Ransomware ing NAS Omah utawa Kantor (Synology/QNAP): Mungkasi Enkripsi lan Eksposur UPnP¶

Krungu hard drive ing Storage-Attached Network (NAS) piranti (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, utawa Western Digital My Cloud) thrashing terus-terusan ing 100 persen panggunaan disk nalika folder sing dienggo bareng diisi .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, utawa .encrypt ekstensi file (utawa ndeleng layar login web NAS diganti dening panjaluk tebusan Bitcoin) darurat panyimpenan kritis. Perkakas NAS minangka target penting kanggo botnet ransomware internet-wide otomatis (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, lan Akira) amarga siji NAS sing ora ditambal asring ngemot 10 nganti 100 terabyte saka kabeh urip digital kulawarga utawa bisnis cilik lan asring kapapar langsung menyang internet umum tanpa disadari pemilik liwat Router UPnP (Universal Plug and Play) Auto-Port-Forwarding utawa layanan cloud-relay vendor (myQNAPcloud, Synology QuickConnect, EZ-Internet). Sadurunge nyopot kabel listrik AC metu saka tembok, sampeyan kudu nggawe keputusan arsitektur 10 detik sing penting adhedhasar apa NAS sampeyan nggunakake gambar Copy-on-Write (Btrfs utawa ZFS) utawa array RAID tradisional; kanggo kacilakan array disk non-ransomware, takon Array NAS RAID rusak, sawetara drive gagal, lan pemulihan ZFS/Btrfs, lan kanggo infeksi ransomware basis PC, waca malware, ransomware, lan infeksi spyware uga ngamanake router ngarep lan piranti IoT. Yen ransomware mengaruhi operasi rumah sakit, layanan darurat kotamadya, utawa infrastruktur keamanan fisik, hubungi nomer darurat lokal sampeyan (911 ing Amerika Serikat lan Kanada, 112 liwat Uni Eropa, 999 ing Inggris) utawa takon direktori internasional kita nomer darurat.

