به شبکه (NAS) لوازم مورد هدف DeadBolt، Qlocker، eCh0raix و Akira Ransomware.
• مرکز اروپایی جرایم سایبری یوروپل (EC3) و پلیس ملی هلند (Politie) (NoMoreRansom.org): عملیات DeadBolt Key Seizure، مخزن رمزگشا eCh0raix، و دستورالعمل های کاهش باج افزار.
• تیم پاسخگویی به حوادث امنیت محصول QNAP (QNAP PSIRT) و هیئت مشاوره امنیت Synology: بولتن های فنی در مورد غیرفعال کردن روتر UPnP، بازیابی کنسول های مدیریت ربوده شده، QRescue (PhotoRec) Unallocated Recovery و Enabling Immutable WORM عکس های فوری.
• مرکز ملی امنیت سایبری (NCSC) (بریتانیا): کاهش بدافزار و باج افزار در فضای ذخیره سازی شبکه و لوازم اداری کوچک.