Ransomware pe un NAS de acasă sau de birou (Synology/QNAP): oprirea criptării și a expunerii UPnP¶

Auzirea hard disk-urilor din interiorul spațiului de stocare atașat la rețea (NAS) aparat (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, sau Western Digital My Cloud) thrashing continuu la 100% utilizare a discului în timp ce folderele partajate se umplu cu .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, sau .encrypt extensiile de fișiere (sau vizualizarea ecranului de conectare web NAS înlocuit cu o cerere de răscumpărare Bitcoin) este o urgență critică de stocare. Dispozitivele NAS sunt ținte apreciate pentru botnet-urile automate de ransomware la nivel de internet (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, și Akira) deoarece un singur NAS nepattchat deține adesea 10 până la 100 terabytes din întreaga viață digitală a unei familii sau a unei mici afaceri și este adesea expus direct la internetul public fără ca proprietarul să-și dea seama prin Router UPnP (Universal Plug and Play) Auto-Port-Forwarding sau servicii cloud-releu ale furnizorului (myQNAPcloud, Synology QuickConnect, EZ-Internet). Înainte de a scoate cablul de alimentare CA din perete, trebuie să luați o decizie arhitecturală crucială de 10 secunde, în funcție de faptul dacă NAS-ul dvs. utilizează instantanee Copy-on-Write (Btrfs sau ZFS) sau o matrice RAID tradițională; pentru blocări ale matricei de discuri non-ransomware, consultați Matricea NAS RAID degradată, defecțiunea mai multor unități și recuperare ZFS/Btrfs, iar pentru infecțiile cu ransomware pe computer, consultați infecție cu programe malware, ransomware și spyware precum şi securizarea routerelor de acasă și a dispozitivelor IoT. Dacă ransomware-ul afectează operațiunile spitalelor, serviciile municipale de urgență sau infrastructura de siguranță fizică, sunați la numărul local de urgență (911 în Statele Unite și Canada, 112 în întreaga Uniune Europeană, 999 în Regatul Unit) sau consultați directorul nostru de servicii internaționale numere de urgență.