Apa iki saiki¶

1. ** Tarik Ethernet fisik (RJ45 / 10GbE) kabel jaringan metu saka mburi NAS SAIKI, sadurunge ndemek kabel listrik**:
2. Copot kabel Ethernet kanthi langsung ngilangi sesi printah lan kontrol SSH/HTTP interaktif panyerang, mungkasi NAS saka ngundhuh muatan enkripsi sekunder, lan, sing padha penting, langsung mungkasi PC desktop sing kena infeksi ing LAN kantor lokal saka ngenkripsi NAS liwat saham jaringan SMB/CIFS (\\NAS\Share).
3. Temtokake sajrone 15 detik arep mateni daya utawa mungkasi proses enkripsi kanthi resik:
4. ** Skenario A: Ransomware mlaku ing PC desktop ing LAN lan ngenkripsi file NAS liwat SMB / Drive Network Mapped **: Mung narik kabel NAS Ethernet ing Langkah 1 ** wis mandheg 100% enkripsi ing NAS **. Ninggalake NAS diuripake supaya array RAID lan sistem file tetep resik, banjur isolasi workstation Windows/Mac sing kena infeksi.
5. Skenario B: Binary ransomware dieksekusi langsung ing INSIDE sistem operasi NAS Linux dhewe (DeadBolt, Qlocker, eCh0raix):
   • Yen sampeyan ora ** ora duwe Btrfs utawa ZFS snapshot diaktifake (contone, lawas ext4 volume) lan drive aktif mecah minangka NAS encrypts mung salinan file, ** penet terus tombol daya ngarep fisik ing NAS kanggo 5 kanggo 10 detik kanggo meksa langsung hard daya-mati ** (utawa narik DC / plug daya AC yen tombol unresponsive). Saben menit NAS tetep aktif ngidini CPU ngenkripsi 5 nganti 20 gigabyte file sampeyan.
   • Kaveat penting (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware galur kaya Qlocker (sing mindhah file menyang sing dilindhungi sandhi .7z arsip nggunakake 7z) lan DeadBolt kadhangkala nyimpen status enkripsi aktif utawa tombol dekripsi ing /tmp (RAM) utawa mbajak binar UI web (/home/httpd/index.html). Yen sampeyan isih duwe cangkang root SSH lokal sing mbukak menyang NAS, priksa ps aux lan /tmp sadurunge dipateni (pirsani Tahap 2 ing ngisor iki).
6. Mlebu menyang router internet / firewall (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP gateway) langsung lan mateni UPnP (Universal Plug and Play) LAN busak kabeh aturan WAN Port Forwarding sing ngarah menyang NAS:
7. Luwih saka 80 persen infeksi ransomware NAS ing omah lan kantor cilik kedadeyan amarga pangguna ngeklik "Konfigurasi Router Otomatis / EZ-Internet / UPnP" sajrone persiyapan awal, sing kanthi meneng menehi pitunjuk marang router omah kanggo mbukak port TCP 5000, 5001, 8080, 8443, 443, 22 (SSH), utawa 445 (SMB) langsung menyang kabeh internet umum (Shodan.io / Censys).
8. Pateni UPnP kanthi permanen ing setelan WAN/NAT router lan busak saben aturan penerusan port sing nuduhake alamat IP lokal NAS.
9. Aja miwiti, ngowahi format, utawa mbukak "Reset / Instal maneh DSM utawa QTS" ing hard drive sadurunge mriksa apa ransomware mung mbajak partisi OS utawa volume data:
10. Ing serangan kaya DeadBolt, malware kasebut nimpa kaca mlebu web NAS (index.html) kanggo nampilake cathetan tebusan layar wutuh sing ngalangi akses menyang dasbor admin QNAP/Synology, **sanajan dhasar sampeyan Btrfs / ZFS gambar asli utawa file video gedhe (liwat 20 megabyte) isih 100 persen utuh ing drive **.
11. ** Priksa yen NAS sampeyan duwe Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), utawa LVM Cuplikan Tingkat Blok (QNAP Storage & Snapshots)**:
12. Amarga Btrfs lan ZFS snapshot mung diwaca ing lapisan blok sistem file (lan Synology WORM / Gambar sing ora bisa diganti malah ora bisa dibusak dening kompromi root Akun admin), **sampeyan kerep bisa muter maneh 100 persen folder bareng sing dienkripsi sajrone 60 detik kanthi nol mundhut data lan nol tebusan mbayar **.
13. Sadurunge mbayar tebusan, kenali galur ransomware sing digunakake ID Ransomware (id-ransomware.malwarehunterteam.com) lan No More Ransom (nomoreransom.org):
14. Sawetara galur ransomware NAS utama (eCh0raix / QNAPCrypt, awal Qlocker liwat photorec / qrescue ekstraksi log, Muhstik, lan SynoLocker) duwe dekripsi umum gratis utawa metode ekstraksi kunci forensik sing diterbitake dening penegak hukum lan peneliti keamanan.

Wit keputusan: triase ransomware NAS langsung lan jalur pemulihan¶

Gunakake alur kerja iki kanggo nemtokake manawa serangan kasebut asale saka komputer LAN utawa langsung ing NAS, banjur pilih cara pemulihan sing paling aman:

flowchart TD
    Symptom["NAS Drive Grinding ing 100% + File Ganti Jeneng (.deadbolt, .7z, .ech0raix, .lockbit) utawa UI Web Nuduhake Layar Tebusan"] --> PullLAN["STEP 1 (Ing 5 Detik): Copot Kabeh Kabel Ethernet Saka Mburi NAS"]

    PullLAN --> SourceCheck{"Apa Enkripsi Mungkasi Langsung Sampeyan Copot Kabel Ethernet NAS?"}

    SourceCheck -->|"YES: Disk Activity Dropped to Zero When LAN Unplugged"| SMBVector["SUMBER A: Ransomware Mlaku ing PC Windows/Mac ing Jaringan Sampeyan lan Ngenkripsi Folder sing Dibagi liwat SMB"]

    SourceCheck -->|"NO: Hard Drive NAS Terus Ngamuk Kanthi Ethernet Unplugged (Utawa Kaca Login Web NAS Dhewe Diganti dening Layar Tebusan)"| DirectNAS["SUMBER B: Ransomware Binary Dieksekusi Langsung Nang OS NAS (Dieksploitasi liwat UPnP / Port WAN Ekspos 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Temokake & Pedhot sambungan PC sing Infèksi ing LAN -> Mulihake Folder NAS Shared Saka Btrfs / ZFS / QNAP Snapshots utawa Hyper Backup"]

    DirectNAS -->SSHCheck{"Apa Sampeyan Nduwe Sesi SSH Lokal Aktif Terbuka (Utawa Apa Qlocker Mlaku 7z)?"}

