Ransomware op een thuis- of kantoor-NAS (Synology/QNAP): codering en UPnP-blootstelling stoppen¶

De harde schijven in uw Network-Attached Storage horen (NAS) apparaat (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, of Western Digital My Cloud) voortdurend aan het werk met een schijfgebruik van 100 procent terwijl gedeelde mappen vol raken .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, of .encrypt bestandsextensies (of het zien van uw NAS-inlogscherm vervangen door een vraag om Bitcoin-losgeld) is een kritieke opslagnoodsituatie. NAS-apparaten zijn gewaardeerde doelwitten voor geautomatiseerde internet-brede ransomware-botnets (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, en Akira) omdat een enkele ongepatchte NAS vaak 10 tot 100 terabytes van het volledige digitale leven van een gezin of klein bedrijf bevat en vaak rechtstreeks wordt blootgesteld aan het openbare internet zonder dat de eigenaar het doorheeft via Router UPnP (Universal Plug and Play) Auto-Port-Forwarding of cloud-relay-services van leveranciers (myQNAPcloud, Synology QuickConnect, EZ-Internet). Voordat u het netsnoer uit de muur trekt, moet u een cruciale architecturale beslissing van 10 seconden nemen, gebaseerd op de vraag of uw NAS gebruikmaakt van Copy-on-Write-snapshots (Btrfs of ZFS) of een traditionele RAID-array; Raadpleeg voor niet-ransomware schijfarraycrashes NAS RAID-array verslechterd, meerdere schijfstoringen en ZFS/Btrfs-herstel, en voor pc-gebaseerde ransomware-infecties, zie malware-, ransomware- en spyware-infecties evenals het beveiligen van thuisrouters en IoT-apparaten. Als de ransomware gevolgen heeft voor de ziekenhuisactiviteiten, gemeentelijke hulpdiensten of de fysieke veiligheidsinfrastructuur, bel dan uw lokale alarmnummer (911 in de Verenigde Staten en Canada, 112 in de hele Europese Unie, 999 in het Verenigd Koninkrijk) of raadpleeg onze internationale gids noodnummers.

