Үйдегі немесе кеңседегі NAS (Synology/QNAP): шифрлауды және UPnP экспозициясын тоқтату¶

Желіге қосылған жад ішіндегі қатты дискілерді тыңдау (NAS) құрылғы (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, немесе Western Digital My Cloud) ортақ қалталар толтырылған кезде дискіні 100 пайыз пайдалану кезінде үздіксіз соққы .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, немесе .encrypt файл кеңейтімдері (немесе NAS веб-логин экранының Bitcoin төлем талабымен ауыстырылғанын көру) сақтаудың төтенше жағдайы болып табылады. NAS құрылғылары автоматтандырылған интернеттегі төлемдік бағдарламалық қамтамасыз ету ботнеттері үшін бағалы мақсат болып табылады (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, және Akira) себебі бір патчсыз NAS көбінесе отбасының немесе шағын бизнестің бүкіл сандық өмірінің 10-100 терабайтын қамтиды және Router UPnP ( UPnP маршрутизаторы арқылы иесі түсінбестен жиі жалпыға ортақ интернетке шығады.Universal Plug and Play) Auto-Port-Forwarding немесе жеткізушінің бұлттық реле қызметтері (myQNAPcloud, Synology QuickConnect, EZ-Internet). Айнымалы ток қуат сымын қабырғадан суырып алмас бұрын, NAS жүйесінде Copy-on-Write суреттерін пайдаланатынына негізделген маңызды 10 секундтық архитектуралық шешім қабылдауыңыз керек (Btrfs немесе ZFS) немесе дәстүрлі RAID массиві; төлемдік бағдарлама емес диск массивінің бұзылулары үшін кеңес алыңыз NAS RAID массиві нашарлады, бірнеше диск ақаулары және ZFS/Btrfs қалпына келтіру, және компьютерге негізделген төлемдік бағдарламалық құралдың инфекциялары үшін қараңыз зиянды бағдарлама, төлемдік бағдарлама және шпиондық бағдарлама инфекциясы сондай-ақ үй маршрутизаторлары мен IoT құрылғыларын қорғау. Егер төлемдік бағдарлама аурухананың жұмысына, муниципалды төтенше жағдайлар қызметіне немесе физикалық қауіпсіздік инфрақұрылымына әсер етсе, жергілікті жедел жәрдем нөміріне (911 АҚШ пен Канадада, 112 Еуропалық Одақ бойынша, 999 Ұлыбританияда) немесе біздің халықаралық анықтамалығымызбен кеңесіңіз шұғыл нөмірлер.