    SSHCheck -->|"Ya (Proses Qlocker / Aktif 7z)"| GrabPass["Priksa ps aux | grep 7z ing SSH kanggo Capture Plaintext 7-Zip Sandi Saka Command Line Args Sadurunge Proses Mateni"]
    SSHCheck -->|"Ora SSH / Ora dingerteni Strain Grinding Disk"| PowerOff["Tahan Tombol Daya NAS 5-10 Detik kanggo Meksa Langsung Pateni Daya supaya File Ora Dienkripsi & Ruang Gratis Dijaga"]

    GrabPass --> KillUPnP["LANGKAH 2: Mlebu menyang Router -> Pateni UPnP Permanen + Busak Kabeh Aturan Penerusan Port (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Apa Aset Recovery Ana ing NAS?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots Saiki"| SnapRestore["Partisi OS / Pembaruan Firmware sing resik -> Muter Folder sing Dibagi menyang Snapshot Pre-Attack"]
    RecoveryPath -->|"Eksternal USB / Offsite Cloud Backup (Hyper Backup / HBS 3)"| BackupRestore["Ngilangke & Mbangun NAS ing Firmware Patched -> Mulihake Saka Offline / Cloud Backup"]
    RecoveryPath -->|"Ora Ana Snapshot & Ora Ana Serep"| ForensicCarve["Klone Drives Mung Waca -> Priksa NoMoreRansom.org + Run PhotoRec / QRescue Ukiran Ora Disedhiyakake (Utamane Efektif Nglawan Qlocker)"]

Kepiye NAS Ransomware Mbukak: Loro Vektor Serangan¶

Sadurunge masang NAS maneh menyang switch jaringan lokal, sampeyan kudu ngerti endi saka rong vektor entri sing beda-beda sing ngidini ransomware menyang volume panyimpenan:

Fase 1: Mateni Eksposur Internet (Router UPnP, Port Forwarding, lan Cloud Relay)¶

Yen sampeyan ngresiki utawa mulihake NAS tanpa nutup bolongan jaringan ing router sampeyan, botnet otomatis sing mindhai alamat IP umum sampeyan bakal nginfeksi maneh NAS sajrone sawetara jam nggawa bali online. Rampungake kunci jaringan ing router sampeyan dhisik:

1. Mlebu menyang Router Internet / Konsol Admin Firewall:
2. Bukak browser ing komputer utawa telpon sing resik lan navigasi menyang IP gateway router (biasane 192.168.1.1, 192.168.0.1, 10.0.0.1, utawa liwat app router bolong kaya UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. ** Pateni UPnP (Universal Plug and Play) Langgeng**:
4. Navigasi menyang Lanjutan> NAT Forwarding / WAN / Network> UPnP lan mateni UPnP menyang OFF / Disabled.
5. Kenapa UPnP mbebayani banget kanggo pamilik NAS: Nalika UPnP diaktifake ing router sampeyan, piranti apa wae ing jaringan lokal sampeyan (kalebu tuntunan "EZ-Internet" utawa "Konfigurasi Router Otomatis" NAS, utawa malware ing TV cerdas) bisa ngirim kanthi meneng IGD (Internet Gateway Device) njaluk menyang router sampeyan ujar * "Bukak Port WAN eksternal 8080 lan 5001 menyang IP lokalku 192.168.1.50" *, ngliwati firewall sampeyan tanpa takon sandi router.
6. Busak Kabeh Manual Port Forwarding (Virtual Server) & DMZ Aturan Nuding menyang NAS:
7. Pindhah menyang Lanjutan> Penerusan NAT> Penerusan Port (utawa Server Virtual) banjur busak saben port TCP utawa UDP sing diterusake aturan (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex yen ora dibutuhake) menyang IP NAS sampeyan.
8. Priksa ** Lanjut > DMZ ** lan verifikasi yen **DMZ Host dipateni ** (nyelehake IP NAS ing DMZ router mbukak kabeh 65.535 port TCP lan UDP saka NAS langsung menyang internet umum).
9. Verifikasi saka Njaba Jaringan Sampeyan Yen Port Zero NAS Bukak:
10. Dolan maring shodan.ioutawa grc.com (ShieldsUP) utawa mbukak pindai port marang alamat IP WAN umum kanggo konfirmasi port kasebut 5000, 5001, 8080, 8443, 443, lan 22 saiki bali Filtered / Stealth / Closed.

