घर या कार्यालय पर रैनसमवेयर NAS (Synology/QNAP): एन्क्रिप्शन और UPnP एक्सपोज़र को रोकना¶

आपके नेटवर्क-अटैच्ड स्टोरेज के अंदर हार्ड ड्राइव को सुनना (NAS) उपकरण (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, या Western Digital My Cloud) साझा फ़ोल्डर भरते समय 100 प्रतिशत डिस्क उपयोग पर लगातार थ्रैशिंग .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, या .encrypt फ़ाइल एक्सटेंशन (या आपके NAS वेब लॉगिन स्क्रीन को बिटकॉइन फिरौती मांग द्वारा प्रतिस्थापित देखना) एक महत्वपूर्ण भंडारण आपातकाल है। NAS उपकरण स्वचालित इंटरनेट-वाइड रैंसमवेयर बॉटनेट के लिए बेशकीमती लक्ष्य हैं (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, और Akira) क्योंकि एक एकल अनपैच्ड एनएएस अक्सर एक परिवार या छोटे व्यवसाय के संपूर्ण डिजिटल जीवन का 10 से 100 टेराबाइट रखता है और मालिक को राउटर यूपीएनपी (Universal Plug and Play) ऑटो-पोर्ट-फ़ॉरवर्डिंग या विक्रेता क्लाउड-रिले सेवाएँ (myQNAPcloud, Synology QuickConnect, EZ-Internet). इससे पहले कि आप एसी पावर कॉर्ड को दीवार से बाहर निकालें, आपको 10 सेकंड का एक महत्वपूर्ण वास्तुशिल्प निर्णय लेना होगा, जो इस बात पर आधारित होगा कि आपका एनएएस कॉपी-ऑन-राइट स्नैपशॉट का उपयोग करता है या नहीं (Btrfs या ZFS) या एक पारंपरिक RAID सरणी; गैर-रैंसमवेयर डिस्क ऐरे क्रैश के लिए, परामर्श लें NAS RAID सरणी ख़राब, एकाधिक ड्राइव विफलता, और ZFS/Btrfs पुनर्प्राप्ति, और पीसी-आधारित रैंसमवेयर संक्रमणों के लिए, देखें मैलवेयर, रैंसमवेयर और स्पाइवेयर संक्रमण साथ ही साथ घरेलू राउटर और IoT उपकरणों को सुरक्षित करना. यदि रैंसमवेयर अस्पताल संचालन, नगरपालिका आपातकालीन सेवाओं, या भौतिक सुरक्षा बुनियादी ढांचे को प्रभावित करता है, तो अपने स्थानीय आपातकालीन नंबर पर कॉल करें (911 संयुक्त राज्य अमेरिका और कनाडा में, 112 पूरे यूरोपीय संघ में, 999 यूनाइटेड किंगडम में) या अंतरराष्ट्रीय की हमारी निर्देशिका से परामर्श लें आपातकालीन नंबर.