Fă asta acum¶

1. Trageți Ethernetul fizic (RJ45 / 10GbE) cablu(e) de rețea din spatele NAS chiar ACUM, înainte de a atinge cablul de alimentare:
2. Deconectarea cablurilor Ethernet întrerupe imediat sesiunea de comandă și control SSH/HTTP interactivă a atacatorului, oprește NAS să descarce încărcături utile de criptare secundară și, la fel de important, oprește instantaneu un PC desktop infectat de pe LAN de birou local să cripteze NAS-ul prin partajări de rețea SMB/CIFS (\\NAS\Share).
3. Determină în 15 secunde dacă să întrerupi alimentarea sau să oprești în mod curat procesul de criptare:
4. Scenariul A: Ransomware-ul rulează PE un PC desktop de pe LAN și criptează fișierele NAS pe o unitate de rețea SMB/Mapped: Pur și simplu trageți cablul Ethernet NAS la Pasul 1 a oprit deja 100% din criptarea pe NAS. Lăsați NAS-ul pornit, astfel încât matricea RAID și sistemul de fișiere să rămână curate și izolați stația de lucru Windows/Mac infectată.
5. Scenariul B: Binarul ransomware se execută direct în interiorul sistemului de operare NAS Linux însuși (DeadBolt, Qlocker, eCh0raix)*:
   • Dacă nu ai Btrfs sau ZFS instantanee activate (de exemplu, o versiune mai veche ext4 volum) și unitățile se măcina în mod activ pe măsură ce NAS-ul criptează singura dvs. copie a fișierelor, apăsați și mențineți apăsat butonul de pornire fizic frontal de pe NAS timp de 5 până la 10 secunde pentru a forța o oprire tare imediată (sau trageți ștecherul de alimentare DC/AC dacă butonul nu răspunde). În fiecare minut, NAS-ul rămâne pornit permite procesorului său să cripteze încă 5 până la 20 gigaocteți de fișiere.
   • Avertisment important (Why DeadBolt & Qlocker victims must NOT reboot after recovery): tulpini de ransomware ca Qlocker (care mută fișierele în fișiere protejate cu parolă .7z arhive folosind 7z) și DeadBolt uneori păstrați starea de criptare activă sau cheile de decriptare /tmp (RAM) sau deturnați binarul web UI (/home/httpd/index.html). Dacă mai aveți un shell rădăcină SSH local deschis în NAS, verificați ps aux şi /tmp înainte de oprire (vezi Faza 2 de mai jos).
6. ** Conectați-vă la routerul dvs. de internet / firewall (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / gateway ISP) imediat și opriți UPnP (Universal Plug and Play) ȘI ștergeți toate regulile de redirecționare a portului WAN care indică NAS**:
7. Peste 80 la sută din infecțiile ransomware NAS de acasă și de birouri mici au loc deoarece utilizatorul a făcut clic pe „Configurare automată a routerului / EZ-Internet / UPnP” în timpul configurării inițiale, care a instruit în tăcere routerul de acasă să deschidă porturile TCP. 5000, 5001, 8080, 8443, 443, 22 (SSH), sau 445 (SMB) direct pe întregul internet public (Shodan.io / Censys).
8. Dezactivați permanent UPnP în setările WAN/NAT ale routerului și ștergeți fiecare regulă de redirecționare a portului care indică adresa IP locală a NAS.
9. NU inițializați, reformatați sau rulați „Resetați/Reinstalați DSM sau QTS” pe hard disk înainte de a verifica dacă ransomware-ul a deturnat doar partiția sistemului de operare sau volumul de date:
10. În atacuri ca DeadBolt, malware-ul suprascrie pagina de conectare web NAS (index.html) pentru a afișa o notă de răscumpărare pe tot ecranul care blochează accesul la tabloul de bord administrativ QNAP/Synology, chiar și atunci când Btrfs / ZFS instantaneele sau fișierele video mari (peste 20 de megaocteți) sunt încă 100% intacte pe unități.
11. Verificați dacă NAS-ul dvs. are Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), sau LVM Instantanee la nivel de bloc (QNAP Storage & Snapshots)*:
12. Pentru că Btrfs şi ZFS instantaneele sunt doar pentru citire la nivelul blocului sistemului de fișiere (și Synology WORM / Instantaneele imuabile nu pot fi șterse nici măcar de un compromis root cont de administrator), de multe ori puteți derula înapoi 100% din dosarele dvs. partajate criptate în 60 de secunde, fără pierderi de date și fără răscumpărare plătită.
13. Înainte de a plăti orice răscumpărare, identificați tulpina exactă de ransomware utilizată ID Ransomware (id-ransomware.malwarehunterteam.com) și No More Ransom (nomoreransom.org)*:
14. Câteva tulpini majore de ransomware NAS (eCh0raix / QNAPCrypt, devreme Qlocker via photorec / qrescue extragerea buștenilor, Muhstik, și SynoLocker) au decriptoare publice gratuite sau metode criminalistice de extragere a cheilor publicate de cercetătorii din forțele de ordine și securitate.

Arborele de decizie: triajul imediat al ransomware-ului NAS și calea de recuperare¶

Utilizați acest flux de lucru pentru a determina dacă atacul a provenit de la un computer LAN sau direct pe NAS și selectați cea mai sigură metodă de recuperare:

flowchart TD
    Symptom["NAS Drives Grinding la 100% + Fișiere redenumite (.deadbolt, .7z, .ech0raix, .lockbit) sau UI Web arată ecranul de răscumpărare"] --> PullLAN["PASUL 1 (În 5 secunde): Deconectați toate cablurile Ethernet din partea din spate a NAS"]

    PullLAN --> SourceCheck{"Criptarea a oprit momentul în care ați deconectat cablul Ethernet NAS?"}

    SourceCheck -->|"DA: Activitatea discului a scăzut la zero când LAN a fost deconectat"| SMBVector["SURSA A: Ransomware rulează pe un computer Windows/Mac în rețeaua dvs. și criptează folderele partajate prin SMB"]

    SourceCheck -->|"NU: Unitățile de hard disk NAS continuă să se bată cu Ethernetul deconectat (sau pagina de conectare web NAS în sine a fost înlocuită de ecranul de răscumpărare)"| DirectNAS["SURSA B: Binarul ransomware se execută direct în sistemul de operare NAS (exploatat prin porturile UPnP / WAN expuse 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Găsiți și deconectați computerul infectat de pe LAN -> Restaurați folderele partajate NAS din instantanee Btrfs / ZFS / QNAP sau Hyper Backup"]

    DirectNAS -->SSHCheck{"Aveți deschisă o sesiune SSH locală activă (sau Qlocker rulează 7z)?"}