Doe dit nu¶

1. Trek aan het fysieke Ethernet (RJ45 / 10GbE) netwerkkabel(s) NU NU uit de achterkant van de NAS, voordat u het netsnoer aanraakt:
2. Het loskoppelen van de Ethernet-kabel(s) verbreekt onmiddellijk de interactieve SSH/HTTP-opdracht-en-controlesessie van de aanvaller, zorgt ervoor dat de NAS geen secundaire coderingsladingen downloadt, en, net zo belangrijk, voorkomt onmiddellijk dat een geïnfecteerde desktop-pc op uw lokale kantoor-LAN uw NAS versleutelt via SMB/CIFS-netwerkshares (\\NAS\Share).
3. Bepaal binnen 15 seconden of u de stroom wilt uitschakelen of het coderingsproces netjes wilt stopzetten:
4. Scenario A: De ransomware draait OP een desktop-pc op uw LAN en versleutelt NAS-bestanden via een SMB/toegewezen netwerkschijf: Gewoon aan de NAS Ethernet-kabel trekken in stap 1 De codering op de NAS is al voor 100% gestopt. Laat de NAS ingeschakeld zodat de RAID-array en het bestandssysteem schoon blijven, en isoleer het geïnfecteerde Windows/Mac-werkstation.
5. Scenario B: Het binaire ransomwarebestand wordt rechtstreeks BINNEN het NAS Linux-besturingssysteem zelf uitgevoerd (DeadBolt, Qlocker, eCh0raix):
   • Als je dat niet hebt Btrfs of ZFS snapshots ingeschakeld (bijvoorbeeld een ouder ext4 volume) en de schijven zijn actief aan het malen terwijl de NAS uw enige kopie van de bestanden codeert, houd de fysieke aan/uit-knop aan de voorkant op de NAS 5 tot 10 seconden ingedrukt om een onmiddellijke harde uitschakeling te forceren (of trek de DC/AC-stekker uit als de knop niet reageert). Elke minuut dat de NAS ingeschakeld blijft, kan de CPU nog eens 5 tot 20 gigabyte aan bestanden coderen.
   • Belangrijk voorbehoud (Why DeadBolt & Qlocker victims must NOT reboot after recovery): Ransomware-soorten zoals Qlocker (waarmee bestanden worden verplaatst naar een met een wachtwoord beveiligd bestand .7z archieven gebruiken 7z) en DeadBolt soms de actieve coderingsstatus of decoderingssleutels behouden /tmp (RAM) of kaap de binaire web-UI (/home/httpd/index.html). Als u nog steeds een open lokale SSH-rootshell in de NAS heeft, vink dit dan aan ps aux en /tmp voordat u het apparaat uitschakelt (zie Fase 2 hieronder).
6. Log in op uw internetrouter / firewall (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / ISP gateway) onmiddellijk en schakel UIT UPnP (Universal Plug and Play) EN verwijder alle WAN Port Forwarding-regels die naar uw NAS verwijzen:
7. Meer dan 80 procent van de NAS-ransomware-infecties thuis en in kleine kantoren vindt plaats omdat de gebruiker tijdens de eerste installatie op "Auto Router Configuration / EZ-Internet / UPnP" heeft geklikt, waardoor de thuisrouter stilletjes de opdracht krijgt TCP-poorten te openen 5000, 5001, 8080, 8443, 443, 22 (SSH), of 445 (SMB) rechtstreeks naar het gehele openbare internet (Shodan.io / Censys).
8. Schakel UPnP permanent uit in de WAN/NAT-instellingen van uw router en verwijder elke port-forwarding-regel die naar het lokale IP-adres van de NAS verwijst.
9. Initialiseer, herformatteer of voer "Reset / Reinstall DSM or QTS" NIET uit op de harde schijven voordat u controleert of de ransomware alleen de OS-partitie of het datavolume heeft gekaapt:
10. Bij aanvallen als DeadBolt, de malware overschrijft de NAS-webinlogpagina (index.html) om een losgeldbrief op volledig scherm weer te geven die de toegang tot het QNAP/Synology beheerdersdashboard blokkeert, zelfs als uw onderliggende Btrfs / ZFS snapshots of grote videobestanden (meer dan 20 megabytes) blijven nog steeds 100 procent intact op de schijven.
11. Controleer of uw NAS dit heeft Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), of LVM Momentopnamen op blokniveau (QNAP Storage & Snapshots):
12. Omdat Btrfs en ZFS snapshots zijn alleen-lezen op de bloklaag van het bestandssysteem (en Synology WORM / Onveranderlijke momentopnamen kunnen niet eens worden verwijderd door een gecompromitteerd systeem root admin-account), u kunt vaak binnen 60 seconden 100 procent van uw gecodeerde gedeelde mappen ongedaan maken, zonder dat er gegevens verloren gaan en er geen losgeld wordt betaald.
13. Voordat u losgeld betaalt, dient u de exacte ransomware-variant te identificeren ID Ransomware (id-ransomware.malwarehunterteam.com) en No More Ransom (nomoreransom.org):
14. Verschillende grote NAS-ransomwarevarianten (eCh0raix / QNAPCrypt, vroeg Qlocker via photorec / qrescue log extractie, Muhstik, en SynoLocker) beschikken over gratis openbare decryptors of forensische sleutelextractiemethoden, gepubliceerd door wetshandhavings- en beveiligingsonderzoekers.

Beslissingsboom: onmiddellijke NAS-ransomwarebeoordeling en herstelpad¶

Gebruik deze workflow om te bepalen of de aanval afkomstig is van een LAN-computer of rechtstreeks op de NAS, en selecteer de veiligste herstelmethode:

flowchart TD
    Symptom["NAS-schijven draaien op 100% + bestanden hernoemd (.deadbolt, .7z, .ech0raix, .lockbit) of webinterface toont losgeldscherm"] --> PullLAN["STAP 1 (binnen 5 seconden): Koppel alle Ethernet-kabels los van de achterkant van de NAS"]

    PullLAN --> SourceCheck{"Heeft de codering gestopt op het moment dat u de Ethernet-kabel van de NAS loskoppelde?"}

    SourceCheck -->|"JA: Schijfactiviteit is gedaald naar nul wanneer LAN is losgekoppeld"| SMBVector["BRON A: Ransomware draait op een Windows/Mac-pc in uw netwerk en versleutelt gedeelde mappen via SMB"]

    SourceCheck -->|"NEE: NAS-harde schijven gaan door met het loskoppelen van Ethernet (of de NAS-webinlogpagina zelf is vervangen door een losgeldscherm)"| DirectNAS["BRON B: Ransomware Binary wordt rechtstreeks in het NAS-besturingssysteem uitgevoerd (uitgebuit via UPnP/blootgestelde WAN-poorten 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Zoek en ontkoppel de geïnfecteerde pc op uw LAN -> Herstel gedeelde mappen op de NAS van Btrfs / ZFS / QNAP Snapshots of Hyper Backup"]