अभी ऐसा करो¶

1. भौतिक ईथरनेट खींचें (RJ45 / 10GbE) पावर कॉर्ड को छूने से पहले नेटवर्क केबल अभी NAS के पीछे से बाहर निकलें:
2. ईथरनेट केबल को अनप्लग करने से हमलावर का इंटरैक्टिव SSH/HTTP कमांड-एंड-कंट्रोल सत्र तुरंत बंद हो जाता है, NAS को द्वितीयक एन्क्रिप्शन पेलोड डाउनलोड करने से रोकता है, और, उतना ही महत्वपूर्ण, ** आपके स्थानीय कार्यालय LAN पर एक संक्रमित डेस्कटॉप पीसी को SMB/CIFS नेटवर्क शेयरों पर आपके NAS को एन्क्रिप्ट करने से तुरंत रोकता है (\\NAS\Share)**.
3. 15 सेकंड में निर्धारित करें कि बिजली कटौती करनी है या एन्क्रिप्शन प्रक्रिया को सफाई से रोकना है:
4. परिदृश्य A: रैंसमवेयर आपके LAN पर एक डेस्कटॉप पीसी पर चल रहा है और एक SMB/मैप्ड नेटवर्क ड्राइव पर NAS फ़ाइलों को एन्क्रिप्ट कर रहा है: बस चरण 1 में NAS ईथरनेट केबल को खींचने से NAS पर 100% एन्क्रिप्शन पहले ही बंद हो चुका है। NAS को चालू रखें ताकि उसका RAID ऐरे और फ़ाइल सिस्टम साफ़ रहे, और संक्रमित Windows/Mac वर्कस्टेशन को अलग कर दें।
5. परिदृश्य बी: रैंसमवेयर बाइनरी सीधे एनएएस लिनक्स ऑपरेटिंग सिस्टम के अंदर ही निष्पादित हो रही है (DeadBolt, Qlocker, eCh0raix):
   • यदि आपके पास नहीं है Btrfs या ZFS स्नैपशॉट सक्षम (उदाहरण के लिए, एक पुराना ext4 वॉल्यूम) और ड्राइव सक्रिय रूप से पीस रहे हैं क्योंकि NAS आपकी फ़ाइलों की एकमात्र प्रति को एन्क्रिप्ट करता है, तत्काल हार्ड पावर-ऑफ को मजबूर करने के लिए NAS पर भौतिक फ्रंट पावर बटन को 5 से 10 सेकंड तक दबाए रखें (या यदि बटन अनुत्तरदायी है तो DC/AC पावर प्लग को खींचें)। हर मिनट जब NAS चालू रहता है तो इसका CPU आपकी फ़ाइलों की 5 से 20 गीगाबाइट को एन्क्रिप्ट कर देता है।
   • महत्वपूर्ण चेतावनी (Why DeadBolt & Qlocker victims must NOT reboot after recovery): रैंसमवेयर स्ट्रेन जैसे Qlocker (जो फ़ाइलों को पासवर्ड-सुरक्षित में ले जाता है .7z पुरालेख का उपयोग करना 7z) और DeadBolt कभी-कभी सक्रिय एन्क्रिप्शन स्थिति या डिक्रिप्शन कुंजियाँ अंदर रखें /tmp (RAM) या वेब UI बाइनरी को हाईजैक करें (/home/httpd/index.html). यदि आपके पास अभी भी एनएएस में एक खुला स्थानीय एसएसएच रूट शेल है, तो जांचें ps aux और /tmp बिजली बंद करने से पहले (नीचे चरण 2 देखें)।
6. अपने इंटरनेट राउटर/फ़ायरवॉल में लॉग इन करें (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP गेटवे) तुरंत और बंद करें UPnP (Universal Plug and Play) और आपके NAS की ओर इशारा करने वाले सभी WAN पोर्ट फ़ॉरवर्डिंग नियम हटा दें:
7. 80 प्रतिशत से अधिक घरेलू और छोटे-कार्यालय एनएएस रैंसमवेयर संक्रमण इसलिए होते हैं क्योंकि उपयोगकर्ता ने प्रारंभिक सेटअप के दौरान "ऑटो राउटर कॉन्फ़िगरेशन / ईज़ी-इंटरनेट / यूपीएनपी" पर क्लिक किया, जिसने चुपचाप होम राउटर को टीसीपी पोर्ट खोलने का निर्देश दिया। 5000, 5001, 8080, 8443, 443, 22 (एसएसएच), या 445 (एसएमबी) सीधे संपूर्ण सार्वजनिक इंटरनेट पर (Shodan.io / Censys).
8. अपने राउटर की WAN/NAT सेटिंग्स में UPnP को स्थायी रूप से अक्षम करें और NAS के स्थानीय आईपी पते की ओर इशारा करने वाले प्रत्येक पोर्ट-फ़ॉरवर्डिंग नियम को हटा दें।
9. यह जांचने से पहले कि क्या रैंसमवेयर ने केवल ओएस विभाजन या डेटा वॉल्यूम को हाईजैक किया है, हार्ड ड्राइव पर "रीसेट / रीइंस्टॉल डीएसएम या क्यूटीएस" को प्रारंभ, पुन: स्वरूपित या न चलाएं:
10. ** जैसे हमलों मेंDeadBolt**, मैलवेयर NAS वेब लॉगिन पेज को ओवरराइट कर देता है (index.html) QNAP/Synology एडमिन डैशबोर्ड तक पहुंच को अवरुद्ध करने वाला एक पूर्ण-स्क्रीन फिरौती नोट प्रदर्शित करने के लिए, तब भी जब आपका अंतर्निहित Btrfs / ZFS स्नैपशॉट या बड़ी वीडियो फ़ाइलें (20 मेगाबाइट से अधिक) अभी भी ड्राइव पर 100 प्रतिशत बरकरार हैं।
11. जाँचें कि क्या आपके एन.ए.एस. में है Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), या LVM ब्लॉक-स्तरीय स्नैपशॉट (QNAP Storage & Snapshots):
12. क्योंकि Btrfs और ZFS स्नैपशॉट फ़ाइल सिस्टम ब्लॉक लेयर (और Synology) पर केवल पढ़ने के लिए होते हैं WORM / अपरिवर्तनीय स्नैपशॉट को किसी समझौताकर्ता द्वारा हटाया भी नहीं जा सकता root व्यवस्थापक खाता), आप अक्सर शून्य डेटा हानि और शून्य फिरौती भुगतान के साथ 60 सेकंड में अपने 100 प्रतिशत एन्क्रिप्टेड साझा फ़ोल्डरों को वापस रोल कर सकते हैं।
13. किसी भी फिरौती का भुगतान करने से पहले, उपयोग करने वाले सटीक रैंसमवेयर स्ट्रेन की पहचान करें ID Ransomware (id-ransomware.malwarehunterteam.com) और No More Ransom (nomoreransom.org):
14. कई प्रमुख NAS रैंसमवेयर स्ट्रेन (eCh0raix / QNAPCrypt, जल्दी Qlocker के माध्यम से photorec / qrescue लॉग निष्कर्षण, Muhstik, और SynoLocker) कानून प्रवर्तन और सुरक्षा शोधकर्ताओं द्वारा प्रकाशित मुफ्त सार्वजनिक डिक्रिप्टर या फोरेंसिक कुंजी-निष्कर्षण विधियां हैं।

निर्णय वृक्ष: तत्काल एनएएस रैंसमवेयर ट्राइएज और पुनर्प्राप्ति पथ¶

यह निर्धारित करने के लिए इस वर्कफ़्लो का उपयोग करें कि क्या हमला LAN कंप्यूटर से उत्पन्न हुआ या सीधे NAS पर, और सबसे सुरक्षित पुनर्प्राप्ति विधि का चयन करें:

flowchart TD
    Symptom["NAS 100% पर ग्राइंडिंग ड्राइव करता है + नाम बदली गई फ़ाइलें (.deadbolt, .7z, .ech0raix, .lockbit) या वेब यूआई रैनसम स्क्रीन दिखाता है"] --> PullLAN["चरण 1 (5 सेकंड के भीतर): एनएएस के पीछे से सभी ईथरनेट केबल को अनप्लग करें"]

    PullLAN --> SourceCheck{"क्या एनएएस ईथरनेट केबल को अनप्लग करते ही एन्क्रिप्शन बंद हो गया?"}

    SourceCheck -->|"हाँ: LAN अनप्लग होने पर डिस्क गतिविधि शून्य हो गई"| SMBVector["स्रोत ए: रैनसमवेयर आपके नेटवर्क पर विंडोज़/मैक पीसी पर चल रहा है और एसएमबी पर साझा फ़ोल्डरों को एन्क्रिप्ट कर रहा है"]

    SourceCheck -->|"नहीं: एनएएस हार्ड ड्राइव ईथरनेट अनप्लग्ड के साथ थ्रैशिंग जारी रखती है (या एनएएस वेब लॉगिन पेज को रैनसम स्क्रीन से बदल दिया गया था)"| DirectNAS["स्रोत बी: रैंसमवेयर बाइनरी सीधे एनएएस ओएस के अंदर क्रियान्वित हो रही है (UPnP/एक्सपोज़्ड WAN पोर्ट 5000, 5001, 8080, 443, 22 के माध्यम से संचालित)"]

    SMBVector --> IsolatePC["अपने LAN पर संक्रमित पीसी को ढूंढें और डिस्कनेक्ट करें -> Btrfs / ZFS / QNAP स्नैपशॉट या हाइपर बैकअप से NAS साझा फ़ोल्डरों को पुनर्स्थापित करें"]

    DirectNAS -->SSHCheck{"क्या आपके पास एक सक्रिय स्थानीय एसएसएच सत्र खुला है (या क्या यह क्यूलॉकर 7z चल रहा है)?"}