Мұны қазір жасаңыз¶

1. Физикалық Ethernet желісін тартыңыз (RJ45 / 10GbE) желілік кабель(дер)ді NAS артқы жағынан ДӘЛ ҚАЗІР, қуат сымын ұстамас бұрын:
2. Ethernet кабелін (кабельдерін) ажырату шабуылдаушының интерактивті SSH/HTTP командалық-басқару сеансын дереу үзеді, NAS екінші шифрлау пайдалы жүктемелерін жүктеп алуды тоқтатады және жергілікті кеңсенің LAN желісіндегі вирус жұққан жұмыс үстелі компьютерінің SMB/CIFS желілері арқылы NAS шифрлауын бірден тоқтатады.\\NAS\Share).
3. 15 секундта қуатты өшіру немесе шифрлау процесін таза түрде тоқтату керектігін анықтаңыз:
4. А сценарийі: Төлем бағдарламасы LAN желісіндегі жұмыс үстеліндегі компьютерде жұмыс істейді және NAS файлдарын SMB/Mapped Network Drive арқылы шифрлайды: 1-қадамда NAS Ethernet кабелін тартсаңыз болғаны NAS жүйесіндегі шифрлауды 100% тоқтатты. RAID массиві мен файлдық жүйесі таза болып қалуы үшін NAS қосулы қалдырыңыз және вирус жұққан Windows/Mac жұмыс станциясын оқшаулаңыз.
5. В сценарийі: төлемдік бағдарламалық құралдың екілік нұсқасы тікелей NAS Linux операциялық жүйесінің ІШІНДЕ орындалуда (DeadBolt, Qlocker, eCh0raix):
   • Егер сізде жоқ бар Btrfs немесе ZFS суреттер қосулы (мысалы, ескі ext4 дыбыс деңгейі) және дискілер белсенді түрде ұнтақталып жатыр, өйткені NAS файлдардың жалғыз көшірмесін шифрлайды, ** қуатты бірден қатты өшіру үшін NAS құрылғысындағы физикалық алдыңғы Қуат түймесін 5-10 секунд басып тұрыңыз** (немесе түйме жауап бермесе, тұрақты ток/айнымалы ток қуат ашасынан тартыңыз). NAS қосылып тұрған минут сайын оның процессоры файлдарыңыздың тағы 5-20 гигабайтын шифрлауға мүмкіндік береді.
   • Маңызды ескерту (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware штаммдары сияқты Qlocker (бұл файлдарды құпия сөзбен қорғалғанға жылжытады .7z пайдаланатын мұрағаттар 7z) және DeadBolt кейде белсенді шифрлау күйін немесе шифрды шешу кілттерін сақтаңыз /tmp (RAM) немесе веб UI екілік файлын ұрлау (/home/httpd/index.html). NAS жүйесінде әлі де ашық жергілікті SSH түбір қабығы болса, тексеріңіз ps aux және /tmp өшіру алдында (төмендегі 2-кезеңді қараңыз).
6. Интернет маршрутизаторына/брандмауэріне кіріңіз (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP шлюзі) дереу өшіріп, ӨШІРУ UPnP (Universal Plug and Play) ЖӘНЕ NAS-қа нұсқайтын барлық WAN портын бағыттау ережелерін жойыңыз:
7. Үйдегі және шағын кеңседегі NAS ransomware инфекцияларының 80 пайыздан астамы пайдаланушы бастапқы орнату кезінде "Автомаршрутизаторды конфигурациялау / EZ-Internet / UPnP" түймесін басқандықтан орын алады, бұл үй маршрутизаторына TCP порттарын ашуға үнсіз нұсқау берді. 5000, 5001, 8080, 8443, 443, 22 (SSH), немесе 445 (SMB) тікелей бүкіл қоғамдық интернетке (Shodan.io / Censys).
8. Маршрутизатордың WAN/NAT параметрлерінде UPnP біржола өшіріңіз және NAS жергілікті IP мекенжайын көрсететін әрбір портты қайта жіберу ережесін жойыңыз.
9. Қатты дискілердегі «DSM немесе QTS қалпына келтіру/қайта орнату» параметрін инициализациялауға, қайта пішімдеуге немесе іске қосуға БОЛМАЙДЫ, ол тек ОЖ бөлімін немесе деректер көлемін ұрлағанын тексермес бұрын:
10. ** сияқты шабуылдардаDeadBolt**, зиянды бағдарлама NAS веб-логин бетін қайта жазады (index.html) QNAP/Synology басқару тақтасына кіруді бұғаттайтын толық экранды төлем жазбасын көрсету үшін, сіздің негізгі ақпаратыңыз болса да. Btrfs / ZFS суреттер немесе үлкен бейне файлдар (20 мегабайттан астам) дискілерде әлі 100 пайыз бұзылмаған.
11. ** NAS бар-жоғын тексеріңіз Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), немесе LVM Блок деңгейіндегі суреттер (QNAP Storage & Snapshots)**:
12. Өйткені Btrfs және ZFS Суреттер файлдық жүйе блок деңгейінде (және Synology WORM / Өзгермейтін суреттерді тіпті бұзылған файл да жоя алмайды root әкімші тіркелгісі), шыфрланған ортақ қалталарыңыздың 100 пайызын 60 секунд ішінде деректердің жоғалуы және төлемнің нөлдік төлемімен кері қайтаруға болады.
13. Кез келген төлемді төлемес бұрын, нақты төлем бағдарламалық құралының қолданылу түрін анықтаңыз ID Ransomware (id-ransomware.malwarehunterteam.com) және No More Ransom (nomoreransom.org):
14. NAS төлем бағдарламасының бірнеше негізгі штаммдары (eCh0raix / QNAPCrypt, ерте Qlocker арқылы photorec / qrescue журналды шығару, Muhstik, және SynoLocker) құқық қорғау және қауіпсіздік зерттеушілері жариялаған тегін ашық дешифраторлар немесе криминалистикалық кілттерді шығару әдістері бар.

Шешім тармағы: NAS ransomware бағдарламасының дереу триажы және қалпына келтіру жолы¶

Шабуыл LAN компьютерінен немесе тікелей NAS жүйесінде жасалғанын анықтау үшін осы жұмыс процесін пайдаланыңыз және ең қауіпсіз қалпына келтіру әдісін таңдаңыз:

flowchart TD
    Symptom["NAS дискілері 100% тегістеледі + Атауы өзгертілген файлдар (.deadbolt, .7z, .ech0raix, .lockbit) немесе Web UI төлем экранын көрсетеді"] --> PullLAN["1-ҚАДАМ (5 секунд ішінде): NAS артқы жағындағы барлық Ethernet кабельдерін ажыратыңыз"]

    PullLAN --> SourceCheck{"NAS Ethernet кабелін ажыратқанда шифрлау бірден тоқтады ма?"}

    SourceCheck -->|"ИӘ: LAN ажыратылған кезде диск әрекеті нөлге дейін төмендеді"| SMBVector["A КӨЗІ: Ransomware сіздің желідегі Windows/Mac компьютерінде жұмыс істейді және SMB арқылы ортақ қалталарды шифрлайды"]

    SourceCheck -->|"ЖОҚ: NAS қатты дискілері Ethernet қосылмаған күйде (немесе NAS веб-логин парағының өзі төлем экранымен ауыстырылған) жұмысын жалғастыруда."| DirectNAS["B КӨЗІ: Ransomware Binary NAS ОЖ ішінде тікелей орындалады (UPnP арқылы пайдаланылады / Ашық WAN порттары 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Жергілікті желідегі вирус жұққан компьютерді табыңыз және ажыратыңыз -> Btrfs / ZFS / QNAP суреттерінен немесе гипер сақтық көшірмеден NAS ортақ қалталарын қалпына келтіріңіз"]

    DirectNAS -->SSHCheck{"Сізде белсенді жергілікті SSH сеансы ашық па (немесе Qlocker 7z жұмыс істейді ме)?"}

    SSHCheck -->|"Иә (Qlocker / Белсенді 7z процесі)"| GrabPass["ps aux | тексеру Өлтірер алдында Args пәрмен жолынан ашық мәтінді 7-Zip құпия сөзін алу үшін SSH жүйесіндегі grep 7z"]
    SSHCheck -->|"SSH / Белгісіз штамм тегістеу дискілері жоқ"| PowerOff["Шифрланбаған файлдар мен бос орын сақталуы үшін қатты қуатты дереу өшіру үшін NAS қуат түймесін 5-10 секунд ұстап тұрыңыз."]