    SSHCheck -->|"Da (Qlocker / Proces 7z activ)"| GrabPass["Inspectați ps aux | grep 7z pe SSH pentru a captura parola 7-Zip în text simplu de la argumentele liniei de comandă înainte de a ucide procesul"]
    SSHCheck -->|"Fără discuri de șlefuit SSH/Necunoscute"| PowerOff["Țineți apăsat butonul de alimentare NAS 5-10 secunde pentru a forța oprirea imediată, astfel încât fișierele necriptate și spațiul liber să fie păstrați"]

    GrabPass --> KillUPnP["PASUL 2: Conectați-vă la router -> Dezactivați permanent UPnP + Ștergeți toate regulile de redirecționare porturi (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Ce active de recuperare există pe NAS?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots prezente"| SnapRestore["Curățați partiția sistemului de operare/Actualizare firmware -> Derulați înapoi folderele partajate la instantaneul pre-atac"]
    RecoveryPath -->|"USB extern / Backup în cloud offsite (Hyper Backup / HBS 3)"| BackupRestore["Ștergeți și reconstruiți NAS pe firmware-ul corectat -> Restaurare de la Backup offline/Cloud"]
    RecoveryPath -->|"Fără instantanee și fără copii de rezervă"| ForensicCarve["Clonează unități numai în citire -> Verificați NoMoreRansom.org + Rulați PhotoRec / QRescue Nealocate Carving (mai ales eficient împotriva Qlocker)"]

Cum intră NAS Ransomware: cei doi vectori de atac¶

Înainte de a reconecta NAS-ul la comutatorul de rețea locală, trebuie să știți care dintre cei doi vectori de intrare complet diferiți a permis ransomware-ul pe volumele dvs. de stocare:

Faza 1: Oprirea expunerii la internet (Router UPnP, Port Forwarding, și Cloud Relays)¶

Dacă curățați sau restaurați NAS-ul fără a închide orificiul de rețea de pe router, rețelele automate botnet care vă scanează adresa IP publică vor reinfecta NAS-ul în câteva ore de la readucerea lui online. Finalizați mai întâi această blocare a rețelei pe router:

1. Conectați-vă la routerul dvs. de internet / Consola de administrare a firewallului:
2. Deschideți un browser pe un computer sau telefon curat și navigați la IP-ul gateway-ului routerului (de obicei 192.168.1.1, 192.168.0.1, 10.0.0.1, sau prin aplicația de router mesh, cum ar fi UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Dezactivați UPnP (Universal Plug and Play) Permanent:
4. Navigați la Avansat > Redirecționare NAT / WAN / Rețea > UPnP și comutați UPnP la OFF / Dezactivat.
5. De ce UPnP este atât de periculos pentru proprietarii de NAS: când UPnP este activat pe routerul dvs., orice dispozitiv din rețeaua locală (inclusiv vrăjitorul „EZ-Internet” sau „Configurare automată a routerului” al NAS-ului dvs. sau programe malware pe un televizor inteligent) poate trimite în tăcere un IGD (Internet Gateway Device) solicitați routerului dvs. spunând „Deschideți portul WAN extern 8080 și 5001 la IP-ul meu local 192.168.1.50”, ocolind firewall-ul fără a cere niciodată parola routerului.
6. Ștergeți toate redirecționările manuale porturi (Virtual Server) & DMZ Reguli care vizează NAS:
7. Accesați Avansat > Redirecționare NAT > Redirecționare porturi (sau servere virtuale) și ștergeți toate porturile TCP sau UDP de redirecționare a regulilor (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 IMM-uri, 32400 Plex dacă nu este necesar) la IP-ul NAS.
8. Bifați Advanced > DMZ și verificați dacă DMZ Host este Dezactivat (plasarea unui IP NAS în DMZ-ul unui router expune toate cele 65.535 de porturi TCP și UDP ale NAS direct la internetul public).
9. Verificați din afara rețelei dvs. că zero porturi NAS sunt deschise:
10. Viziteaza shodan.io sau grc.com (ShieldsUP) sau executați o scanare de porturi împotriva adresei IP WAN publice pentru a confirma acele porturi 5000, 5001, 8080, 8443, 443, și 22 acum intoarce-te Filtered / Stealth / Closed.