    DirectNAS -->SSHCheck{"Heeft u een actieve lokale SSH-sessie geopend (of draait Qlocker 7z)?"}

    SSHCheck -->|"Ja (Qlocker / Actief 7z-proces)"| GrabPass["Inspecteer ps aux | grep 7z op SSH om 7-Zip-wachtwoord in platte tekst vast te leggen van opdrachtregelargs voordat het proces wordt beëindigd"]
    SSHCheck -->|"Geen SSH / onbekende spanning slijpschijven"| PowerOff["Houd de aan/uit-knop van de NAS 5-10 seconden ingedrukt om onmiddellijke harde uitschakeling te forceren, zodat niet-versleutelde bestanden en vrije ruimte behouden blijven"]

    GrabPass --> KillUPnP["STAP 2: Inloggen op de router -> UPnP permanent uitschakelen + alle regels voor poortdoorschakeling verwijderen (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Welke herstelmiddelen zijn er op de NAS aanwezig?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots aanwezig"| SnapRestore["Schone besturingssysteempartitie/firmware-update -> Zet gedeelde mappen terug naar momentopname vóór de aanval"]
    RecoveryPath -->|"Externe USB / Offsite Cloud Backup (Hyper Backup / HBS 3)"| BackupRestore["Wis en herbouw NAS op gepatchte firmware -> Herstel vanaf offline/cloudback-up"]
    RecoveryPath -->|"Geen momentopnamen en geen back-ups"| ForensicCarve["Schijven klonen alleen-lezen -> NoMoreRansom.org aanvinken + PhotoRec / QRescue uitvoeren Niet-toegewezen carving (vooral effectief tegen Qlocker)"]

Hoe NAS-ransomware binnendringt: de twee aanvalsvectoren¶

Voordat u uw NAS weer aansluit op uw lokale netwerkswitch, moet u weten welke van de twee totaal verschillende ingangsvectoren de ransomware op uw opslagvolumes heeft toegelaten:

Fase 1: De internetblootstelling uitschakelen (Router UPnP, Port Forwardingen cloudrelais)¶

Als u uw NAS opschoont of herstelt zonder het netwerkgat op uw router te dichten, zullen geautomatiseerde botnets die uw openbare IP-adres scannen, de NAS binnen enkele uren nadat deze weer online is gebracht, opnieuw infecteren. Voltooi eerst deze netwerkvergrendeling op uw router:

1. Log in op uw internetrouter/firewall-beheerdersconsole:
2. Open een browser op een schone computer of telefoon en navigeer naar het gateway-IP-adres van uw router (meestal 192.168.1.1, 192.168.0.1, 10.0.0.1, of via uw mesh-router-app zoals UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Uitschakelen UPnP (Universal Plug and Play) Permanent:
4. Navigeer naar Geavanceerd > NAT Forwarding / WAN / Netwerk > UPnP en schakel UPnP naar UIT / Uitgeschakeld.
5. Waarom UPnP is zo gevaarlijk voor NAS-bezitters: Wanneer UPnP is ingeschakeld op uw router, kan elk apparaat op uw lokale netwerk (inclusief de "EZ-Internet" of "Auto Router Configuration"-wizard van uw NAS, of malware op een smart TV) in stilte een bericht verzenden IGD (Internet Gateway Device) verzoek aan uw router met de mededeling "Open externe WAN-poort 8080 en 5001 naar mijn lokale IP 192.168.1.50", waarmee u uw firewall omzeilt zonder ooit om uw routerwachtwoord te vragen.
6. Alle handmatige port forwarding verwijderen (Virtual Server) & DMZ Regels die naar de NAS verwijzen:
7. Ga naar Geavanceerd > NAT Forwarding > Port Forwarding (of Virtuele Servers) en verwijder elke regel die TCP- of UDP-poorten doorstuurt (80, 443, 5000, 5001, 8080, 8443, 21 FTP-, 22 SSH, 873 rsync, 445 MKB, 32400 Plex indien niet nodig) naar uw NAS IP.
8. Vink Geavanceerd > DMZ aan en controleer of DMZ Host is uitgeschakeld (door een NAS IP in de DMZ van een router te plaatsen worden alle 65.535 TCP- en UDP-poorten van de NAS direct toegankelijk voor het openbare internet).
9. Controleer van buiten uw netwerk of er nul NAS-poorten open zijn:
10. Bezoek shodan.io of grc.com (ShieldsUP) of voer een poortscan uit op uw openbare WAN IP-adres om die poorten te bevestigen 5000, 5001, 8080, 8443, 443, en 22 nu terug Filtered / Stealth / Closed.