    SSHCheck -->|"हाँ (Qlocker / सक्रिय 7z प्रक्रिया)"| GrabPass["पीएस औक्स का निरीक्षण करें | मारने की प्रक्रिया से पहले कमांड लाइन आर्ग्स से प्लेनटेक्स्ट 7-ज़िप पासवर्ड कैप्चर करने के लिए SSH पर grep 7z"]
    SSHCheck -->|"कोई एसएसएच/अज्ञात स्ट्रेन ग्राइंडिंग डिस्क नहीं"| PowerOff["तत्काल हार्ड पावर-ऑफ को बाध्य करने के लिए NAS पावर बटन को 5-10 सेकंड तक दबाए रखें ताकि अनएन्क्रिप्टेड फ़ाइलें और खाली स्थान सुरक्षित रहें"]

    GrabPass --> KillUPnP["चरण 2: राउटर में लॉग इन करें -> यूपीएनपी को स्थायी रूप से अक्षम करें + सभी पोर्ट अग्रेषण नियम हटाएं (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"NAS पर कौन सी पुनर्प्राप्ति संपत्तियां मौजूद हैं?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP ब्लॉक स्नैपशॉट प्रस्तुत"| SnapRestore["क्लीन ओएस पार्टीशन/फर्मवेयर अपडेट -> प्री-अटैक स्नैपशॉट के लिए साझा किए गए फ़ोल्डर्स को वापस रोल करें"]
    RecoveryPath -->|"बाहरी यूएसबी/ऑफसाइट क्लाउड बैकअप (हाइपर बैकअप/एचबीएस 3)"| BackupRestore["पैच किए गए फ़र्मवेयर पर NAS को पोंछें और पुनर्निर्माण करें -> ऑफ़लाइन/क्लाउड बैकअप से पुनर्स्थापित करें"]
    RecoveryPath -->|"कोई स्नैपशॉट और कोई बैकअप नहीं"| ForensicCarve["क्लोन ड्राइव केवल पढ़ने के लिए -> NoMoreRansom.org की जाँच करें + PhotoRec / QRescue अनअलोकेटेड कार्विंग चलाएँ (विशेषकर Qlocker के विरुद्ध प्रभावी)"]

एनएएस रैंसमवेयर कैसे टूटता है: दो आक्रमणकारी¶

इससे पहले कि आप अपने एनएएस को अपने स्थानीय नेटवर्क स्विच में वापस प्लग करें, आपको यह जानना होगा कि दो पूरी तरह से अलग एंट्री वैक्टर में से किसने रैंसमवेयर को आपके स्टोरेज वॉल्यूम पर अनुमति दी है:

चरण 1: इंटरनेट एक्सपोज़र बंद करना (Router UPnP, Port Forwarding, और क्लाउड रिले)¶

यदि आप अपने राउटर पर नेटवर्क छेद को बंद किए बिना अपने एनएएस को साफ या पुनर्स्थापित करते हैं, तो आपके सार्वजनिक आईपी पते को स्कैन करने वाले स्वचालित बॉटनेट इसे ऑनलाइन वापस लाने के कुछ घंटों के भीतर एनएएस को फिर से संक्रमित कर देंगे। पहले अपने राउटर पर इस नेटवर्क लॉकडाउन को पूरा करें:

1. अपने इंटरनेट राउटर/फ़ायरवॉल एडमिन कंसोल में लॉग इन करें:
2. एक साफ कंप्यूटर या फोन पर ब्राउज़र खोलें और अपने राउटर के गेटवे आईपी पर नेविगेट करें (आमतौर पर)। 192.168.1.1, 192.168.0.1, 10.0.0.1, या अपने मेश राउटर ऐप के माध्यम से UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. अक्षम करना UPnP (Universal Plug and Play) स्थायी रूप से:
4. उन्नत > NAT फ़ॉरवर्डिंग/WAN/नेटवर्क > UPnP पर नेविगेट करें और UPnP को बंद/अक्षम पर टॉगल करें।
5. क्यों UPnP NAS मालिकों के लिए बहुत खतरनाक है: जब आपके राउटर पर UPnP सक्षम होता है, तो आपके स्थानीय नेटवर्क पर कोई भी डिवाइस (आपके NAS के "ईज़ी-इंटरनेट" या "ऑटो राउटर कॉन्फ़िगरेशन" विज़ार्ड, या स्मार्ट टीवी पर मैलवेयर सहित) चुपचाप एक भेज सकता है IGD (Internet Gateway Device) अपने राउटर से अनुरोध करें कि "बाहरी WAN पोर्ट 8080 और 5001 को मेरे स्थानीय आईपी 192.168.1.50 पर खोलें", अपने राउटर का पासवर्ड मांगे बिना अपने फ़ायरवॉल को बायपास करें।
6. सभी मैनुअल पोर्ट फ़ॉरवर्डिंग हटाएं (Virtual Server) और DMZ एनएएस की ओर इशारा करने वाले नियम:
7. उन्नत > NAT अग्रेषण > पोर्ट अग्रेषण (या वर्चुअल सर्वर) पर जाएं और टीसीपी या यूडीपी पोर्ट अग्रेषित करने वाले प्रत्येक नियम को हटा दें (80, 443, 5000, 5001, 8080, 8443, 21 एफ़टीपी, 22 एसएसएच, 873 rsync, 445 एसएमबी, 32400 यदि आवश्यक न हो तो Plex) आपके NAS IP पर।
8. उन्नत > डीएमजेड जांचें और सत्यापित करें कि डीएमजेड होस्ट अक्षम है (राउटर के डीएमजेड में एनएएस आईपी रखने से एनएएस के सभी 65,535 टीसीपी और यूडीपी पोर्ट सीधे सार्वजनिक इंटरनेट पर खुल जाते हैं)।
9. अपने नेटवर्क के बाहर से सत्यापित करें कि शून्य एनएएस पोर्ट खुले हैं:
10. मिलने जाना shodan.io या grc.com (शील्ड्सयूपी) या उस पोर्ट की पुष्टि के लिए अपने सार्वजनिक WAN आईपी पते के खिलाफ एक पोर्ट स्कैन चलाएं 5000, 5001, 8080, 8443, 443, और 22 अब लौटेंFiltered / Stealth / Closed.