    GrabPass --> KillUPnP["2-ҚАДАМ: Маршрутизаторға кіру -> UPnP біржола өшіру + Портты қайта жіберу ережелерінің барлығын жою (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"NAS жүйесінде қандай қалпына келтіру активтері бар?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP блогының суреттері бар"| SnapRestore["OS бөлімін / микробағдарламаны жаңарту -> шабуылды алдын ала суретке түсіру үшін ортақ қалталарды кері қайтарыңыз"]
    RecoveryPath -->|"Сыртқы USB / Сайттан тыс бұлттық сақтық көшірме (Hyper Backup / HBS 3)"| BackupRestore["Жамалған микробағдарламада NAS өшіру және қайта құру -> Офлайн/бұлттық сақтық көшірмеден қалпына келтіру"]
    RecoveryPath -->|"Суреттер және сақтық көшірмелер жоқ"| ForensicCarve["Дискілерді тек оқуға арналған клондау -> NoMoreRansom.org сайтын тексеріңіз + PhotoRec / QRescue бөлінбеген оюды іске қосыңыз (әсіресе Qlocker-ке қарсы тиімді)"]

NAS Ransomware қалай енеді: екі шабуыл векторы¶

NAS жүйесін жергілікті желі қосқышына қайта қоспас бұрын, екі мүлдем басқа енгізу векторының қайсысы төлемдік бағдарламалық құралды сақтау көлеміне рұқсат еткенін білуіңіз керек:

1-кезең: Интернетке әсер етуді өшіру (Router UPnP, Port Forwarding, және Cloud Relays)¶

Маршрутизатордағы желі саңылауын жаппастан NAS жүйесін тазаласаңыз немесе қалпына келтірсеңіз, жалпыға ортақ IP мекенжайыңызды сканерлейтін автоматтандырылған ботнеттер NAS оны желіге қосқаннан кейін бірнеше сағат ішінде қайта жұқтырады. Алдымен маршрутизаторда желіні құлыптауды аяқтаңыз:

1. Интернет маршрутизаторына/брандмауэр әкімші консоліне кіріңіз:
2. Таза компьютерде немесе телефонда шолғышты ашыңыз және маршрутизатордың IP шлюзіне өтіңіз (әдетте 192.168.1.1, 192.168.0.1, 10.0.0.1, немесе торлы маршрутизатор қолданбасы арқылы UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Өшіру UPnP (Universal Plug and Play) Тұрақты:
4. Қосымша > NAT бағыттау / WAN / Желі > UPnP тармағына өтіп, UPnP параметрін ӨШІРУ / Өшірулі күйіне ауыстырыңыз.
5. Неге UPnP NAS иелері үшін өте қауіпті: Маршрутизаторда UPnP қосылған кезде жергілікті желідегі кез келген құрылғы (соның ішінде NAS «EZ-Internet» немесе «Автомаршрутизаторды конфигурациялау» шебері немесе смарт теледидардағы зиянды бағдарлама) үнсіз хабарлама жібере алады. IGD (Internet Gateway Device) маршрутизатордан құпия сөзді сұрамай-ақ брандмауэрді айналып өтіп, "Сыртқы WAN портын 8080 және 5001 жергілікті IP 192.168.1.50 ашыңыз" деп сұрау.
6. Барлық қолмен портты қайта жіберуді жою (Virtual Server) & DMZ NAS-қа нұсқайтын ережелер:
7. Қосымша > NAT бағыттау > Портты қайта жіберу (немесе виртуалды серверлер) тармағына өтіп, TCP немесе UDP порттарын қайта бағыттайтын әрбір ережені жойыңыз (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 ШОБ, 32400 Plex (қажет болмаса) NAS IP мекенжайына.
8. Қосымша > DMZ құсбелгісін қойып, DMZ хостының өшірілгенін тексеріңіз (маршрутизатордың DMZ жүйесіне NAS IP мекенжайын орналастыру NAS барлық 65,535 TCP және UDP порттарын тікелей жалпыға ортақ интернетке шығарады).
9. Желіден тыс NAS порттарының ашық екеніне көз жеткізіңіз:
10. Бару shodan.io немесе grc.com (ShieldsUP) немесе порттарды растау үшін жалпы WAN IP мекенжайына қарсы портты сканерлеуді іске қосыңыз 5000, 5001, 8080, 8443, 443, және 22 енді қайт Filtered / Stealth / Closed.