Fase 2: Stamspecifieke noodtriage (Qlocker, DeadBolt, eCh0raix)¶

Voordat u de NAS wist of losgeld betaalt, moet u controleren welke specifieke NAS-ransomwarevariant uw apparaat heeft getroffen. Elke grote NAS-familie heeft unieke technische zwakke punten die gedeeltelijk of volledig gegevensherstel mogelijk maken zonder te betalen:

1. Als uw bestanden zijn vervangen door .7z Archief (Qlocker op QNAP/Linux NAS)¶

Hoe Qlocker werkt: in plaats van een aangepaste cryptografische engine te schrijven, Qlocker voert een script uit dat de eigen ingebouwde ** van de NAS aanroept7-Zip (/usr/local/sbin/7z)** binair om elk bestand te comprimeren in een met een wachtwoord beveiligd bestand .7z archiveren en vervolgens normale Linux draaien rm (unlink) op het originele bestand. - Triagetruc #1 (het wachtwoord live achterhalen ps aux Voordat u het apparaat uitschakelt): Als Qlocker draait momenteel nog op uw NAS en u kunt lokaal inloggen via SSH (ssh admin@nas-local-ip), voer deze opdracht onmiddellijk uit voordat u hem uitschakelt:

ps aux | grep 7z

2. Als uw NAS-aanmeldingsscherm is vervangen door de DeadBolt Losgeldpagina (.deadbolt bestanden)¶

Hoe DeadBolt werkt: 1. DeadBolt vervangt /home/httpd/index.html (of /home/httpd/cgi-bin/index.cgi) met zijn eigen binaire/HTML-pagina die uw webbrowser kaapt telkens wanneer u het QNAP QTS / Asustor ADM-dashboard probeert te openen, waarbij Bitcoin wordt geëist in ruil voor een master-decoderingssleutel van 32 hexadecimale tekens (geleverd via een on-chain Bitcoin OP_RETURN transactie). 2. Hoe u weer toegang krijgt tot uw QNAP QTS / QuTS hero beheerdersdashboard zonder uw gegevens te verliezen: - Optie A (via lokale SSH indien ingeschakeld): SSH lokaal naar de NAS (ssh admin@<nas-ip>), stop de schurk deadbolt proces indien actief, en voer het officiële firmwareherstelscript van QNAP uit of herstel het origineel /home/httpd/index.html van de alleen-lezen systeem-ROM-image (/mnt/HDA_root/update_pkg/). - Optie B (schijfloze firmware-flash + hot-pluggable herplaatsing): 1. Schakel de NAS uit. 2. Schuif alle harde schijven 2 centimeter (1 inch) naar buiten zodat ze zijn losgekoppeld van de backplane (nummer de volgorde van de bays zorgvuldig met schilderstape eerst). 3. Schakel de NAS in zonder harde schijven, zoek het IP-adres via Qfinder Pro, wanneer daarom wordt gevraagd op het installatiescherm, sluit u de schijven opnieuw aan in hun exacte posities en kiest u "Alleen firmware bijwerken (behoud alle gegevens en instellingen)" (klik nooit op "Initialize System", waardoor de schijven worden gewist). 3. Belangrijke decoderingsopmerking bij wetshandhaving DeadBolt: In gecoördineerde operaties onder leiding van de Nederlandse Nationale Politie (Politie), Europol (No More Ransom) en Responders.nu heeft de politie met succes de DeadBolt Bedreigingsactoren tijdens een mempool-vergoeding piekten in het vrijgeven van meer dan 150 master-decoderingssleutels voordat de goedkope Bitcoin-transacties van de aanvallers werden geannuleerd via Replace-By-Fee. Rekening deadbolt.responders.nu en nomoreransom.org om te zien of uw specifieke DeadBolt De adressleutel van het slachtoffer is door de politie in beslag genomen.

3. Als uw bestanden eindigen op .encrypt (eCh0raix / QNAPCrypt)¶

• Meerdere generaties eCh0raix (QNAPCrypt) gebruikten gebrekkige AES-sleutelafleiding of hadden hun command-and-control (C2) database in beslag genomen door beveiligingsonderzoekers en wetshandhavers.
• Bezoek nomoreransom.org en upload twee gecodeerde bestanden (of de losgeldbrief README_FOR_DECRYPT.txt) om de gratis Bitdefender / NoMoreRansom eCh0raix Decryptor voordat u iets wist.