चरण 2: तनाव-विशिष्ट आपातकालीन परीक्षण (Qlocker, DeadBolt, eCh0raix)¶

इससे पहले कि आप एनएएस मिटा दें या फिरौती का भुगतान करें, जांच लें कि कौन सा विशिष्ट एनएएस रैंसमवेयर स्ट्रेन आपके डिवाइस पर आया है। प्रत्येक प्रमुख एनएएस परिवार में अद्वितीय तकनीकी कमजोरियां हैं जो भुगतान किए बिना आंशिक या कुल डेटा पुनर्प्राप्ति की अनुमति देती हैं:

1. यदि आपकी फ़ाइलें बदल दी गई थीं .7z पुरालेख (Qlocker क्यूएनएपी/लिनक्स एनएएस पर)¶

कैसे Qlocker कार्य करता है: एक कस्टम क्रिप्टोग्राफ़िक इंजन लिखने के बजाय, Qlocker एक स्क्रिप्ट चलाता है जो NAS के स्वयं के अंतर्निहित ** का आह्वान करता है7-Zip (/usr/local/sbin/7z)** प्रत्येक फ़ाइल को पासवर्ड-सुरक्षित में संपीड़ित करने के लिए बाइनरी .7z संग्रहित करें और फिर सामान्य लिनक्स चलाएं rm (unlink) मूल फ़ाइल पर। - ** ट्राइएज ट्रिक #1 (पासवर्ड को लाइव पकड़ना ps aux बिजली बंद करने से पहले): अगर Qlocker आपके NAS पर वर्तमान में अभी भी चल रहा है और आप SSH के माध्यम से स्थानीय रूप से लॉग इन कर सकते हैं (ssh admin@nas-local-ip), बिजली बंद करने से तुरंत पहले यह आदेश चलाएँ:

ps aux | grep 7z

2. यदि आपकी NAS लॉगिन स्क्रीन को बदल दिया गया था DeadBolt फिरौती पेज (.deadbolt फ़ाइलें)¶

कैसे DeadBolt काम करता है: 1. DeadBolt के स्थान पर /home/httpd/index.html (या /home/httpd/cgi-bin/index.cgi) अपने स्वयं के बाइनरी/एचटीएमएल पेज के साथ, जब भी आप QNAP QTS/Asustor ADM डैशबोर्ड खोलने का प्रयास करते हैं, तो यह आपके वेब ब्राउज़र को हाईजैक कर लेता है और 32-हेक्स-कैरेक्टर मास्टर डिक्रिप्शन कुंजी (ऑन-चेन बिटकॉइन के माध्यम से वितरित) के बदले में बिटकॉइन की मांग करता है। OP_RETURN लेन-देन)। 2. अपना डेटा खोए बिना अपने QNAP QTS / QuTS हीरो एडमिन डैशबोर्ड तक पहुंच कैसे पुनः प्राप्त करें: - विकल्प ए (सक्षम होने पर स्थानीय एसएसएच के माध्यम से): स्थानीय स्तर पर एनएएस में एसएसएच (ssh admin@<nas-ip>), दुष्ट को रोकें deadbolt यदि चल रहा है तो प्रक्रिया करें, और QNAP की आधिकारिक फ़र्मवेयर पुनर्प्राप्ति स्क्रिप्ट चलाएँ या मूल को पुनर्स्थापित करें /home/httpd/index.html केवल पढ़ने योग्य सिस्टम ROM छवि से (/mnt/HDA_root/update_pkg/). - विकल्प बी (डिस्क रहित फ़र्मवेयर फ़्लैश + हॉट-प्लग पुनः सम्मिलन): 1. एनएएस को बिजली बंद करें। 2. सभी हार्ड ड्राइव को 2 सेंटीमीटर (1 इंच) बाहर खिसकाएं ताकि वे बैकप्लेन से अलग हो जाएं (पहले पेंटर के टेप से उनके बे ऑर्डर को सावधानीपूर्वक क्रमांकित करें)। 3. बिना* हार्ड ड्राइव के NAS को चालू करें, क्यूफाइंडर प्रो के माध्यम से इसका आईपी ढूंढें, जब सेटअप स्क्रीन पर संकेत दिया जाए तो ड्राइव को उनके सटीक बे में हॉट-प्लग करें, और "केवल फर्मवेयर अपडेट करें (सभी डेटा और सेटिंग्स रखें)" चुनें (कभी भी "इनिशियलाइज़ सिस्टम" पर क्लिक न करें, जो ड्राइव को मिटा देता है)। 3. महत्वपूर्ण कानून प्रवर्तन डिक्रिप्शन नोट DeadBolt: डच राष्ट्रीय पुलिस के नेतृत्व में समन्वित अभियानों में (Politie), यूरोपोल (No More Ransom), और Responders.nu, कानून प्रवर्तन ने सफलतापूर्वक धोखा दिया DeadBolt रिप्लेस-बाय-फी के माध्यम से हमलावरों के कम-शुल्क वाले बिटकॉइन लेनदेन को रद्द करने से पहले मेमपूल शुल्क में वृद्धि के दौरान धमकी देने वाले अभिनेताओं ने 150 से अधिक मास्टर डिक्रिप्शन कुंजियाँ जारी कीं। जाँच करना deadbolt.responders.nu और nomoreransom.org यह देखने के लिए कि क्या आपका विशिष्ट DeadBolt पीड़ित की पता कुंजी पुलिस ने अपने कब्जे में ले ली।

3. यदि आपकी फ़ाइलें समाप्त हो जाती हैं .encrypt (eCh0raix / QNAPCrypt)¶

• की कई पीढ़ियाँ eCh0raix (QNAPCrypt) त्रुटिपूर्ण एईएस कुंजी व्युत्पत्ति का इस्तेमाल किया या उनके पास कमांड-एंड-कंट्रोल था (C2) सुरक्षा शोधकर्ताओं और कानून प्रवर्तन द्वारा जब्त किया गया डेटाबेस।
• मिलने जाना nomoreransom.org और दो एन्क्रिप्टेड फ़ाइलें (या फिरौती नोट) अपलोड करें README_FOR_DECRYPT.txt) निःशुल्क Bitdefender / NoMoreRansom का परीक्षण करने के लिए eCh0raix कुछ भी मिटाने से पहले डिक्रिप्टर।