Fase 2: Triase Darurat Spesifik Strain (Qlocker, DeadBolt, eCh0raix)¶

Sadurunge mbusak NAS utawa mbayar tebusan, priksa galur ransomware NAS tartamtu sing kena ing piranti sampeyan. Saben kulawarga NAS utama duwe kelemahan teknis unik sing ngidini pemulihan data sebagian utawa total tanpa mbayar:

1. Yen File Panjenengan Diganti karo .7z Arsip (Qlocker ing QNAP / Linux NAS)¶

Carane Qlocker dianggo: Tinimbang nulis mesin kriptografi khusus, Qlocker nglakokake skrip sing nggunakake NAS sing dibangun dhewe 7-Zip (/usr/local/sbin/7z) binar kanggo ngompres saben berkas dadi sandhi sing dilindhungi .7z arsip lan banjur nganggo Linux normal rm (unlink) ing file asli. - ** Trik Triage # 1 (Nyekel Sandi Langsung ing ps aux Sadurunge dipateni): Yen Qlocker saiki isih mlaku ing NAS sampeyan lan sampeyan bisa mlebu sacara lokal liwat SSH (ssh admin@nas-local-ip), jalanake printah iki sakdurunge mateni:

ps aux | grep 7z

2. Yen Layar Login NAS Panjenengan Diganti dening DeadBolt Kaca Tebusan (.deadbolt berkas)¶

Carane DeadBolt karya: 1. DeadBolt ngganteni /home/httpd/index.html (utawa /home/httpd/cgi-bin/index.cgi) kanthi kaca binar/HTML dhewe sing mbajak browser web sampeyan nalika sampeyan nyoba mbukak dasbor QNAP QTS / Asustor ADM, nuntut Bitcoin minangka ijol-ijolan kunci dekripsi master 32-hex-karakter (dikirim liwat Bitcoin on-chain. OP_RETURN transaksi). 2. Carane entuk akses maneh menyang Dashboard Admin QNAP QTS / QuTS hero tanpa kelangan data: - Pilihan A (Liwat SSH Lokal yen diaktifake): SSH menyang NAS lokal (ssh admin@<nas-ip>), mungkasi nakal deadbolt proses yen mlaku, lan mbukak script Recovery perangkat kukuh resmi QNAP utawa mulihake asli /home/httpd/index.html saka gambar ROM sistem mung diwaca (/mnt/HDA_root/update_pkg/). - Pilihan B (Diskless Firmware Flash + Hot-Plug Reinsertion): 1. Pateni NAS. 2. Geser kabeh hard drive metu 2 centimeters (1 inci) supaya padha pedhot saka backplane (nomer urutan bay kasebut kanthi teliti karo tape pelukis pisanan). 3. Daya ing NAS * tanpa * hard drive, golek IP liwat ** Qfinder Pro , nalika dijaluk ing layar persiyapan hot-plug drive bali menyang teluk pas, lan milih ** "Update Firmware Mung (Tansah Kabeh Data lan Setelan)" (tau klik "Initialize System", kang wipes drive). 3. ** Wigati Dekripsi Penegakan Hukum Penting ing DeadBolt**: Ing operasi terkoordinasi dipimpin dening Polisi Nasional Walanda (Politie), Europol (No More Ransom), lan Responders.nu, penegak hukum kasil ngapusi DeadBolt aktor ancaman sak ragad mempool spike menyang ngeculake ** liwat 150 master kunci dekripsi ** sadurunge panyerang 'ragad kurang transaksi Bitcoin dibatalake liwat Ganti-By-Fee. Priksa deadbolt.responders.nu lan nomoreransom.org kanggo ndeleng manawa sampeyan spesifik DeadBolt kunci alamat korban dicekel polisi.

3. Yen File Panjenengan End in .encrypt (eCh0raix / QNAPCrypt)¶

• Saperangan generasi saka eCh0raix (QNAPCrypt) nggunakake derivasi kunci AES sing cacat utawa duwe perintah-lan-kontrol (C2) database dicekel dening peneliti keamanan lan penegak hukum.
• Dolan maring nomoreransom.org lan upload rong file sing dienkripsi (utawa cathetan tebusan README_FOR_DECRYPT.txt) kanggo nyoba **Bitdefender / NoMoreRansom gratis eCh0raix Decryptor ** sadurunge wiping apa-apa.