Faza 2: Triajul de urgență specific tulpinii (Qlocker, DeadBolt, eCh0raix)¶

Înainte de a șterge NAS-ul sau de a plăti o răscumpărare, verificați ce tulpină specifică de ransomware NAS a lovit dispozitivul dvs. Fiecare familie majoră de NAS are deficiențe tehnice unice care permit recuperarea parțială sau totală a datelor fără a plăti:

1. Dacă fișierele dvs. au fost înlocuite cu .7z Arhive (Qlocker pe QNAP / Linux NAS)¶

Cum Qlocker funcționează: în loc să scrieți un motor criptografic personalizat, Qlocker rulează un script care invocă propriul NAS încorporat 7-Zip (/usr/local/sbin/7z) binar pentru a comprima fiecare fișier într-un fișier protejat prin parolă .7z arhivă și apoi rulează Linux normal rm (unlink) pe fișierul original. - Triage Trick #1 (prinderea parolei live în ps aux Înainte de oprire): Dacă Qlocker în prezent încă rulează pe NAS și vă puteți conecta local prin SSH (ssh admin@nas-local-ip), rulați această comandă imediat înainte de a opri:

ps aux | grep 7z

2. Dacă ecranul dvs. de conectare NAS a fost înlocuit de DeadBolt Pagina de răscumpărare (.deadbolt fisiere)¶

Cum DeadBolt lucrari: 1. DeadBolt înlocuiește /home/httpd/index.html (sau /home/httpd/cgi-bin/index.cgi) cu propria sa pagină binară/HTML care vă deturnează browserul web ori de câte ori încercați să deschideți tabloul de bord QNAP QTS / Asustor ADM, solicitând Bitcoin în schimbul unei chei de decriptare master de 32 de caractere hexagonale (livrată printr-un Bitcoin în lanț). OP_RETURN tranzacție). 2. Cum să recâștigați accesul la tabloul de bord de administrare al eroului QNAP QTS / QuTS fără a vă pierde datele: - Opțiunea A (prin SSH local dacă este activată): SSH în NAS local (ssh admin@<nas-ip>), opriți necinstiți deadbolt procesați dacă rulează și rulați scriptul oficial de recuperare a firmware-ului QNAP sau restaurați originalul /home/httpd/index.html din imaginea ROM de sistem numai pentru citire (/mnt/HDA_root/update_pkg/). - Opțiunea B (Bliț firmware fără disc + Reinserție Hot-Plug): 1. Opriți NAS-ul. 2. Glisați toate hard disk-urile afară cu 2 centimetri (1 inch), astfel încât acestea să fie deconectate de la panoul de fundal (numerați cu atenție comanda locațiilor lor cu bandă de pictură mai întâi). 3. Porniți NAS fără hard disk, găsiți IP-ul acestuia prin Qfinder Pro, când vi se solicită pe ecranul de configurare, conectați la cald unitățile înapoi în locașurile lor exacte și alegeți „Actualizați doar firmware (Păstrați toate datele și setările)” (nu faceți niciodată clic pe „Inițializare sistem”, care șterge unitățile). 3. Notă importantă de decriptare pentru aplicarea legii DeadBolt: În operațiuni coordonate conduse de Poliția Națională Olandeză (Politie), Europol (No More Ransom) și Responders.nu, forțele de ordine au păcălit cu succes DeadBolt actorii amenințărilor în timpul unei taxe mempool au ajuns să elibereze peste 150 de chei de decriptare master înainte ca tranzacțiile cu Bitcoin cu taxă redusă ale atacatorilor să fie anulate prin Replace-By-Fee. Verificați deadbolt.responders.nu şi nomoreransom.org pentru a vedea dacă ești specific DeadBolt cheia adresei victimei a fost capturată de poliție.

3. Dacă fișierele dvs. se termină în .encrypt (eCh0raix / QNAPCrypt)¶

• Câteva generații de eCh0raix (QNAPCrypt) au folosit derivarea defectuoasă a tastei AES sau au avut comanda și controlul lor (C2) baza de date confiscată de cercetătorii de securitate și de oamenii legii.
• Viziteaza nomoreransom.org și încărcați două fișiere criptate (sau nota de răscumpărare README_FOR_DECRYPT.txt) pentru a testa Bitdefender / NoMoreRansom gratuit eCh0raix Decriptați înainte de a șterge orice.