Fase 3: uw bestanden herstellen van Btrfs, ZFS, of QNAP Momentopnamen in 60 seconden¶

Als uw NAS is gecodeerd door Vector #2 (een met ransomware geïnfecteerde pc op uw LAN die gedeelde mappen via SMB codeert), of als u Onveranderlijk (WORM) Snapshots of onaangeroerde LVM/Btrfs/ZFS Snapshots tijdens een directe NAS-aanval kunt u 100 procent van uw bestanden onmiddellijk herstellen:

1. Synology DiskStation (DSM 7.x met Btrfs Replicatie van momentopnamen)¶

1. Controleer eerst of de geïnfecteerde pc op uw LAN is losgekoppeld van het netwerk en update Synology DSM naar de nieuwste versie onder Configuratiescherm > Bijwerken en herstellen.
2. Open het Snapshot Replication-pakket in Synology DSM.
3. Klik op Herstel in de linkerzijbalk.
4. Selecteer de gecodeerde Gedeelde map (of iSCSI LUN) en klik op Herstellen.
5. Blader door de lijst met geplande momentopnamen (GMT+...) en selecteer de momentopname die is gemaakt onmiddellijk voordat de ransomware-versleuteling begon (vink eerst Actie > Bladeren aan om een ​​voorbeeld van de bestanden in die momentopname te bekijken en te bevestigen dat ze schoon en niet-versleuteld zijn).
6. Klik op Actie > Herstellen naar deze momentopname (of Klonen met een nieuwe naam als u de gecodeerde map onaangeroerd wilt houden voor forensisch bewijs, terwijl u onmiddellijk een schone kopie van de gedeelde map koppelt).
7. Omdat Btrfs is een Copy-on-Write-functie (CoW) bestandssysteem, duurt het terugdraaien van een gedeelde map van 20 terabyte naar een momentopname van vóór de aanval minder dan 10 seconden.

2. QNAP NAS (QTS LVM-snapshots op blokniveau en QuTS hero ZFS Momentopnamen)¶

1. Zodra QTS/QuTS hero is gepatcht en geïsoleerd van het WAN, opent u Opslag en momentopnamen.
2. Ga naar Opslag > Opslag/Snapshots, selecteer het getroffen Thick Volume, Thin Volume of ZFS Shared Folder en klik op Snapshot Manager (het camerapictogram).
3. Selecteer de laatste schone momentopname die vóór de aanvalstijdstempel is gemaakt.
4. Blader door de mappenboom in het rechterdeelvenster om te controleren of uw bestanden intact zijn en klik vervolgens op Volumesnapshot terugzetten (of selecteer alle mappen en klik op Herstellen om alleen de gecodeerde bestanden te overschrijven).

3. TrueNAS (CORE / SCALE op ZFS) en niet-raid (ZFS / Btrfs)¶

• Op TrueNAS (ZFS): Ga naar Opslag > Snapshots (of Gegevensbescherming > Periodieke momentopnametaken), zoek de schone momentopname (tank/share@auto-2026-10-31_12-00) en klik op Terugdraaien (of kloon de momentopname naar een nieuwe gegevensset zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered zodat u nooit nieuwere tussentijdse snapshots verliest).

Fase 4: Uw NAS beveiligen zodat deze nooit meer kan worden gecodeerd (de 7-puntschecklist)¶

Zodra uw gegevens zijn hersteld, past u deze zeven verplichte configuratieregels toe op uw Synology-, QNAP-, TrueNAS- of Asustor-apparaat voordat u deze opnieuw met het netwerk verbindt:

• 1. Stuur nooit een poort op uw router door naar uw NAS: Gebruiken Tailscale of WireGuard VPN In plaats daarvan:
• Installeer het officiële Tailscale-pakket vanuit het Synology Package Center / QNAP App Center (of voer de ingebouwde WireGuard VPN-server van uw router uit).
• Tailscale creëert een peer-to-peer WireGuard-gecodeerde mesh-tunnel zonder configuratie (100.x.y.z) tussen uw telefoon, uw laptop en uw NAS zonder open poorten op de firewall van uw thuisrouter. U hebt overal ter wereld toegang tot uw NAS-foto's, bestanden en beheerdersscherm, terwijl uw NAS 100% onzichtbaar blijft voor internetscanners zoals Shodan.
• 2. Schakel de ingebouwde standaard uit admin Account en maak een aangepaste benoemde beheerder met verplichte 2FA:
• Zowel Synology DSM als QNAP QTS worden geleverd met een standaardaccount met de naam admin (UID 1024 of UID 0). Geautomatiseerde bots met brute kracht hameren op de gebruikersnaam admin 24/7.
• Maak een gloednieuw beheerdersaccount aan met een unieke gebruikersnaam, log in met dat nieuwe account, ga naar Configuratiescherm > Gebruiker en groep (of gebruikers) en Schakel de standaard uit admin rekening.
• Schakel Verplichte authenticatie in twee stappen in (OTP / Passkey / Approve Sign-in) voor alle beheerdersaccounts.
• 3. Onveranderlijk inschakelen (WORM) Momentopnamen (7-to-14-Day Retention Lock):
• Op Synology DSM 7.2+: Open Snapshotreplicatie > Snapshots > Instellingen > Schema, schakel dagelijkse snapshots in en vink "Onveranderlijke snapshots inschakelen" aan met een beschermingsperiode van 7 tot 14 dagen. Zelfs als een hacker uw rootwachtwoord steelt of misbruik maakt van een kernelkwetsbaarheid in DSM, niemand (zelfs niet). root) kan een onveranderlijke momentopname verwijderen totdat de hardwareklok van 7 dagen is verstreken.
• Op QNAP QuTS hero / QTS: Configureer een Snapshot Replica Vault of schakel WORM in (Write Once, Read Many) bewaarbeleid voor kritieke back-upshares en zorg ervoor dat "Momentopnameruimte reserveren" is ingeschakeld.
• 4. Machtigingen voor het delen van SMB-netwerken beperken (Least Privilege) Een laptopinfectie kan dus niet de hele NAS coderen:
• Breng nooit de master van uw NAS in kaart admin inloggegevens in Windows Verkenner (\\NAS\) op alledaagse laptops.
• Maak een standaard niet-beheerdersgebruikersaccount aan voor dagelijkse toegang tot bestanden en stel uw archief-/fotomappen in (bijvoorbeeld 2010-2025 Family Photos Archive) naar Alleen-lezen (ro) voor dagelijkse desktopgebruikers, zodat als de Windows-pc van een gezinslid ransomware ondervindt, de pc deze mappen kan lezen, maar niet kan coderen of wijzigen.
• 5. Schakel de ingebouwde firewall van de NAS in (Allow LAN + Tailscale Subnets Only) & Automatisch blokkeren:
• Maak in Synology Configuratiescherm > Beveiliging > Firewall (of QNAP QuFirewall) een strikte toelatingslijstregel die verbindingen alleen vanaf uw lokale LAN-subnet toestaat (192.168.1.0/24) en uw Tailscale/VPN-subnet (100.64.0.0/10), gevolgd door een onderste regel die is ingesteld op Alles weigeren. Zelfs als iemand zich per ongeluk omdraait UPnP weer ingeschakeld op de router, zal het interne pakketfilter van de NAS elk openbaar internetpakket onmiddellijk verwijderen.
• 6. SSH uitschakelen (Port 22) en Telnet (Port 23) Wanneer er niet actief probleemoplossing wordt uitgevoerd:
• Laat SSH UIT staan ​​in Configuratiescherm > Terminal & SNMP tijdens normaal dagelijks gebruik; Schakel het alleen in gedurende de 10 minuten die u nodig hebt om een ​​opdrachtregeltaak uit te voeren en schakel het vervolgens weer uit.
• 7. Zorg voor een echte "3-2-1" air-gapped/onveranderlijke cloudback-up (Hyper Backup / HBS 3):
• Volg onze computerback-ups en 3-2-1 handleiding voor noodherstel: Synology configureren Hyper Backup of QNAP Hybrid Backup Sync (HBS 3) om nachtelijke gecodeerde, gededupliceerde back-ups aan de clientzijde naar een externe USB-harde schijf te sturen die u fysiek loskoppelt of naar een Object-Locked (S3 Object Lock Compliance Mode) wolkenemmer (Backblaze B2, Wasabi, of AWS S3) met behulp van beperkte API-sleutels die alleen kunnen worden toegevoegd.

Regionale noodnummers en protocollen van instanties¶

Ransomware-aanvallen gericht op NAS-apparaten worden onderzocht door nationale cybercriminaliteitsinstanties over de hele wereld, die opslagplaatsen bijhouden van in beslag genomen decoderingssleutels (No More Ransom) en volg de criminele infrastructuur:

• Verenigde Staten en Canada:
• Noodsituatie levensveiligheidsstoring: Bel 911 als ransomware de gezondheidszorg of fysieke veiligheidssystemen verstoort.
• ** CISA & FBI Klachtencentrum voor internetcriminaliteit (IC3)**: NAS-ransomwarecampagnes rapporteren (DeadBolt, Akira, LockBit, Qlocker) bij stopransomware.gov, ic3.gov, of bel CISA op 1-844-Say-CISA (1-844-729-2472).
• Canadian Center for Cyber Security & RCMP: Rapporteer op cyber.gc.ca (1-833-CYBER-88) of het Canadian Anti-Fraud Centre.
• Verenigd Koninkrijk:
• Hulpdiensten: bel 999 (of 101 voor niet-dringende politie).
• Actiefraude & NCSC: Meld ransomware-incidenten op actionfraud.police.uk of bel 0300 123 2040 (24/7 live cyberincidentenlijn). Kleine bedrijven en goede doelen kunnen de NCSC Cyber Incident Response raadplegen (ncsc.gov.uk) portaal.
• Europese Unie:
• Hulpdiensten: bel 112 in alle EU-lidstaten.
• Europol Europees Centrum voor Cybercriminaliteit (EC3) & NoMoreRansom.org: Controleer nomoreransom.org (onderhouden door de Nederlandse Nationale Politie, Europol en partnerbureaus) voor in beslag genomen decoderingssleutels voor NAS-ransomware, en rapporteer aan uw nationale CSIRT en gegevensbeschermingsautoriteit (DPA binnen 72 uur als persoonlijke gegevens zijn geëxfiltreerd of verloren zijn gegaan onder de AVG).
• Australië en Nieuw-Zeeland:
• Hulpdiensten: bel 000 in Australië of 111 in Nieuw-Zeeland.
• Australisch cyberbeveiligingscentrum (ACSC): Bel de 24/7 Ransomware Hotline op 1300 CYBER1 (1300 292 371) of meld je bij cyber.gov.au.
• CERT NZ: Rapporteer op cert.govt.nz.
• India en Azië-Pacific:
• India (CERT-In & Cybercrime Hulplijn): Bel 1930 of meld je bij cybercrime.gov.in en incident@cert-in.org.in.
• ** Taiwan (TWCERT/CC, thuisgebied van Synology, QNAP en Asustor PSIRTs)**: Dien tickets voor beveiligingsincidenten van leveranciers rechtstreeks in bij QNAP PSIRT (service.qnap.com) of Synology PSIRT (synology.com/en-global/security/advisory).

Veelgestelde vragen¶

Hoe infecteerde ransomware mijn QNAP of Synology NAS als ik nooit op een phishing-link heb geklikt en mijn computers volledig schoon zijn?¶

Uw NAS werd rechtstreeks vanaf het openbare internet geïnfecteerd zonder uw computers aan te raken. Ofwel uw internetrouter had dat UPnP (`Universal Plug and Play`) ingeschakeld (waardoor de functie "Auto Router Configuration / EZ-Internet / myQNAPcloud" van de NAS in stilte poorten kan openen 8080, 443, 5000, 5001, of 22 op uw firewall), of u heeft handmatig een poort doorgestuurd om op afstand toegang te krijgen tot uw bestanden. Geautomatiseerde botnets scannen voortdurend elk openbaar IP-adres op internet en maken misbruik van niet-gepatchte kwetsbaarheden of zwakke plekken beheerder wachtwoorden op blootgestelde NAS-webinterfaces.

Hoe kan ik zien of de ransomware rechtstreeks in mijn NAS-besturingssysteem is uitgevoerd of op een van mijn Windows-computers via een netwerkshare?¶

Kijk naar drie indicatoren: Ten eerste, als de Inlogscherm voor NAS-webbeheer zelf werd vervangen door een losgeldbriefje (zoals Deadbolt), of als alleen de NAS gecodeerde bestanden heeft terwijl elke pc in uw netwerk schoon is, wordt de malware rechtstreeks in het Linux OS van de NAS uitgevoerd. Ten tweede, open de NAS-verbindingslogboek / SMB-bestandsoverdrachtlogboek (in Synologie Logcentrum of QNAP QuLog-centrum): als u een lokaal LAN IP-adres ziet (zoals 192.168.1.24) het uitvoeren van tienduizenden snelle Schrijven / hernoemen / verwijderen operaties voorbij MKB, dan de computer op 192.168.1.24 is het geïnfecteerde apparaat dat uw NAS via het netwerk codeert.