Tahap 3: Mulihake File saka Btrfs, ZFS, utawa QNAP Snapshots ing 60 Detik¶

Yen NAS sampeyan dienkripsi dening Vektor #2 (PC sing kena infeksi ransomware ing LAN sampeyan ngenkripsi folder bareng liwat SMB), utawa yen sampeyan duwe Immutable (WORM) Foto utawa ora disentuh LVM/Btrfs/ZFS Gambar sajrone serangan NAS langsung, sampeyan bisa langsung mulihake 100 persen file sampeyan:

1. Synology DiskStation (DSM 7.x karo Btrfs Replikasi Snapshot)¶

1. Pisanan, priksa manawa PC sing kena infeksi ing LAN sampeyan wis pedhot saka jaringan, lan nganyari Synology DSM menyang rilis paling anyar ing Control Panel > Update & Restore.
2. Bukak paket Snapshot Replication ing Synology DSM.
3. Klik Recovery ing sidebar kiwa.
4. Pilih ** Folder Shared ** sing dienkripsi (utawa iSCSI LUN) banjur klik Waras.
5. Telusuri dhaptar gambar sing dijadwalake (GMT+...) lan pilih gambar sing dijupuk ** sanalika sadurunge enkripsi ransomware diwiwiti ** (priksa Tindakan > Telusuri dhisik kanggo pratinjau file ing gambar kasebut lan konfirmasi yen resik lan ora dienkripsi).
6. Klik Action > Restore to this snapshot (utawa Klone nganggo jeneng anyar yen sampeyan pengin supaya folder ndhelik ora kena kanggo bukti forensik nalika langsung masang salinan resik saka folder sambungan).
7. Amarga Btrfs yaiku Copy-on-Write (CoW) filesystem, muter maneh folder sing dienggo bareng 20 terabyte menyang snapshot pra-serangan mbutuhake kurang saka 10 detik.

2. QNAP NAS (QTS Gambar LVM Tingkat Blok & QuTS hero ZFS Jepretan)¶

1. Sawise pahlawan QTS / QuTS ditambal lan diisolasi saka WAN, bukak ** Panyimpenan & Gambar **.
2. Pindhah menyang Storage> Storage/Snapshots, pilih Volume Thick, Volume Thin, utawa ZFS Shared Folder sing kena pengaruh, banjur klik Snapshot Manager (lambang kamera).
3. Pilih snapshot resik pungkasan sing dijupuk sadurunge cap wektu serangan.
4. Telusuri wit folder ing panel tengen kanggo verifikasi file sampeyan utuh, banjur klik Balikake Volume Snapshot (utawa pilih kabeh folder banjur klik Restore kanggo nimpa mung file sing dienkripsi).

3. TrueNAS (CORE / SCALE ing ZFS) lan Unraid (ZFS / Btrfs)¶

• ** Ing TrueNAS (ZFS)**: Pindhah menyang Storage > Snapshots (utawa Data Protection > Periodic Snapshot Tasks), goleki gambar sing resik (tank/share@auto-2026-10-31_12-00), banjur klik Rollback (utawa clone snapshot menyang dataset anyar zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered supaya sampeyan ora bakal kelangan snapshot penengah anyar).

Fase 4: Hardening NAS Sampeyan Dadi Ora Bisa Dienkripsi maneh (Dhaptar Priksa 7 Poin)¶

Sawise data sampeyan pulih, gunakake pitung aturan konfigurasi wajib ing piranti Synology, QNAP, TrueNAS, utawa Asustor sadurunge nyambungake maneh menyang jaringan:

• 1. Aja Terusake Port Apa wae ing Router menyang NAS Sampeyan: Gunakake Tailscale utawa WireGuard VPN Nanging:
• Instal paket Tailscale resmi saka Pusat Paket Synology / Pusat Aplikasi QNAP (utawa jalanake WireGuard VPN Server sing dibangun ing router).
• Tailscale nggawe terowongan bolong enkripsi WireGuard tanpa konfigurasi, peer-to-peer (100.x.y.z) antarane telpon, laptop, lan NAS ** karo nul port mbukak ing firewall router ngarep **. Sampeyan bisa ngakses foto, file, lan layar admin NAS saka ngendi wae ing donya nalika NAS sampeyan tetep 100% ora katon dening pemindai internet kaya Shodan.
• 2. Pateni Default sing Dibangun admin Akun lan Gawe Administrator Dijenengi Kustomisasi kanthi Wajib 2FA:
• Loro-lorone Synology DSM lan QNAP QTS dikirim kanthi akun standar sing jenenge admin(UID 1024 utawa UID 0). Bot brute-force otomatis palu jeneng panganggo admin 24/7.
• Nggawe akun administrator anyar kanthi jeneng pangguna sing unik, mlebu nganggo akun anyar kasebut, pindhah menyang Control Panel > User & Group (utawa Users), lan Pateni standar kasebut. admin akun.
• Aktifake Authentication 2-Factor Wajib (OTP / Passkey / Approve Sign-in) kanggo kabeh akun administrator.
• 3. Aktifake ora bisa diganti (WORM) Gambar (7-to-14-Day Retention Lock):
• Ing Synology DSM 7.2+: Bukak Snapshot Replication > Snapshots > Settings > Schedule, aktifake jepretan saben dina, lan priksa "Aktifake jepretan sing ora bisa diganti" kanthi wektu proteksi 7 nganti 14 dina. Sanajan peretas nyolong tembung sandhi ROOT utawa ngeksploitasi kerentanan kernel ing DSM, ** ora ana wong (malah root) bisa mbusak snapshot sing ora bisa diganti ** nganti jam hardware 7 dina kadaluwarsa.
• Ing QNAP QuTS hero / QTS: Konfigurasi Snapshot Replica Vault utawa aktifake WORM (Write Once, Read Many) kabijakan retensi babagan saham serep kritis, lan priksa manawa "Reserve Snapshot Space" diaktifake.
• 4. Watesi Idin Enggo bareng Jaringan SMB (Least Privilege) Dadi Infeksi Laptop Ora Bisa Enkripsi Kabeh NAS:
• Aja peta master NAS Panjenengan admin kredensial ing Windows File Explorer (\\NAS\) ing laptop saben dina.
• Gawe akun pangguna non-admin standar kanggo akses file saben dina, lan setel folder arsip/foto (contone, 2010-2025 Family Photos Archive) kanggo Mung-Waca (ro) kanggo pangguna desktop saben dina supaya yen PC Windows anggota kulawarga nyekel ransomware, PC bisa maca folder kasebut nanging ora bisa ngenkripsi utawa ngowahi.
• 5. Aktifake NAS Built-In Firewall (Allow LAN + Tailscale Subnets Only) & Blok Otomatis:
• Ing Synology Control Panel > Security > Firewall (utawa QNAP QuFirewall), gawe aturan daftar ijin sing ketat sing ngidini sambungan mung saka subnet LAN lokal sampeyan (192.168.1.0/24) lan subnet Tailscale/VPN sampeyan (100.64.0.0/10), ngiring dening aturan ngisor disetel kanggo Nolak Kabeh. Sanajan ana sing ora sengaja noleh UPnP bali ing router, Filter paket internal NAS dhewe bakal nyelehake saben paket internet umum langsung.
• 6. Pateni SSH (Port 22lan Telnet (Port 23) Nalika Ora Aktif Ngatasi Masalah:
• Ninggalake ** SSH ** dipateni ** OFF ** nang ** Control Panel> Terminal & SNMP ** sak operasi saben dina normal; mung nguripake kanggo 10 menit sampeyan kudu mbukak tugas baris printah, banjur mateni maneh.
• 7. Njaga Serep Cloud "3-2-1" Bener / Ora Bisa Diowahi (Hyper Backup / HBS 3):
• Tindakake kita serep komputer lan 3-2-1 guide Recovery bilai: ngatur Synology Hyper Backup utawa QNAP Hybrid Backup Sync (HBS 3) kanggo push serep sing dienkripsi saben wengi, sisih klien deduplikasi menyang harddisk USB eksternal sing sampeyan copot sacara fisik utawa menyang Object-Locked (S3 Object Lock Compliance Mode) ember awan (Backblaze B2, Wasabi, utawa AWS S3) nggunakake tombol API mung append sing diwatesi.

Nomer darurat regional lan protokol agensi¶

Serangan ransomware sing nargetake piranti NAS diselidiki dening lembaga cybercrime nasional ing saindenging jagad, sing njaga repositori kunci dekripsi sing disita (No More Ransom) lan nglacak infrastruktur kriminal:

• Amerika Serikat lan Kanada:
• Pemadaman Urip Darurat: Nelpon 911 yen ransomware ngganggu sistem kesehatan utawa keamanan fisik.
• ** Pusat Pengaduan Kejahatan Internet CISA & FBI (IC3): Laporan kampanye ransomware NAS (DeadBolt, Akira, LockBit, Qlocker)ing stopransomware.gov,ic3.gov**, utawa nelpon CISA ing 1-844-Say-CISA (1-844-729-2472).
• Pusat Kanada kanggo Keamanan Siber & RCMP: Laporan ing cyber.gc.ca(1-833-CYBER-88) utawa Pusat Anti-Penipuan Kanada.
• Inggris Raya:
• Layanan Darurat: Nelpon 999 (utawa 101 kanggo polisi non-darurat).
• Penipuan Tindakan & NCSC: Laporkan insiden ransomware ing actionfraud.police.uk utawa telpon 0300 123 2040 (line kedadean cyber urip 24/7). Usaha cilik lan amal bisa takon ** NCSC Cyber Incident Response (ncsc.gov.uk)** portal.
• Uni Eropa:
• Layanan Darurat: Nelpon 112 ing kabeh negara anggota EU.
• ** Pusat Kejahatan Siber Eropa Europol (EC3) & NoMoreRansom.org**: Priksa nomoreransom.org (dikelola dening Polisi Nasional Walanda, Europol, lan agensi mitra) kanggo ngrebut kunci dekripsi ransomware NAS, lan lapor menyang CSIRT nasional lan Otoritas Perlindungan Data (DPA sajrone 72 jam yen data pribadhi dieksfiltrasi utawa ilang ing GDPR).
• Australia lan Selandia Anyar:
• Layanan Darurat: Nelpon 000 ing Australia utawa 111 ing Selandia Anyar.
• Pusat Keamanan Siber Australia (ACSC): Telpon Hotline Ransomware 24/7 ing 1300 CYBER1 (1300 292 371) utawa lapor ing cyber.gov.au.
• CERT NZ: Laporan ing cert.govt.nz.
• India lan Asia-Pasifik:
• India (CERT-In & Saluran Bantuan Kejahatan Siber): Nelpon 1930 utawa lapor ing cybercrime.gov.in lan incident@cert-in.org.in.
• Taiwan (TWCERT/CC, yurisdiksi asal Synology, QNAP, lan Asustor PSIRTs): Kirim tiket insiden keamanan vendor langsung menyang QNAP PSIRT (service.qnap.com) utawa Synology PSIRT (synology.com/en-global/security/advisory).

Pitakonan sing kerep ditakoni¶

Kepiye carane ransomware nginfeksi QNAP utawa Synology NAS nalika aku ora nate ngeklik link phishing lan komputerku wis resik?¶

NAS sampeyan kena infeksi langsung saka internet umum tanpa ndemek komputer. Salah siji router internet sampeyan wis UPnP (`Universal Plug and Play`) diaktifake (ngidini fitur "Konfigurasi Router Otomatis / EZ-Internet / myQNAPcloud" NAS kanggo mbukak port kanthi meneng. 8080, 443, 5000, 5001, utawa 22 ing firewall sampeyan), utawa sampeyan nerusake port kanthi manual kanggo ngakses file saka jarak jauh. Botnet otomatis terus-terusan mindai saben alamat IP umum ing internet lan ngeksploitasi kerentanan sing ora ditambal utawa lemah. admin sandhi ing antarmuka web NAS kapapar.

Kepiye carane bisa ngerti manawa ransomware langsung mlaku ing NAS OS vs. ing salah sawijining komputer Windows liwat jaringan?¶

Deleng telung pratondho: Pisanan, yen Layar mlebu administrasi web NAS dhewe diganti karo cathetan tebusan (kayata DeadBolt), utawa yen mung NAS sing wis ndhelik file nalika saben PC ing jaringan sampeyan resik, malware kasebut langsung dieksekusi ing NAS Linux OS. Kapindho, mbukak Log Sambungan NAS / Log Transfer File SMB (ing Synology Pusat Log utawa QNAP Pusat QuLog): yen sampeyan ndeleng alamat IP LAN lokal (kaya 192.168.1.24) nindakake puluhan ewu kanthi cepet Tulis / Ganti jeneng / Busak operasi rampung SMB, banjur komputer ing 192.168.1.24 yaiku piranti sing kena infeksi sing ngenkripsi NAS sampeyan liwat jaringan.