Faza 3: Restaurarea fișierelor din Btrfs, ZFS, sau QNAP Instantanee în 60 de secunde¶

Dacă NAS-ul dvs. a fost criptat de Vector #2 (un PC infectat cu ransomware pe LAN care criptează folderele partajate prin SMB) sau dacă ați avut Imuabil (WORM) Instantanee sau LVM/Btrfs/ZFS Snapshots neatins în timpul unui atac direct NAS, puteți restabili 100% din fișiere imediat:

1. Synology DiskStation (DSM 7.x cu Btrfs Replicare instantanee)¶

1. Mai întâi, verificați dacă computerul infectat de pe LAN este deconectat de la rețea și actualizați Synology DSM la cea mai recentă versiune sub Panou de control > Actualizare și restaurare.
2. Deschideți pachetul Snapshot Replication din Synology DSM.
3. Faceți clic pe Recuperare în bara laterală din stânga.
4. Selectați dosarul partajat criptat (sau iSCSI LUN) și faceți clic pe Recuperare.
5. Răsfoiți lista de instantanee programate (GMT+...) și selectați instantaneul realizat imediat înainte de începerea criptării ransomware (bifați mai întâi Acțiune > Răsfoire pentru a previzualiza fișierele din acel instantaneu și a confirma că sunt curate și necriptate).
6. Faceți clic pe Acțiune > Restabiliți la acest instantaneu (sau Clonați cu un nume nou dacă doriți să păstrați folderul criptat neatins pentru dovezi criminalistice în timp ce montați imediat o copie curată a folderului partajat).
7. Pentru că Btrfs este o copiere pe scriere (CoW), revenirea unui dosar partajat de 20 de terabyte la un instantaneu înainte de atac durează mai puțin de 10 secunde.

2. QNAP NAS (QTS Instantanee LVM la nivel de bloc și QuTS hero ZFS instantanee)¶

1. Odată ce eroul QTS/QuTS este corectat și izolat de WAN, deschideți Stocare & Snapshots.
2. Accesați Stocare > Stocare/Instantanee, selectați Volumul gros, Volumul subțire sau Folderul partajat ZFS afectat și faceți clic pe Manager instantanee (pictograma camerei).
3. Selectați ultimul instantaneu curat realizat înainte de marcajul de timp al atacului.
4. Răsfoiți arborele de foldere din panoul din dreapta pentru a verifica că fișierele dvs. sunt intacte, apoi faceți clic pe Return Volume Snapshot (sau selectați toate folderele și faceți clic pe Restaurare pentru a suprascrie numai fișierele criptate).

3. TrueNAS (CORE / SCALE pe ZFS) și Unraid (ZFS / Btrfs)¶

• Pe TrueNAS (ZFS): Accesați Stocare > Instantanee (sau Protecția datelor > Sarcini periodice de instantanee), găsiți instantaneul curat (tank/share@auto-2026-10-31_12-00) și faceți clic pe Rollback (sau clonați instantaneul într-un nou set de date zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered astfel încât să nu pierdeți niciodată instantanee intermediare mai noi).

Faza 4: Întărirea NAS-ului, astfel încât să nu poată fi criptat din nou (lista de verificare în 7 puncte)¶

Odată ce datele dvs. sunt recuperate, aplicați aceste șapte reguli de configurare obligatorii pe dispozitivul Synology, QNAP, TrueNAS sau Asustor înainte de a-l reconecta la rețea:

• 1. Nu redirecționați niciodată niciun port de pe router către NAS: Utilizați Tailscale sau WireGuard VPN În schimb:
• Instalați pachetul oficial Tailscale din Synology Package Center / QNAP App Center (sau rulați WireGuard VPN Server încorporat în router).
• Tailscale creează un tunel de plasă criptat WireGuard peer-to-peer cu configurație zero (100.x.y.z) între telefon, laptop și NAS cu zero porturi deschise pe firewall-ul routerului de acasă. Puteți accesa fotografiile, fișierele și ecranul de administrare din NAS de oriunde în lume, în timp ce NAS rămâne 100% invizibil pentru scanerele de internet, cum ar fi Shodan.
• 2. Dezactivați valoarea implicită încorporată admin Contează și creează un administrator denumit personalizat cu 2FA obligatoriu:
• Atât Synology DSM, cât și QNAP QTS sunt livrate cu un cont implicit numit admin (UID 1024 sau UID 0). Boții automati cu forță brută bate numele de utilizator admin 24/7.
• Creați un cont de administrator nou-nouț cu un nume de utilizator unic, conectați-vă cu acel cont nou, accesați Panou de control > Utilizator și grup (sau Utilizatori) și Dezactivați configurația implicită admin cont.
• Activați Autentificare obligatorie în doi factori (OTP / Passkey / Approve Sign-in) pentru toate conturile de administrator.
• 3. Activați imuabil (WORM) Instantanee (7-to-14-Day Retention Lock)*:
• Pe Synology DSM 7.2+: deschideți Replicare instantanee > Instantanee > Setări > Programare, activați instantaneele zilnice și bifați „Activați instantaneele imuabile” cu o perioadă de protecție de 7 până la 14 zile. Chiar dacă un hacker vă fură parola de rădăcină sau exploatează o vulnerabilitate a nucleului în DSM, nimeni (nici măcar root) poate șterge un instantaneu imuabil până când expiră ceasul hardware de 7 zile.
• Pe QNAP QuTS erou / QTS: Configurați un Seif Replica instantanee sau activați WORM (Write Once, Read Many) politici de păstrare pentru partajările critice de rezervă și asigurați-vă că „Rezervați spațiu pentru instantanee” este activat.
• 4. Restricționați permisiunile de partajare a rețelei SMB (Least Privilege) Deci, o infecție a laptopului nu poate cripta întregul NAS:
• Nu mapați niciodată masterul NAS-ului dvs admin acreditările din Windows File Explorer (\\NAS\) pe laptopurile de zi cu zi.
• Creați un cont standard de utilizator non-administrator pentru acces zilnic la fișiere și setați-vă folderele arhive/foto (de exemplu, 2010-2025 Family Photos Archive) la Numai citire (ro) pentru utilizatorii zilnici de desktop, astfel încât, dacă PC-ul Windows al unui membru al familiei prinde ransomware, computerul poate citi acele foldere, dar nu le poate cripta sau modifica.
• 5. Porniți paravanul de protecție încorporat NAS (Allow LAN + Tailscale Subnets Only) și blocare automată:
• În Synology Control Panel > Security > Firewall (sau QNAP QuFirewall), creați o regulă strictă a listei de permise care să permită conexiunile numai de la subrețeaua locală LAN (192.168.1.0/24) și subrețeaua dvs. Tailscale/VPN (100.64.0.0/10), urmată de o regulă inferioară setată la Refuză tot. Chiar dacă cineva se întoarce accidental UPnP repornit la router, filtrul intern de pachete al NAS-ului va renunța instantaneu la fiecare pachet public de internet.
• 6. Dezactivați SSH (Port 22) și Telnet (Port 23) Când nu se depanează în mod activ:
• Lăsați SSH dezactivat DEZACTIVAT în interiorul Panou de control > Terminal și SNMP în timpul funcționării zilnice normale; porniți-l doar pentru cele 10 minute de care aveți nevoie pentru a rula o sarcină de linie de comandă, apoi opriți-l imediat înapoi.
• 7. Mențineți o copie de rezervă în cloud adevărată „3-2-1” cu aer întrerupt/imuabilă (Hyper Backup / HBS 3)*:
• Urmărește-ne copii de rezervă ale computerului și ghid de recuperare în caz de dezastru 3-2-1: configurați Synology Hyper Backup sau QNAP Hybrid Backup Sync (HBS 3) pentru a împinge copii de rezervă criptate noaptea, deduplicate la nivelul clientului pe un hard disk extern USB pe care îl deconectați fizic sau pe un Object-Locked (S3 Object Lock Compliance Mode) găleată nor (Backblaze B2, Wasabi, sau AWS S3) folosind chei API restricționate numai pentru atașare.

Numerele regionale de urgență și protocoalele agenției¶

Atacurile ransomware care vizează dispozitivele NAS sunt investigate de agențiile naționale de criminalitate cibernetică din întreaga lume, care mențin depozite ale cheilor de decriptare confiscate (No More Ransom) și urmăriți infrastructura criminală:

• Statele Unite și Canada:
• Oprire de urgență a siguranței vieții: formați 911 dacă ransomware-ul perturbă sistemele de asistență medicală sau de siguranță fizică.
• CISA și FBI Internet Crime Complaint Center (IC3): Raportați campaniile de ransomware NAS (DeadBolt, Akira, LockBit, Qlocker) la stopransomware.gov, ic3.gov, sau sunați la CISA la 1-844-Say-CISA (1-844-729-2472).
• Centrul Canadian pentru Securitate Cibernetică și RCMP: Raportați la cyber.gc.ca (1-833-CYBER-88) sau Centrul Canadian Antifraudă.
• Regatul Unit:
• Servicii de urgență: formați 999 (sau 101 pentru poliția care nu este de urgență).
• Action Fraud & NCSC: Raportați incidentele de ransomware la actionfraud.police.uk sau sună 0300 123 2040 (linie live de incidente cibernetice 24/7). Întreprinderile mici și organizațiile de caritate pot consulta NCSC Cyber Incident Response (ncsc.gov.uk) portal.
• Uniunea Europeană:
• Servicii de urgență: formați 112 în toate statele membre UE.
• Centrul european de criminalitate cibernetică Europol (EC3) & NoMoreRansom.org: verifica nomoreransom.org (întreținut de Poliția Națională Olandeză, Europol și agențiile partenere) pentru cheile de decriptare a ransomware-ului NAS confiscate și raportați la CSIRT și la Autoritatea pentru Protecția Datelor (DPA în termen de 72 de ore dacă datele cu caracter personal au fost exfiltrate sau pierdute conform GDPR).
• Australia și Noua Zeelandă:
• Servicii de urgență: formați 000 în Australia sau 111 în Noua Zeelandă.
• Centrul australian de securitate cibernetică (ACSC): Apelați linia fierbinte 24/7 Ransomware la 1300 CYBER1 (1300 292 371) sau raportați la cyber.gov.au.
• CERT NZ: Raportați la cert.govt.nz.
• India și Asia-Pacific:
• India (CERT-In & Linia de asistență pentru criminalitatea cibernetică): Apelați 1930 sau raportați la cybercrime.gov.in și incident@cert-in.org.in.
• ** Taiwan (TWCERT/CC, jurisdicția de origine a Synology, QNAP și Asustor PSIRT)**: Trimiteți biletele de incident de securitate ale furnizorului direct la QNAP PSIRT (service.qnap.com) sau Synology PSIRT (synology.com/en-global/security/advisory).

Întrebări frecvente¶

Cum mi-a infectat ransomware-ul QNAP sau Synology NAS când nu am făcut niciodată clic pe niciun link de phishing și computerele mele sunt complet curate?¶

NAS-ul dvs. a fost infectat direct de pe internetul public, fără a vă atinge computerele. Ori a avut routerul dvs. de internet UPnP (`Universal Plug and Play`) activat (permițând caracteristicii „Configurare automată a routerului / EZ-Internet / myQNAPcloud” a NAS să deschidă în tăcere porturile 8080, 443, 5000, 5001, sau 22 pe firewall) sau ați redirecționat manual un port pentru a vă accesa fișierele de la distanță. Rețelele automate de bot scanează în mod continuu fiecare adresă IP publică de pe internet și exploatează vulnerabilități necorecte sau slabe admin parolele pe interfețele web NAS expuse.

Cum pot să îmi dau seama dacă ransomware-ul a rulat direct în sistemul meu de operare NAS vs. pe unul dintre computerele mele Windows printr-o partajare de rețea?¶

Uită-te la trei indicatori: În primul rând, dacă Ecranul de conectare al administrației web NAS în sine a fost înlocuit cu o notă de răscumpărare (cum ar fi DeadBolt), sau dacă numai NAS-ul are fișiere criptate în timp ce fiecare PC din rețea este curat, malware-ul este executat direct în sistemul de operare Linux NAS. În al doilea rând, deschideți Jurnal de conexiune NAS / Jurnal de transfer de fișiere SMB (în Synology Centrul de jurnal sau QNAP Centrul QuLog): dacă vedeți o adresă IP locală LAN (cum ar fi 192.168.1.24) efectuând zeci de mii de rapid Scrie/Redenumiți/Șterge operațiunile încheiate SMB, apoi computerul la 192.168.1.24 este dispozitivul infectat care criptează NAS-ul dvs. prin rețea.