2-кезең: штаммға тән төтенше жағдай триажы (Qlocker, DeadBolt, eCh0raix)¶

NAS жүйесін сүртпес бұрын немесе төлемді төлемес бұрын, құрылғыңызға қандай нақты NAS ransomware штаммы тигенін тексеріңіз. Әрбір негізгі NAS тобында төлемсіз деректерді ішінара немесе толық қалпына келтіруге мүмкіндік беретін бірегей техникалық әлсіздіктері бар:

1. Егер файлдарыңыз келесімен ауыстырылса .7z Мұрағаттар (Qlocker QNAP/Linux NAS жүйесінде)¶

Қалай Qlocker жұмыс істейді: реттелетін криптографиялық қозғалтқышты жазудың орнына, Qlocker NAS-тің өзінің кірістірілгенін шақыратын сценарийді іске қосады 7-Zip (/usr/local/sbin/7z) әр файлды құпия сөзбен қорғалғанға қысу үшін екілік .7z мұрағаттаңыз, содан кейін қалыпты Linux жүйесін іске қосады rm (unlink) бастапқы файлда. - Триаж трюк №1 (құпия сөзді тірі түрде алу ps aux Өшіру алдында): Егер Qlocker NAS жүйесінде қазір жұмыс істеп тұр және SSH ( арқылы жергілікті жүйеге кіруге болады.ssh admin@nas-local-ip), бұл пәрменді өшіру алдында бірден іске қосыңыз:

ps aux | grep 7z

2. Егер NAS кіру экраны ауыстырылса DeadBolt Төлем беті (.deadbolt файлдар)¶

Қалай DeadBolt жұмыстар: 1. DeadBolt ауыстырады /home/httpd/index.html (немесе /home/httpd/cgi-bin/index.cgi) QNAP QTS / Asustor ADM бақылау тақтасын ашпақ болған сайын веб-шолғышыңызды ұрлайтын өзінің екілік/HTML парағы бар, 32 алты таңбалы басты шифрды шешу кілтіне айырбастау үшін Bitcoin талап етеді (тізбектегі Bitcoin арқылы жеткізіледі. OP_RETURN транзакция). 2. Деректерді жоғалтпай QNAP QTS / QuTS кейіпкерінің әкімші бақылау тақтасына қалай қол жеткізуге болады: - А опциясы (қосылған болса, жергілікті SSH арқылы): SSH жергілікті NAS жүйесіне (ssh admin@<nas-ip>), алаяқты тоқтатыңыз deadbolt егер іске қосылған болса, процесті орындаңыз және QNAP микробағдарламасының ресми қалпына келтіру сценарийін іске қосыңыз немесе түпнұсқаны қалпына келтіріңіз /home/httpd/index.html тек оқуға арналған жүйелік ROM кескінінен (/mnt/HDA_root/update_pkg/). - В опциясы (дисксіз микробағдарлама жарқылы + ыстық штепсельді қайта орнату): 1. NAS құрылғысын өшіріңіз. 2. Барлық қатты дискілерді артқы тақтадан ажырату үшін 2 сантиметрге (1 дюйм) сырғытыңыз (олардың орналасу ретін алдымен суретші таспасымен мұқият нөмірлеңіз). 3. NAS жүйесін қатты дискілерсіз қосыңыз, оның IP мекенжайын Qfinder Pro арқылы табыңыз, орнату экранында сұралғанда, дискілерді нақты ұяларына қайта қосыңыз және "Тек микробағдарламаны жаңарту (барлық деректер мен параметрлерді сақтау)" тармағын таңдаңыз (ешқашан дискілерді өшіретін "Жүйені іске қосу" түймесін баспаңыз). 3. Құқық қорғау органдарының шифрын шешуге қатысты маңызды ескерту DeadBolt: Голланд ұлттық полициясы басқаратын үйлестірілген операцияларда (Politie), Еуропол (No More Ransom) және Responders.nu, құқық қорғау органдары сәтті алдады DeadBolt Mempool төлемі кезінде қауіп төндіретін субъектілер 150-ден астам негізгі шифрды шешу кілттерін босатуға дейін өсті, бұрын шабуылдаушылардың төмен ақы төлейтін Bitcoin транзакциялары Replace-By-Fee арқылы жойылды. Тексеру deadbolt.responders.nu және nomoreransom.org өзіңіздің ерекшелігіңізді көру үшін DeadBolt жәбірленушінің мекенжай кілтін полицейлер басып алды.

3. Егер файлдарыңыз біткен болса .encrypt (eCh0raix / QNAPCrypt)¶

• Бірнеше ұрпақ eCh0raix (QNAPCrypt) ақаулы AES кілт туындысын пайдаланды немесе олардың пәрменді басқаруы болды (C2) қауіпсіздік зерттеушілері мен құқық қорғау органдары басып алған деректер базасы.
• Бару nomoreransom.org және екі шифрланған файлды жүктеңіз (немесе төлем жазбасы README_FOR_DECRYPT.txt) тегін Bitdefender / NoMoreRansom сынау үшін eCh0raix Кез келген нәрсені сүртпес бұрын дешифрлау.