Ngapa DeadBolt mung encrypt awal video gedhe utawa file database, lan aku isih bisa muter utawa ndandani file sebagian ndhelik?¶

Kanggo encrypt puluhan terabyte panyimpenan NAS sadurunge pemilik weruh hard drive mecah lan narik plug, galur kaya DeadBolt mung encrypt ing 512 kilobyte pisanan (`524,288 bytes`) saben file lan tambahake .deadbolt extension, ninggalake gigabyte isih file ora kena ing teks biasa. Nalika ilang 512 KB pisanan ngrusak dokumen cilik lan foto JPEG rampung, file video multi-gigabyte gedhe (`.mp4`, `.mov`, `.mkv`), cuplikan kamera mentah, lan gambar disk mesin virtual tartamtu (`VMDK`/`VHDX`) utawa database SQL asring bisa didandani kanthi transplantasi header wadhah sing sah (`moov` atom) saka video liyane sing direkam nganggo kamera sing padha nggunakake piranti kaya untrunc.

yaiku Synology QuickConnect utawa myQNAPcloud Link aman kanggo ninggalake aktif yen aku mateni router UPnP lan Port Forwarding?¶

Kanthi router UPnP lan port forwarding manual dipateni, layanan relay outbound kaya Synology QuickConnect Relay lan myQNAPcloud Link Ngartekno luwih aman tinimbang mbukak port WAN amarga padha ora mbukak port ngrungokake ing firewall router. Nanging, dheweke isih mbukak layar login NAS sampeyan (`DSM` / `QTS` pawang otentikasi web) kanggo sapa wae sing ngerti utawa ngira sampeyan `QuickConnect ID`. Kanggo keamanan maksimum, mateni akses relay umum menyang antarmuka admin lan nggunakake Skala buntut utawa WireGuard VPN tinimbang, sing mbutuhake bukti asli piranti cryptographic sadurunge paket HTTP siji malah bisa tekan server web NAS Panjenengan.

Apa aku kudu mbayar tebusan Bitcoin DeadBolt, Qlocker, utawa eCh0raix yen aku ora duwe serep lan ora ana jepretan?¶

Lembaga penegak hukum (`FBI`, `CISA`, `Europol`, `NCSC`) banget menehi saran supaya ora mbayar tebusan amarga pambayaran dana sindikat pidana lan ora njamin manawa skrip dekripsi otomatis panyerang bakal bisa digunakake tanpa ngrusak file. Sadurunge nimbang pembayaran: (1) Gambar utawa simpen drive supaya ora nggawe kahanan luwih elek, (2) Priksa **`nomoreransom.org`** lan **`deadbolt.responders.nu`** kanggo ndeleng apa penegak hukum wis ngrebut kunci master kanggo galur sampeyan, (3) Kanggo **`Qlocker`**, mlaku **`PhotoRec` / `QRescue`** ing ruang disk sing ora disedhiyakake (sing asring mbalekake 60% nganti 90% asli sing wis dibusak kanthi gratis), lan (4) Kanggo gedhe `.mp4`/`.mov` video kenek dening enkripsi sebagean-header, test header reconstruction karo `untrunc`.

Pandhuan sing gegandhengan¶

• Infeksi malware, ransomware, lan spyware: penahanan lan pemulihan langsung
• Ngamanake router ngarep lan piranti IoT
• Array NAS RAID rusak, sawetara drive gagal, lan pemulihan ZFS/Btrfs
• Serep komputer, strategi 3-2-1, lan pemulihan bencana
• Eksploitasi nol dina patching darurat lan isolasi piranti pungkasan
• Nomer darurat miturut negara

Sumber lan panuntun dhumateng resmi¶

• Badan Keamanan Siber lan Infrastruktur (CISA) & Biro Investigasi Federal (FBI)(StopRansomware.gov): Tandha ing Panyimpenan sing Disambungake Jaringan (NAS) Perkakas Ditargetake dening DeadBolt, Qlocker, eCh0raix, lan Akira Ransomware.
• Pusat Kejahatan Siber Eropa Europol (EC3) & Polisi Nasional Walanda (Politie)(NoMoreRansom.org): Operasi DeadBolt Key Seizure, eCh0raix Decryptor Repository, lan Pedoman Mitigasi Ransomware.
• Tim Tanggap Insiden Keamanan Produk QNAP (QNAP PSIRT) & Dewan Penasehat Keamanan Synology: Buletin Teknis babagan Mateni UPnP Router, Mbalekake Konsol Admin sing Dibajak, QRescue (PhotoRec) Recovery Unallocated, lan Ngaktifake Immutable WORM Jepretan.
• Pusat Keamanan Siber Nasional (NCSC) (Inggris): Mitigasi Malware lan Ransomware ing Panyimpenan Jaringan lan Perkakas Kantor Cilik.