De ce a făcut-o DeadBolt criptează doar începutul fișierelor mele mari video sau baze de date și pot încă reda sau repara fișierele parțial criptate?¶

Pentru a cripta zeci de teraocteți de stocare NAS înainte ca proprietarul să observe că hard disk-urile se măcina și să tragă din priză, tulpini precum DeadBolt criptați doar primii 512 kiloocteți (`524,288 bytes`) a fiecărui fișier și anexați .bolt extensie, lăsând gigaocteții rămași ai fișierului neatins în text simplu. În timp ce pierderea primilor 512 KB distruge complet documentele mici și fotografiile JPEG, fișiere video mari de mai mulți gigaocteți (`.mp4`, `.mov`, `.mkv`), înregistrări brute ale camerei și anumite imagini de disc ale mașinilor virtuale (`VMDK`/`VHDX`) sau bazele de date SQL pot fi adesea reparate prin transplantarea unui antet de container valid (`moov` atom) dintr-un alt videoclip înregistrat cu aceeași cameră folosind instrumente precum untrunc.

Este Synology QuickConnect sau myQNAPcloud Link sigur de lăsat activat dacă dezactivez routerul UPnP și Port Forwarding?¶

Cu routerul UPnP și redirecționarea manuală a portului dezactivate complet, servicii de retransmisie de ieșire precum Synology Releu QuickConnect şi myQNAPcloud Link sunt semnificativ mai sigure decât porturile WAN deschise, deoarece nu deschid porturi de ascultare pe firewall-ul routerului. Cu toate acestea, ei încă vă expun ecranul de conectare NAS (`DSM` / `QTS` handler de autentificare web) pentru oricine vă cunoaște sau vă ghicește `QuickConnect ID`. Pentru securitate maximă, dezactivați accesul public releu la interfața de administrare și utilizați Scala de coadă sau WireGuard VPN în schimb, care necesită autentificarea dispozitivului criptografic înainte un singur pachet HTTP poate ajunge chiar și la serverul dvs. web NAS.

Ar trebui să plătesc răscumpărarea Bitcoin pentru DeadBolt, Qlocker, sau eCh0raix dacă nu am copii de rezervă și nici instantanee?¶

Agenții de aplicare a legii (`FBI`, `CISA`, `Europol`, `NCSC`) sfătuiesc cu fermitate să nu plătească răscumpărări, deoarece plata finanțează sindicatele criminale și nu oferă nicio garanție că scriptul de decriptare automată al atacatorului va funcționa fără a deteriora fișierele. Înainte de a lua în considerare plata: (1) Imaginează sau păstrează unitățile, astfel încât să nu poți înrăutăți lucrurile, (2) Verificați **`nomoreransom.org`** și **`deadbolt.responders.nu`** pentru a vedea dacă forțele de ordine au confiscat deja cheia principală pentru tulpina dvs., (3) Pentru **`Qlocker`**, alerga **`PhotoRec` / `QRescue`** pe spațiul de disc nealocat (care recuperează frecvent 60% până la 90% din originalele șterse gratuit) și (4) pentru mari `.mp4`/`.mov` videoclipuri afectate de criptarea antetului parțial, reconstrucția antetului de testare cu `untrunc`.

Ghiduri aferente¶

• Infecție cu programe malware, ransomware și spyware: izolare și recuperare imediată
• Securizarea routerelor de acasă și a dispozitivelor IoT
• Matricea NAS RAID degradată, defecțiunea mai multor unități și recuperare ZFS/Btrfs
• Backup-uri pe computer, strategia 3-2-1 și recuperare în caz de dezastru
• Exploatați zero-day patch-uri de urgență și izolarea dispozitivului la sfârșitul vieții
• Numere de urgență în funcție de țară

Surse și îndrumări oficiale¶

• Agenția pentru Securitate Cibernetică și Securitate a Infrastructurii (CISA) și Biroul Federal de Investigații (FBI) (StopRansomware.gov): Alerta privind stocarea atașată la rețea (NAS) Aparate vizate de DeadBolt, Qlocker, eCh0raix și Akira Ransomware.
• Centrul european pentru criminalitatea cibernetică Europol (EC3) și Poliția Națională Olandeză (Politie) (NoMoreRansom.org): Operațiunea DeadBolt Key Seizure, eCh0raix Decryptor Repository și Ghid de reducere a ransomware-ului.
• Echipa de răspuns la incidente de securitate a produselor QNAP (QNAP PSIRT) și Consiliul consultativ de securitate Synology: Buletine tehnice despre dezactivarea UPnP a routerului, recuperarea consolelor de administrare deturnate, QRescue (PhotoRec) Recuperare nealocată și Activare imuabil WORM Instantanee.
• Centrul Național de Securitate Cibernetică (NCSC) (Regatul Unit): Atenuarea programelor malware și ransomware pe stocarea în rețea și dispozitivele de birou mici.