Waarom deed DeadBolt codeer alleen het begin van mijn grote video- of databasebestanden, en kan ik nog steeds gedeeltelijk gecodeerde bestanden afspelen of repareren?¶

Om tientallen terabytes aan NAS-opslag te versleutelen voordat de eigenaar merkt dat de harde schijven aan het slijpen zijn en de stekker uit het stopcontact trekt, worden spanningen als Deadbolt versleutel alleen de eerste 512 kilobytes (`524,288 bytes`) van elk bestand en voeg de .nachtschoot extensie, waardoor de resterende gigabytes van het bestand onaangetast blijven in platte tekst. Terwijl het verlies van de eerste 512 KB kleine documenten en JPEG-foto's volledig vernietigt, grote videobestanden van meerdere gigabytes (`.mp4`, `.mov`, `.mkv`), onbewerkte camerabeelden en bepaalde schijfimages van virtuele machines (`VMDK`/`VHDX`) of SQL-databases kunnen vaak worden gerepareerd door een geldige containerheader te transplanteren (`moov` atom) uit een andere video opgenomen met dezelfde camera met behulp van tools zoals afsnijden.

Is Synologie QuickConnect of myQNAPcloud Link veilig om ingeschakeld te laten als ik router UPnP en Port Forwarding uitschakel?¶

Met router UPnP en handmatige port forwarding volledig uitgeschakeld, kunnen uitgaande relay-services zoals Synology worden gebruikt QuickConnect-relais en myQNAPcloud-link zijn aanzienlijk veiliger dan open WAN-poorten, omdat ze geen luisterpoorten op de firewall van uw router openen. Ze laten echter nog steeds uw NAS-inlogscherm zien (`DSM` / `QTS` webauthenticatiehandler) aan iedereen die uw adres kent of vermoedt `QuickConnect ID`. Voor maximale veiligheid schakelt u de openbare relay-toegang tot de beheerdersinterface uit en gebruikt u deze Staartschaal of WireGuard-VPN in plaats daarvan, waarvoor authenticatie van cryptografische apparaten vereist is voor een enkel HTTP-pakket kan zelfs uw NAS-webserver bereiken.

Moet ik het Bitcoin-losgeld betalen? DeadBolt, Qlocker, of eCh0raix als ik geen back-ups en geen snapshots heb?¶

Wetshandhavingsinstanties (`FBI`, `CISA`, `Europol`, `NCSC`) raden ten zeerste af om losgeld te betalen, omdat de betaling criminele syndicaten financiert en geen garantie biedt dat het geautomatiseerde decoderingsscript van de aanvaller zal werken zonder bestanden te beschadigen. Voordat u ooit een betaling overweegt: (1) Maak een image of bewaar de schijven zodat u de zaken niet erger kunt maken, (2) Controleer **`nomoreransom.org`** En **`deadbolt.responders.nu`** om te zien of de politie de hoofdsleutel voor uw stam al in beslag heeft genomen, (3) Voor **`Qlocker`**, loop **`PhotoRec` / `QRescue`** op de niet-toegewezen schijfruimte (die vaak 60% tot 90% van de verwijderde originelen gratis herstelt), en (4) voor grote `.mp4`/`.mov` video's getroffen door gedeeltelijke header-codering, test header-reconstructie met `untrunc`.

Gerelateerde handleidingen¶

• Malware-, ransomware- en spyware-infectie: onmiddellijke beheersing en herstel
• Beveiliging van thuisrouters en IoT-apparaten
• NAS RAID-array verslechterd, meerdere schijfstoringen en ZFS/Btrfs-herstel
• Computerback-ups, de 3-2-1-strategie en noodherstel
• Zero-day-exploit-noodpatches en isolatie van apparaten aan het einde van hun levensduur
• Noodnummers per land

Bronnen en officiële richtlijnen¶

• Agentschap voor cyberbeveiliging en infrastructuurbeveiliging (CISA) & Federaal Onderzoeksbureau (FBI) (StopRansomware.gov): Waarschuwing over netwerkgekoppelde opslag (NAS) Apparaten doelwit van DeadBolt, Qlocker, eCh0raix en Akira Ransomware.
• Europol Europees Centrum voor Cybercriminaliteit (EC3) & Nationale Politie (Politie) (NoMoreRansom.org): Operation DeadBolt Key Seizure, eCh0raix Decryptor Repository en richtlijnen voor het beperken van ransomware.
• QNAP Productbeveiligingsincidentresponsteam (QNAP PSIRT) & Beveiligingsadviesraad van Synology: Technische bulletins over het uitschakelen van router UPnP, het herstellen van gekaapte beheerdersconsoles, QRescue (PhotoRec) Niet-toegewezen herstel en onveranderlijk inschakelen WORM Momentopnamen.
• Nationaal Cyber ​​Security Centrum (NCSC) (Verenigd Koninkrijk): Mitigatie van malware en ransomware op netwerkopslag en kleine kantoorapparatuur.