चरण 3: अपनी फ़ाइलें पुनर्स्थापित करना Btrfs, ZFS, या QNAP 60 सेकंड में स्नैपशॉट¶

यदि आपका NAS वेक्टर #2 (आपके LAN पर एक रैंसमवेयर-संक्रमित पीसी जो SMB पर साझा किए गए फ़ोल्डरों को एन्क्रिप्ट करता है) द्वारा एन्क्रिप्ट किया गया था, या यदि आपके पास अपरिवर्तनीय (WORM) स्नैपशॉट या अछूते LVM/Btrfs/ZFS स्नैपशॉट सीधे NAS हमले के दौरान, आप अपनी 100 प्रतिशत फ़ाइलों को तुरंत पुनर्स्थापित कर सकते हैं:

1. सिनोलॉजी डिस्कस्टेशन (DSM 7.x साथ Btrfs स्नैपशॉट प्रतिकृति)¶

1. सबसे पहले, सत्यापित करें कि आपके LAN पर संक्रमित पीसी नेटवर्क से डिस्कनेक्ट हो गया है, और कंट्रोल पैनल > अपडेट एंड रिस्टोर के तहत Synology DSM को नवीनतम रिलीज़ में अपडेट करें।
2. Synology DSM के अंदर स्नैपशॉट प्रतिकृति पैकेज खोलें।
3. बाएं साइडबार में रिकवरी पर क्लिक करें।
4. एन्क्रिप्टेड साझा फ़ोल्डर चुनें (या iSCSI LUN) और पुनर्प्राप्त करें पर क्लिक करें।
5. शेड्यूल किए गए स्नैपशॉट की सूची ब्राउज़ करें (GMT+...) और रैंसमवेयर एन्क्रिप्शन शुरू होने से ठीक पहले ** लिए गए स्नैपशॉट का चयन करें (उस स्नैपशॉट के अंदर फ़ाइलों का पूर्वावलोकन करने के लिए पहले कार्रवाई > ब्राउज़ जांचें और पुष्टि करें कि वे साफ और अनएन्क्रिप्टेड हैं)।
6. कार्रवाई > इस स्नैपशॉट को पुनर्स्थापित करें पर क्लिक करें (या एक नए नाम के साथ क्लोन करें यदि आप साझा फ़ोल्डर की एक साफ प्रतिलिपि को तुरंत माउंट करते समय एन्क्रिप्टेड फ़ोल्डर को फोरेंसिक साक्ष्य के लिए अछूता रखना चाहते हैं)।
7. क्योंकि Btrfs एक कॉपी-ऑन-राइट है (CoW) फ़ाइल सिस्टम, 20-टेराबाइट साझा फ़ोल्डर को प्री-अटैक स्नैपशॉट में वापस रोल करने में 10 सेकंड से भी कम लगता है।

2. QNAP NAS (QTS ब्लॉक-स्तरीय एलवीएम स्नैपशॉट और QuTS hero ZFS स्नैपशॉट)¶

1. एक बार जब QTS/QuTS हीरो को पैच कर दिया जाए और WAN से अलग कर दिया जाए, तो स्टोरेज और स्नैपशॉट खोलें।
2. स्टोरेज > स्टोरेज/स्नैपशॉट पर जाएं, अपना प्रभावित थिक वॉल्यूम, थिन वॉल्यूम या ZFS शेयर्ड फोल्डर चुनें और स्नैपशॉट मैनेजर (कैमरा आइकन) पर क्लिक करें।
3. हमले के टाइमस्टैम्प से पहले लिया गया अंतिम साफ़ स्नैपशॉट चुनें।
4. यह सत्यापित करने के लिए कि आपकी फ़ाइलें बरकरार हैं, दाएँ फलक के अंदर फ़ोल्डर ट्री ब्राउज़ करें, फिर वॉल्यूम स्नैपशॉट वापस लाएँ पर क्लिक करें (या सभी फ़ोल्डरों का चयन करें और केवल एन्क्रिप्टेड फ़ाइलों को अधिलेखित करने के लिए रिस्टोर पर क्लिक करें)।

3. ट्रूएनएएस (CORE / SCALE पर ZFS) और अनरेड (ZFS / Btrfs)¶

• TruNAS पर (ZFS): स्टोरेज > स्नैपशॉट (या डेटा सुरक्षा > आवधिक स्नैपशॉट कार्य) पर जाएं, क्लीन स्नैपशॉट ढूंढें (tank/share@auto-2026-10-31_12-00), और रोलबैक पर क्लिक करें (या स्नैपशॉट को नए डेटासेट पर क्लोन करें zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered ताकि आप कभी भी नए इंटरमीडिएट स्नैपशॉट न खोएं)।

चरण 4: अपने एनएएस को सख्त बनाना ताकि इसे फिर कभी एन्क्रिप्ट न किया जा सके (7-पॉइंट चेकलिस्ट)¶

एक बार जब आपका डेटा पुनर्प्राप्त हो जाता है, तो इसे नेटवर्क से पुनः कनेक्ट करने से पहले अपने Synology, QNAP, TrueNAS, या Asustor उपकरण पर इन सात अनिवार्य कॉन्फ़िगरेशन नियमों को लागू करें:

• 1. अपने राउटर पर किसी भी पोर्ट को अपने NAS पर अग्रेषित न करें: उपयोग करें Tailscale या WireGuard VPN बजाय:
• Synology पैकेज सेंटर / QNAP ऐप सेंटर से आधिकारिक टेलस्केल पैकेज इंस्टॉल करें (या अपने राउटर का अंतर्निहित वायरगार्ड वीपीएन सर्वर चलाएं)।
• टेलस्केल एक शून्य-कॉन्फ़िगरेशन, पीयर-टू-पीयर वायरगार्ड एन्क्रिप्टेड जाल सुरंग बनाता है (100.x.y.z) आपके फ़ोन, आपके लैपटॉप और आपके NAS के बीच आपके होम राउटर फ़ायरवॉल पर शून्य खुले पोर्ट के साथ। आप दुनिया में कहीं से भी अपने NAS फ़ोटो, फ़ाइलें और व्यवस्थापक स्क्रीन तक पहुंच सकते हैं, जबकि आपका NAS इंटरनेट स्कैनर के लिए 100% अदृश्य रहता है Shodan.
• 2. बिल्ट-इन डिफॉल्ट को अक्षम करें admin खाता बनाएं और अनिवार्य 2FA के साथ एक कस्टम नामांकित प्रशासक बनाएं:
• Synology DSM और QNAP QTS दोनों ** नाम के एक डिफ़ॉल्ट खाते के साथ शिप होते हैंadmin** (UID 1024 या UID 0). स्वचालित ब्रूट-फोर्स बॉट उपयोगकर्ता नाम पर हथौड़ा मारते हैं admin 24/7.
• एक अद्वितीय उपयोगकर्ता नाम के साथ एक बिल्कुल नया व्यवस्थापक खाता बनाएं, उस नए खाते से लॉग इन करें, कंट्रोल पैनल > उपयोगकर्ता और समूह (या उपयोगकर्ता) पर जाएं, और डिफ़ॉल्ट को अक्षम करें admin खाता.
• अनिवार्य 2-कारक प्रमाणीकरण चालू करें (OTP / Passkey / Approve Sign-in) सभी व्यवस्थापक खातों के लिए।
• 3. अपरिवर्तनीय चालू करें (WORM) स्नैपशॉट (7-to-14-Day Retention Lock):
• Sinology DSM 7.2+ पर: स्नैपशॉट प्रतिकृति > स्नैपशॉट > सेटिंग्स > शेड्यूल खोलें, दैनिक स्नैपशॉट सक्षम करें, और **7 से 14 दिनों की सुरक्षा अवधि के साथ "अपरिवर्तनीय स्नैपशॉट सक्षम करें" को चेक करें। भले ही कोई हैकर आपका रूट पासवर्ड चुरा ले या डीएसएम में कर्नेल भेद्यता का फायदा उठाए, कोई नहीं (यहां तक कि नहीं) root) 7-दिवसीय हार्डवेयर घड़ी समाप्त होने तक एक अपरिवर्तनीय स्नैपशॉट को हटा सकता है।
• QNAP QuTS हीरो / QTS पर: स्नैपशॉट रेप्लिका वॉल्ट कॉन्फ़िगर करें या WORM सक्षम करें (Write Once, Read Many) महत्वपूर्ण बैकअप शेयरों पर अवधारण नीतियां, और सुनिश्चित करें कि "रिजर्व स्नैपशॉट स्पेस" सक्षम है।
• 4. SMB नेटवर्क शेयर अनुमतियाँ प्रतिबंधित करें (Least Privilege) तो एक लैपटॉप संक्रमण पूरे NAS को एन्क्रिप्ट नहीं कर सकता:
• कभी भी अपने NAS के मास्टर को मैप न करें admin विंडोज़ फ़ाइल एक्सप्लोरर के अंदर क्रेडेंशियल (\\NAS\) रोजमर्रा के लैपटॉप पर।
• दैनिक फ़ाइल पहुंच के लिए एक मानक गैर-व्यवस्थापक उपयोगकर्ता खाता बनाएं, और अपने संग्रह/फोटो फ़ोल्डर सेट करें (उदाहरण के लिए, 2010-2025 Family Photos Archive) से केवल पढ़ने के लिए (ro) दैनिक डेस्कटॉप उपयोगकर्ताओं के लिए ताकि यदि परिवार के किसी सदस्य के विंडोज पीसी में रैंसमवेयर आ जाए, तो पीसी उन फ़ोल्डरों को पढ़ सकता है लेकिन उन्हें एन्क्रिप्ट या संशोधित नहीं कर सकता।
• 5. NAS अंतर्निर्मित फ़ायरवॉल चालू करें (Allow LAN + Tailscale Subnets Only) और ऑटो-ब्लॉक:
• Synology कंट्रोल पैनल > सुरक्षा > फ़ायरवॉल (या QNAP QuFirewall) के अंदर, केवल अपने स्थानीय LAN सबनेट से कनेक्शन की अनुमति देने वाला एक सख्त अनुमति सूची नियम बनाएं (192.168.1.0/24) और आपका टेलस्केल/वीपीएन सबनेट (100.64.0.0/10)**, इसके बाद एक निचला नियम सभी को अस्वीकार करें पर सेट किया गया। भले ही कोई गलती से पलट जाए UPnP राउटर पर वापस, NAS का अपना आंतरिक पैकेट फ़िल्टर प्रत्येक सार्वजनिक इंटरनेट पैकेट को तुरंत हटा देगा।
• 6. एसएसएच अक्षम करें (Port 22) और टेलनेट (Port 23) जब सक्रिय रूप से समस्या निवारण न हो:
• सामान्य दैनिक संचालन के दौरान कंट्रोल पैनल > टर्मिनल और एसएनएमपी के अंदर एसएसएच को बंद रहने दें; कमांड लाइन कार्य को चलाने के लिए आवश्यक 10 मिनट के लिए इसे केवल टॉगल करें, फिर इसे वापस बंद कर दें।
• 7. एक सच्चा "3-2-1" एयर-गैप्ड/अपरिवर्तनीय क्लाउड बैकअप बनाए रखें (Hyper Backup / HBS 3):
• हमारा अनुसरण करें कंप्यूटर बैकअप और 3-2-1 आपदा पुनर्प्राप्ति मार्गदर्शिका: Synology कॉन्फ़िगर करें Hyper Backup या QNAP Hybrid Backup Sync (HBS 3) रात्रिकालीन एन्क्रिप्टेड, क्लाइंट-साइड डीडुप्लिकेटेड बैकअप को बाहरी यूएसबी हार्ड ड्राइव पर पुश करने के लिए जिसे आप भौतिक रूप से अनप्लग करते हैं या ऑब्जेक्ट-लॉक्ड (S3 Object Lock Compliance Mode) बादल बाल्टी (Backblaze B2, Wasabi, या AWS S3) प्रतिबंधित केवल-परिशिष्ट API कुंजियों का उपयोग करना।

क्षेत्रीय आपातकालीन नंबर और एजेंसी प्रोटोकॉल¶

एनएएस उपकरणों को लक्षित करने वाले रैंसमवेयर हमलों की जांच दुनिया भर में राष्ट्रीय साइबर अपराध एजेंसियों द्वारा की जाती है, जो जब्त की गई डिक्रिप्शन कुंजी के भंडार को बनाए रखती हैं (No More Ransom) और आपराधिक बुनियादी ढांचे को ट्रैक करें:

• संयुक्त राज्य अमेरिका और कनाडा:
• आपातकालीन जीवन-सुरक्षा आउटेज: डायल करें 911 यदि रैंसमवेयर स्वास्थ्य देखभाल या शारीरिक सुरक्षा प्रणालियों को बाधित करता है।
• सीआईएसए और एफबीआई इंटरनेट अपराध शिकायत केंद्र (IC3): एनएएस रैनसमवेयर अभियानों की रिपोर्ट करें (DeadBolt, Akira, LockBit, Qlocker) पर stopransomware.gov, ic3.gov, या सीआईएसए को ** पर कॉल करें1-844-Say-CISA (1-844-729-2472)**.
• कैनेडियन सेंटर फॉर साइबर सिक्योरिटी एंड आरसीएमपी: रिपोर्ट cyber.gc.ca (1-833-CYBER-88) या कैनेडियन एंटी-फ्रॉड सेंटर।
• यूनाइटेड किंगडम:
• आपातकालीन सेवाएं: डायल करें 999 (या 101 गैर-आपातकालीन पुलिस के लिए)।
• कार्रवाई धोखाधड़ी और एनसीएससी: रैंसमवेयर घटनाओं की रिपोर्ट करें actionfraud.police.ukया कॉल करें0300 123 2040 (24/7 लाइव साइबर घटना लाइन)। छोटे व्यवसाय और धर्मार्थ संस्थाएं एनसीएससी साइबर घटना प्रतिक्रिया (ncsc.gov.uk) पोर्टल.
• यूरोपीय संघ:
• आपातकालीन सेवाएं: डायल करें 112 सभी यूरोपीय संघ के सदस्य देशों में।
• यूरोपोल यूरोपीय साइबरक्राइम सेंटर (EC3) और NoMoreRansom.org: जांचें nomoreransom.org (डच राष्ट्रीय पुलिस, यूरोपोल और साझेदार एजेंसियों द्वारा प्रबंधित) जब्त किए गए एनएएस रैंसमवेयर डिक्रिप्शन कुंजी के लिए, और अपने राष्ट्रीय सीएसआईआरटी और डेटा संरक्षण प्राधिकरण को रिपोर्ट करें (DPA यदि व्यक्तिगत डेटा जीडीपीआर के तहत बाहर चला गया हो या खो गया हो तो 72 घंटों के भीतर)।
• ऑस्ट्रेलिया और न्यूजीलैंड:
• आपातकालीन सेवाएं: डायल करें 000 ऑस्ट्रेलिया में या 111 न्यूजीलैंड में।
• ऑस्ट्रेलियाई साइबर सुरक्षा केंद्र (ACSC): 24/7 रैंसमवेयर हॉटलाइन पर कॉल करें 1300 CYBER1 (1300 292 371) या ** पर रिपोर्ट करेंcyber.gov.au**.
• CERT NZ: ** पर रिपोर्ट करेंcert.govt.nz**.
• भारत और एशिया-प्रशांत:
• भारत (CERT-In और साइबर अपराध हेल्पलाइन): डायल करें 1930 या ** पर रिपोर्ट करेंcybercrime.gov.in** और incident@cert-in.org.in.
• ताइवान (TWCERT/CC, Synology, QNAP, और Asustor PSIRTs का गृह क्षेत्राधिकार): विक्रेता सुरक्षा घटना टिकट सीधे QNAP PSIRT (service.qnap.com) या सिनोलॉजी पीएसआईआरटी (synology.com/en-global/security/advisory).

अक्सर पूछे जाने वाले प्रश्नों¶

रैंसमवेयर ने मेरे QNAP या Synology NAS को कैसे संक्रमित कर दिया, जबकि मैंने कभी भी किसी फ़िशिंग लिंक पर क्लिक नहीं किया और मेरे कंप्यूटर पूरी तरह से साफ़ हैं?¶

आपका NAS आपके कंप्यूटर को छुए बिना सीधे सार्वजनिक इंटरनेट से संक्रमित हो गया था। या तो आपके इंटरनेट राउटर में था यूपीएनपी (`Universal Plug and Play`) सक्षम (NAS के "ऑटो राउटर कॉन्फ़िगरेशन / ईज़ी-इंटरनेट / myQNAPcloud" सुविधा को चुपचाप पोर्ट खोलने की अनुमति देना) 8080, 443, 5000, 5001, या 22 आपके फ़ायरवॉल पर), या आपने अपनी फ़ाइलों को दूरस्थ रूप से एक्सेस करने के लिए मैन्युअल रूप से एक पोर्ट अग्रेषित किया है। स्वचालित बॉटनेट लगातार इंटरनेट पर प्रत्येक सार्वजनिक आईपी पते को स्कैन करते हैं और अप्रकाशित कमजोरियों या कमजोरियों का फायदा उठाते हैं व्यवस्थापक उजागर NAS वेब इंटरफेस पर पासवर्ड।

मैं यह कैसे बता सकता हूं कि रैंसमवेयर सीधे मेरे एनएएस ओएस के अंदर चला, जबकि मेरे विंडोज कंप्यूटर पर नेटवर्क शेयर पर चला?¶

तीन संकेतक देखें: पहला, यदि NAS वेब प्रशासन लॉगिन स्क्रीन ही एक फिरौती नोट द्वारा प्रतिस्थापित किया गया था (जैसे डेडबोल्ट), या यदि केवल NAS में एन्क्रिप्टेड फ़ाइलें हैं, जबकि आपके नेटवर्क पर प्रत्येक पीसी साफ़ है, तो मैलवेयर सीधे NAS Linux OS के अंदर निष्पादित होता है। दूसरा, खोलें एनएएस कनेक्शन लॉग / एसएमबी फाइल ट्रांसफर लॉग (साइनोलॉजी में लॉग सेंटर या QNAP क्यूलॉग सेंटर): यदि आपको कोई स्थानीय LAN IP पता दिखाई देता है (जैसे 192.168.1.24) हजारों तीव्र गति से प्रदर्शन करना लिखें/नाम बदलें/हटाएं परिचालन ख़त्म एसएमबी, फिर कंप्यूटर पर 192.168.1.24 क्या संक्रमित डिवाइस नेटवर्क पर आपके NAS को एन्क्रिप्ट कर रहा है।

क्यों किया DeadBolt केवल मेरे बड़े वीडियो या डेटाबेस फ़ाइलों की शुरुआत को एन्क्रिप्ट करें, और क्या मैं अभी भी आंशिक रूप से एन्क्रिप्टेड फ़ाइलों को चला सकता हूं या उनकी मरम्मत कर सकता हूं?¶