3 кезең: файлдарды қалпына келтіру Btrfs, ZFS, немесе QNAP 60 секундтағы суреттер¶

Егер NAS Вектор №2 (SMB арқылы ортақ қалталарды шифрлайтын LAN желісіндегі төлемдік бағдарламалық құралмен зарарланған компьютер) арқылы шифрланған болса немесе сізде Өзгермейтін (WORM) Тікелей NAS шабуылы кезінде суреттер немесе қозғалмаған LVM/Btrfs/ZFS суреттері файлдарыңыздың 100 пайызын дереу қалпына келтіре аласыз:

1. Synology DiskStation (DSM 7.x бірге Btrfs Суретті репликациялау)¶

1. Алдымен, жергілікті желідегі вирус жұққан компьютердің желіден ажыратылғанын тексеріңіз және Synology DSM жүйесін Басқару тақтасы > Жаңарту және қалпына келтіру тармағында соңғы шығарылымға жаңартыңыз.
2. Synology DSM ішіндегі Snapshot Replication бумасын ашыңыз.
3. Сол жақ бүйірлік тақтадағы Қалпына келтіру түймесін басыңыз.
4. Шифрланған Ортақ қалтаны таңдаңыз (немесе iSCSI LUN) және Қалпына келтіру түймесін басыңыз.
5. Жоспарланған суреттер тізімін шолу (GMT+...) және қаржылық бағдарламалық құралды шифрлау басталғанға дейін түсірілген суретті таңдаңыз (сол суреттің ішіндегі файлдарды алдын ала қарау және олардың таза және шифрланбағанын растау үшін алдымен Әрекет > Шолу тармағын таңдаңыз).
6. Әрекет > Осы суретті қалпына келтіру түймешігін басыңыз (немесе ортақ қалтаның таза көшірмесін дереу орнату кезінде сот сараптамасы үшін шифрланған қалтаны ешбір өзгеріссіз қалдырғыңыз келсе, Жаңа атпен клондау түймесін басыңыз).
7. Өйткені Btrfs Бұл жазуға көшіру (CoW) файлдық жүйе, 20 терабайт ортақ қалтаны шабуыл алдындағы суретке қайтару 10 секундтан аз уақытты алады.

2. QNAP NAS (QTS Блок деңгейіндегі LVM суреттері және QuTS hero ZFS Суреттер)¶

1. QTS/QuTS кейіпкері патчталған және WAN желісінен оқшауланған соң, Сақтау және суреттер ашыңыз.
2. Сақтау > Сақтау/Суреттер тармағына өтіп, зардап шеккен Қалың көлемді, Жіңішке көлемді немесе ZFS ортақ қалтасын таңдап, Snapshot Manager (камера белгішесі) түймесін басыңыз.
3. Шабуыл уақыт белгісіне дейін түсірілген соңғы таза суретті таңдаңыз.
4. Файлдарыңыздың бүтіндігін тексеру үшін оң жақ тақтадағы қалта ағашын шолыңыз, содан кейін Дыбыс суретін қайтару түймесін басыңыз (немесе барлық қалталарды таңдап, тек шифрланған файлдарды қайта жазу үшін Қалпына келтіру түймесін басыңыз).

3. TrueNAS (CORE / SCALE қосулы ZFS) және Unraid (ZFS / Btrfs)¶

• TrueNAS жүйесінде (ZFS): Сақтау > Snapshots (немесе Деректерді қорғау > Мерзімді сурет тапсырмалары) тармағына өтіңіз, таза суретті табыңыз (tank/share@auto-2026-10-31_12-00) және Қайтару түймесін басыңыз (немесе суретті жаңа деректер жиынына клондаңыз zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered сондықтан жаңа аралық суреттерді ешқашан жоғалтпайсыз).

4-кезең: NAS қайта шифрланбайтын етіп қатайту (7 нүктеден тұратын бақылау тізімі)¶

Деректер қалпына келтірілгеннен кейін, желіге қайта қоспас бұрын Synology, QNAP, TrueNAS немесе Asustor құрылғысында осы жеті міндетті конфигурация ережесін қолданыңыз:

• 1. Маршрутизатордағы кез келген портты ешқашан NAS жүйесіне бағыттамаңыз: пайдаланыңыз Tailscale немесе WireGuard VPN Оның орнына:
• Ресми Tailscale бумасын Synology Package Center / QNAP қолданбалар орталығынан орнатыңыз (немесе маршрутизатордың кірістірілген WireGuard VPN серверін іске қосыңыз).
• Tailscale нөлдік конфигурациялы, тең дәрежелі WireGuard шифрланған тор туннелін жасайды (100.x.y.z) телефон, ноутбук және NAS арасында үйдегі маршрутизатордың брандмауэрінде нөлдік ашық порттармен. NAS фотосуреттеріне, файлдарына және басқару экранына әлемнің кез келген жерінен қол жеткізе аласыз, ал NAS интернет сканерлеріне 100% көрінбейді. Shodan.
• 2. Кірістірілген әдепкі параметрді өшіріңіз admin Тіркелгі және міндетті 2FA бар теңшелетін атаулы әкімші жасау:
• Synology DSM және QNAP QTS екеуі де ** деп аталатын әдепкі есептік жазбамен жеткізіледі.admin** (UID 1024 немесе UID 0). Автоматтандырылған дөрекі күш боттар пайдаланушы атын ұрады admin 24/7.
• Бірегей пайдаланушы аты бар мүлде жаңа әкімші тіркелгісін жасаңыз, сол жаңа тіркелгімен кіріңіз, Басқару тақтасы > Пайдаланушы және топ (немесе пайдаланушылар) тармағына өтіңіз және Әдепкі параметрді өшіріңіз. admin шот.
• Міндетті 2 факторлы аутентификацияны қосыңыз (OTP / Passkey / Approve Sign-in) барлық әкімші тіркелгілері үшін.
• 3. Өзгермейтін қосу (WORM) Суреттер (7-to-14-Day Retention Lock):
• Synology DSM 7.2+ параметрінде: Snapshot Replication > Snapshots > Settings > Schedule тармағын ашыңыз, күнделікті суреттерді қосыңыз және 7-14 күн қорғаныс кезеңімен "Өзгермейтін суреттерді қосу" құсбелгісін қойыңыз. Хакер сіздің түбірлік құпия сөзіңізді ұрласа немесе DSM жүйесіндегі ядроның осалдығын пайдаланса да, ешкім (тіпті емес) root) 7 күндік аппараттық сағат мерзімі біткенше өзгермейтін суретті жоя алады.
• QNAP QuTS hero / QTS жүйесінде: Snapshot Replica Vault конфигурациялаңыз немесе WORM (Write Once, Read Many) маңызды сақтық көшірме бөлісулеріндегі сақтау саясаттарын және "Суретті сурет кеңістігін резервтеу" қосулы екеніне көз жеткізіңіз.
• 4. SMB желісін ортақ пайдалану рұқсаттарын шектеу (Least Privilege) Сонымен, ноутбук инфекциясы бүкіл NAS-ті шифрлай алмайды:
• NAS шеберін ешқашан картаға салмаңыз admin Windows File Explorer ішіндегі тіркелгі деректері (\\NAS\) күнделікті ноутбуктерде.
• Күнделікті файлға кіру үшін стандартты әкімші емес пайдаланушы тіркелгісін жасаңыз және мұрағат/фото қалталарыңызды орнатыңыз (мысалы, 2010-2025 Family Photos Archive) Тек оқуға арналған (ro) күнделікті жұмыс үстелін пайдаланушылар үшін, егер отбасы мүшесінің Windows компьютері төлемдік бағдарламаны ұстаса, компьютер сол қалталарды оқи алады, бірақ оларды шифрлай немесе өзгерте алмайды.
• 5. NAS кірістірілген брандмауэрін ҚОСУ (Allow LAN + Tailscale Subnets Only) & Автоблок:
• Synology басқару тақтасы > Қауіпсіздік > Брандмауэр (немесе QNAP QuFirewall) ішінде тек жергілікті LAN ішкі желіден (немесе QNAP QuFirewall) қосылуға рұқсат беретін қатаң рұқсат етілген тізім ережесін жасаңыз (192.168.1.0/24) және Tailscale/VPN ішкі желіңіз (100.64.0.0/10), одан кейін Барлығын жоққа шығару параметріне орнатылған төменгі ереже. Біреу байқаусызда бұрылып кетсе де UPnP Маршрутизаторға қайта қосылғанда, NAS ішкі пакет сүзгісі әрбір жалпыға қолжетімді интернет пакетін бірден тастайды.
• 6. SSH өшіру (Port 22) және Telnet (Port 23) Ақаулықтарды белсенді түрде жою кезінде:
• Қалыпты күнделікті жұмыс кезінде Басқару тақтасы > Терминал және SNMP ішінде SSH ӨШІРУЛІ күйінде қалдырыңыз; пәрмен жолы тапсырмасын орындау үшін оны тек 10 минутқа қосыңыз, содан кейін оны бірден өшіріңіз.
• 7. Шынайы «3-2-1» ауамен саңылаусыз/өзгермейтін бұлттың сақтық көшірмесін сақтаңыз (Hyper Backup / HBS 3):
• Біздің орындаңыз компьютердің сақтық көшірмелері және 3-2-1 апатты қалпына келтіру нұсқаулығы: Synology конфигурациялау Hyper Backup немесе QNAP Hybrid Backup Sync (HBS 3) түнгі шифрланған, клиент тарапынан қайталанатын сақтық көшірмелерді физикалық түрде ажырататын сыртқы USB қатты дискісіне немесе Нысан құлыпталған (S3 Object Lock Compliance Mode) бұлт шелегі (Backblaze B2, Wasabi, немесе AWS S3) шектелген тек қосымша API кілттерін пайдалану.

Аймақтық жедел жәрдем нөмірлері және агенттік хаттамалары¶

NAS құрылғыларына бағытталған Ransomware шабуылдарын дүние жүзіндегі ұлттық киберқылмыс агенттіктері зерттейді, олар тәркіленген шифрды шешу кілттерінің репозиторийлерін сақтайды (No More Ransom) және қылмыстық инфрақұрылымды қадағалау:

• Америка Құрама Штаттары және Канада:
• Төтенше жағдайдағы өмір қауіпсіздігінің тоқтауы: теріңіз 911 егер төлемдік бағдарлама денсаулық сақтау немесе физикалық қауіпсіздік жүйелерін бұзса.
• CISA және FBI Интернеттегі қылмысқа шағымдану орталығы (IC3): NAS төлем бағдарламасы науқандары туралы хабарлау (DeadBolt, Akira, LockBit, Qlocker) stopransomware.gov, ic3.gov немесе CISA нөміріне қоңырау шалыңыз 1-844-Say-CISA (1-844-729-2472).
• Канадалық киберқауіпсіздік және RCMP орталығы: есеп cyber.gc.ca (1-833-CYBER-88) немесе Канаданың алаяқтыққа қарсы орталығы.
• Біріккен Корольдік:
• Төтенше қызметтер: теріңіз 999 (немесе 101 төтенше емес полиция үшін).
• Action Fraud & NCSC: Ransomware оқиғалары туралы хабарлаңыз actionfraud.police.uk немесе қоңырау шалыңыз 0300 123 2040 (24/7 тікелей киберинциденттер желісі). Шағын бизнес пен қайырымдылық ұйымдары NCSC Cyber Incident Response (ncsc.gov.uk) порталы.
• Еуропалық Одақ:
• Төтенше қызметтер: теріңіз 112 барлық ЕО-ға мүше мемлекеттерде.
• Europol Еуропалық киберқылмыс орталығы (EC3) & NoMoreRansom.org: Тексеру nomoreransom.org (Нидерландтың Ұлттық полициясы, Europol және серіктес агенттіктер ұстайды) NAS ransomware шифрын шешу кілттері үшін және ұлттық CSIRT және деректерді қорғау органына хабарлаңыз (DPA GDPR бойынша жеке деректер эксфильтрацияланса немесе жоғалса, 72 сағат ішінде).
• Австралия және Жаңа Зеландия:
• Төтенше қызметтер: теріңіз 000 Австралияда немесе 111 Жаңа Зеландияда.
• Австралиялық киберқауіпсіздік орталығы (ACSC): ** телефоны бойынша тәулік бойы жұмыс істейтін Ransomware сенім телефонына қоңырау шалыңыз.1300 CYBER1 (1300 292 371)** немесе ** мекенжайы бойынша хабарлаңызcyber.gov.au**.
• CERT NZ: есеп cert.govt.nz.
• Үндістан және Азия-Тынық мұхиты:
• Үндістан (CERT-In және киберқылмысқа қарсы сенім телефоны): теріңіз 1930 немесе хабарлаңыз cybercrime.gov.in және incident@cert-in.org.in.
• Тайвань (TWCERT/CC, Synology, QNAP және Asustor PSIRTs үй юрисдикциясы): жеткізушінің қауіпсіздік оқиғасы билеттерін тікелей QNAP PSIRT (service.qnap.com) немесе Synology PSIRT (synology.com/en-global/security/advisory).

Жиі қойылатын сұрақтар¶

Фишингтік сілтемені ешқашан баспаған кезде және компьютерлерім толығымен таза болғанда, төлемдік бағдарлама QNAP немесе Synology NAS жүйесін қалай жұқтырды?¶

NAS компьютерлеріңізге қол тигізбестен тікелей жалпыға қолжетімді интернеттен жұқтырылды. Немесе сіздің интернет-роутеріңізде болды UPnP (`Universal Plug and Play`) қосулы (NAS «Авто маршрутизаторды конфигурациялау / EZ-Internet / myQNAPcloud» мүмкіндігіне порттарды үнсіз ашуға мүмкіндік береді 8080, 443, 5000, 5001, немесе 22 брандмауэрде) немесе файлдарға қашықтан қол жеткізу үшін портты қолмен жібердіңіз. Автоматтандырылған ботнеттер интернеттегі әрбір жалпыға ортақ IP мекенжайын үздіксіз сканерлейді және түзетілмеген осалдықтарды немесе әлсіз жерлерді пайдаланады. админ ашық NAS веб-интерфейстеріндегі құпия сөздер.

Төлем бағдарламалық құралының желілік ортақ пайдалану арқылы Windows компьютерлерімнің бірінде және NAS ОЖ ішінде тікелей іске қосылғанын қалай анықтауға болады?¶

Үш көрсеткішті қараңыз: Біріншіден, егер NAS веб-әкімшілігінің кіру экранының өзі төлем жазбасымен ауыстырылды (мысалы DeadBolt) немесе желідегі әрбір компьютер таза болған кезде тек NAS файлдарды шифрлаған болса, зиянды бағдарлама тікелей NAS Linux ОЖ ішінде орындалады. Екіншіден, ашыңыз NAS қосылым журналы / SMB файлдарды тасымалдау журналы (Синологияда Журнал орталығы немесе QNAP QuLog орталығы): жергілікті LAN IP мекенжайын көрсеңіз (мысалы 192.168.1.24) ондаған мың жылдам орындау Жазу / Атын өзгерту / Жою операциялар аяқталды ШОБ, содан кейін компьютер 192.168.1.24 желі арқылы NAS шифрлайтын вирус жұққан құрылғы.

Неге болды DeadBolt менің үлкен бейнемнің немесе дерекқор файлдарымның басын ғана шифрлайды және жартылай шифрланған файлдарды әлі де ойната немесе жөндеуге бола ма?¶

Иесі қатты дискілердің ұнтақталып жатқанын байқамай және штепсельдік штепсельді тартып алғанға дейін ондаған терабайт NAS сақтау орнын шифрлау үшін DeadBolt тек шифрлау алғашқы 512 килобайт (`524,288 bytes`) әр файлды таңдап, оны қосыңыз .тұғыр кеңейтіммен файлдың қалған гигабайттарын кәдімгі мәтінде қалдырады. Алғашқы 512 Кбайтты жоғалту шағын құжаттар мен JPEG фотосуреттерін толығымен жояды, үлкен көп гигабайттық бейне файлдар (`.mp4`, `.mov`, `.mkv`), өңделмеген камера бейнелері және кейбір виртуалды машина дискінің кескіндері (`VMDK`/`VHDX`) немесе SQL дерекқорларын жиі жөндеуге болады жарамды контейнер тақырыбын трансплантациялау арқылы (`moov` атом) сияқты құралдарды пайдаланып, сол камерамен жазылған басқа бейнеден қысқарту.

Синология QuickConnect немесе myQNAPcloud Link Маршрутизатор UPnP мен портты бағыттауды өшірсем, қосулы қалдыру қауіпсіз бе?¶

Маршрутизатор UPnP және портты қолмен бағыттау толығымен өшірілгенде, Synology сияқты шығыс релелік қызметтері QuickConnect релесі және myQNAPcloud сілтемесі ашық WAN порттарына қарағанда әлдеқайда қауіпсіз, себебі олар маршрутизатордың брандмауэрінде тыңдау порттарын ашпайды. Дегенмен, олар әлі де NAS кіру экранын көрсетеді (`DSM` / `QTS` веб-аутентификация өңдеушісі) сізді білетін немесе болжайтын кез келген адамға `QuickConnect ID`. Максималды қауіпсіздік үшін әкімші интерфейсіне жалпыға қолжетімді релелік қатынасты өшіріңіз және пайдаланыңыз Құйрық шкаласы немесе WireGuard VPN оның орнына криптографиялық құрылғының аутентификациясын қажет етеді бұрын бір HTTP пакеті тіпті NAS веб-серверіне қол жеткізе алады.

Мен Bitcoin төлемін төлеуім керек пе? DeadBolt, Qlocker, немесе eCh0raix егер менде сақтық көшірмелер мен суреттер болмаса?¶

Құқық қорғау органдары (`FBI`, `CISA`, `Europol`, `NCSC`) өтемақы төлеуге қарсы қатаң кеңес беріңіз, себебі төлем қорлары қылмыстық синдикаттарды құрайды және шабуылдаушының автоматтандырылған шифрын шешу сценарийі файлдарды бүлдірмей жұмыс істейтініне кепілдік бермейді. Төлемді қарастырмас бұрын: (1) жағдайды нашарлатпау үшін дискілерді суретке түсіріңіз немесе сақтаңыз, (2) тексеріңіз **`nomoreransom.org`** және **`deadbolt.responders.nu`** құқық қорғау органдары сіздің штаммыңыздың негізгі кілтін тартып алғанын білу үшін, (3) ** үшін`Qlocker`**, жүгіру**`PhotoRec` / `QRescue`** бөлінбеген дискілік кеңістікте (ол жиі жойылған түпнұсқалардың 60% - 90% тегін қалпына келтіреді) және (4) үлкен `.mp4`/`.mov` ішінара тақырыпты шифрлаумен соққы алған бейнелер, тақырыпты қайта құруды сынау `untrunc`.

Қатысты нұсқаулықтар¶

• Зиянды бағдарлама, төлемдік бағдарлама және шпиондық бағдарламаны жұқтыру: дереу оқшаулау және қалпына келтіру
• Үй маршрутизаторлары мен IoT құрылғыларын қорғау
• NAS RAID массиві нашарлады, бірнеше диск ақаулары және ZFS/Btrfs қалпына келтіру
• Компьютердің сақтық көшірмелері, 3-2-1 стратегиясы және апатты қалпына келтіру
• Төтенше жағдайдағы нөлдік күндік эксплуатация және құрылғының қызмет ету мерзімі аяқталған оқшаулау
• Ел бойынша жедел жәрдем нөмірлері

Дереккөздер және ресми нұсқаулар¶

• Киберқауіпсіздік және инфрақұрылымдық қауіпсіздік агенттігі (CISA) және Федералдық тергеу бюросы (FBI) (StopRansomware.gov): Желіге қосылған жад туралы ескерту (NAS) DeadBolt, Qlocker, eCh0raix және Akira Ransomware мақсатты құрылғылар.
• Europol Еуропалық киберқылмыс орталығы (EC3) және Нидерланд ұлттық полициясы (Politie) (NoMoreRansom.org): DeadBolt кілтін басып алу операциясы, eCh0raix дешифрлеуші репозиторийі және ransomware әсерін азайту жөніндегі нұсқаулық.
• QNAP өнімінің қауіпсіздік оқиғасына әрекет ету тобы (QNAP PSIRT) & Synology қауіпсіздік кеңес беру кеңесі: * UPnP маршрутизаторын өшіру, ұрланған әкімші консольдерін қалпына келтіру туралы техникалық бюллетеньдер, QRescue (PhotoRec) Бөлінбеген қалпына келтіру және Өзгермейтін қосу WORM Суреттер*.
• Ұлттық киберқауіпсіздік орталығы (NCSC) (Біріккен Корольдік): Желі қоймасындағы және шағын кеңсе құрылғыларындағы зиянды және төлемді бағдарламалық қамтамасыз етуді азайту.