मालिक द्वारा हार्ड ड्राइव की घिसाई को नोटिस करने और प्लग खींचने से पहले एनएएस स्टोरेज के दसियों टेराबाइट्स को एन्क्रिप्ट करने के लिए, तनाव जैसे डेडबोल्ट केवल एन्क्रिप्ट करें पहले 512 किलोबाइट (`524,288 bytes`) प्रत्येक फ़ाइल का और संलग्न करें .डेडबोल्ट एक्सटेंशन, फ़ाइल के शेष गीगाबाइट को सादे पाठ में अछूता छोड़ देता है। जबकि पहला 512 KB खोने से छोटे दस्तावेज़ और JPEG फ़ोटो पूरी तरह नष्ट हो जाते हैं, बड़ी मल्टी-गीगाबाइट वीडियो फ़ाइलें (`.mp4`, `.mov`, `.mkv`), कच्चा कैमरा फ़ुटेज, और कुछ वर्चुअल मशीन डिस्क छवियाँ (`VMDK`/`VHDX`) या SQL डेटाबेस की अक्सर मरम्मत की जा सकती है एक वैध कंटेनर हेडर ट्रांसप्लांट करके (`moov` एटम) जैसे टूल का उपयोग करके उसी कैमरे से रिकॉर्ड किए गए किसी अन्य वीडियो से अनट्रंक.

सिनोलॉजी है QuickConnect या myQNAPcloud Link यदि मैं राउटर यूपीएनपी और पोर्ट फ़ॉरवर्डिंग बंद कर दूं तो क्या इसे सक्षम छोड़ना सुरक्षित है?¶

राउटर UPnP और मैन्युअल पोर्ट फ़ॉरवर्डिंग पूरी तरह से बंद होने से, Synology जैसी आउटबाउंड रिले सेवाएँ क्विककनेक्ट रिले और myQNAPक्लाउड लिंक खुले WAN पोर्ट की तुलना में काफी सुरक्षित हैं क्योंकि वे आपके राउटर फ़ायरवॉल पर सुनने वाले पोर्ट नहीं खोलते हैं। हालाँकि, वे अभी भी आपकी NAS लॉगिन स्क्रीन को उजागर करते हैं (`DSM` / `QTS` वेब प्रमाणीकरण हैंडलर) किसी ऐसे व्यक्ति के लिए जो आपका जानता है या अनुमान लगाता है `QuickConnect ID`. अधिकतम सुरक्षा के लिए, व्यवस्थापक इंटरफ़ेस और उपयोग तक सार्वजनिक रिले पहुंच को अक्षम करें टेलस्केल या वायरगार्ड वीपीएन इसके बजाय, जिसके लिए क्रिप्टोग्राफ़िक डिवाइस प्रमाणीकरण की आवश्यकता होती है पहले एक HTTP पैकेट आपके NAS वेब सर्वर तक भी पहुंच सकता है।

क्या मुझे बिटकॉइन की फिरौती देनी चाहिए? DeadBolt, Qlocker, या eCh0raix अगर मेरे पास कोई बैकअप और कोई स्नैपशॉट नहीं है?¶

कानून प्रवर्तन एजेंसियां (`FBI`, `CISA`, `Europol`, `NCSC`) फिरौती का भुगतान करने के खिलाफ दृढ़ता से सलाह देता हूं क्योंकि भुगतान आपराधिक सिंडिकेट को धन देता है और इसकी कोई गारंटी नहीं है कि हमलावर की स्वचालित डिक्रिप्शन स्क्रिप्ट फ़ाइलों को दूषित किए बिना काम करेगी। भुगतान पर विचार करने से पहले: (1) ड्राइव की छवि बनाएं या संरक्षित करें ताकि आप चीजों को बदतर न बना सकें, (2) जांचें **`nomoreransom.org`** और **`deadbolt.responders.nu`** यह देखने के लिए कि क्या कानून प्रवर्तन ने पहले ही आपके स्ट्रेन के लिए मास्टर कुंजी जब्त कर ली है, (3) ** के लिए`Qlocker`**, भागो **`PhotoRec` / `QRescue`** असंबद्ध डिस्क स्थान पर (जो अक्सर 60% से 90% हटाए गए मूल को निःशुल्क पुनर्प्राप्त करता है), और (4) बड़े के लिए `.mp4`/`.mov` आंशिक-हेडर एन्क्रिप्शन द्वारा हिट किए गए वीडियो, हेडर पुनर्निर्माण का परीक्षण करें `untrunc`.

संबंधित मार्गदर्शिकाएँ¶

• मैलवेयर, रैंसमवेयर और स्पाइवेयर संक्रमण: तत्काल रोकथाम और पुनर्प्राप्ति
• घरेलू राउटर और IoT उपकरणों को सुरक्षित करना
• NAS RAID सरणी ख़राब, एकाधिक ड्राइव विफलता, और ZFS/Btrfs पुनर्प्राप्ति
• कंप्यूटर बैकअप, 3-2-1 रणनीति, और आपदा पुनर्प्राप्ति
• ज़ीरो-डे शोषण आपातकालीन पैचिंग और एंड-ऑफ़-लाइफ डिवाइस अलगाव
• देश के अनुसार आपातकालीन नंबर

स्रोत और आधिकारिक मार्गदर्शन¶

• साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) और संघीय जांच ब्यूरो (FBI)(StopRansomware.gov): नेटवर्क-अटैच्ड स्टोरेज पर अलर्ट (NAS) डेडबोल्ट, क्लॉकर, eCh0raix, और अकीरा रैनसमवेयर द्वारा लक्षित उपकरण।
• यूरोपोल यूरोपीय साइबरक्राइम सेंटर (EC3) और डच राष्ट्रीय पुलिस (Politie)(NoMoreRansom.org): ऑपरेशन डेडबोल्ट कुंजी जब्ती, eCh0raix डिक्रिप्टर रिपोजिटरी, और रैनसमवेयर शमन दिशानिर्देश।
• QNAP उत्पाद सुरक्षा घटना प्रतिक्रिया टीम (QNAP PSIRT) और सिनोलॉजी सुरक्षा सलाहकार बोर्ड: राउटर यूपीएनपी को अक्षम करने, अपहृत एडमिन कंसोल को पुनर्प्राप्त करने पर तकनीकी बुलेटिन, QRescue (PhotoRec) असंबद्ध पुनर्प्राप्ति, और अपरिवर्तनीय सक्षम करना WORM स्नैपशॉट.
• राष्ट्रीय साइबर सुरक्षा केंद्र (NCSC) (यूनाइटेड किंगडम): नेटवर्क स्टोरेज और छोटे कार्यालय उपकरणों पर मैलवेयर और रैंसमवेयर को कम करना।