Программы-вымогатели на домашнем или офисном NAS (Synology/QNAP): остановка шифрования и раскрытия информации UPnP¶

Слышимость жестких дисков внутри вашего сетевого хранилища (NAS) прибор (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, или Western Digital My Cloud) постоянно зависает при 100-процентной загрузке диска, в то время как общие папки заполняются .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, или .encrypt Расширения файлов (или замена экрана входа в систему NAS на требование выкупа в биткойнах) , это критическая чрезвычайная ситуация с хранилищем. Устройства NAS являются ценной целью для автоматических бот-сетей-вымогателей, распространяющихся по всему Интернету (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterboxи Akira), поскольку один непропатченный NAS часто содержит от 10 до 100 терабайт всей цифровой жизни семьи или малого бизнеса и часто доступен непосредственно в общедоступном Интернете без ведома владельца через Router UPnP (Universal Plug and Play) Автоматическая переадресация портов или службы облачной ретрансляции поставщиков (myQNAPcloud, Synology QuickConnect, EZ-Internet). Прежде чем выдернуть шнур питания переменного тока из стены, вы должны за 10 секунд принять решающее архитектурное решение, основанное на том, использует ли ваш NAS снимки состояния копирования при записи (Btrfs или ZFS) или традиционный RAID-массив; при сбоях дискового массива, не связанных с программами-вымогателями, проконсультируйтесь Деградация RAID-массива NAS, сбой нескольких дисков и восстановление ZFS/Btrfs, а информацию о заражении программами-вымогателями на ПК см. заражение вредоносным ПО, программами-вымогателями и шпионскими программами а также защита домашних маршрутизаторов и устройств Интернета вещей. Если программа-вымогатель влияет на работу больниц, муниципальных служб экстренной помощи или инфраструктуру физической безопасности, позвоните по местному номеру службы экстренной помощи (911 в США и Канаде, 112 по всему Европейскому Союзу, 999 в Соединенном Королевстве) или обратитесь к нашему справочнику международных номера экстренных служб.

Сделай это сейчас¶

1. Подключите физический Ethernet (RJ45 / 10GbE) сетевой кабель(и) из задней части NAS ПРЯМО СЕЙЧАС, прежде чем прикасаться к шнуру питания:
2. Отключение кабеля(ей) Ethernet немедленно прерывает интерактивный сеанс управления SSH/HTTP злоумышленника, не позволяет NAS загружать полезные данные вторичного шифрования и, что не менее важно, мгновенно не позволяет зараженному настольному ПК в локальной сети вашего локального офиса шифровать ваш NAS через общие сетевые ресурсы SMB/CIFS (\\NAS\Share).
3. Определите за 15 секунд, следует ли отключить питание или полностью остановить процесс шифрования:
4. Сценарий А: Программа-вымогатель работает НА настольном ПК в вашей локальной сети и шифрует файлы NAS через SMB/подключенный сетевой диск: Простое выдергивание Ethernet-кабеля NAS на шаге 1 уже остановило 100 % шифрование на NAS. Оставьте NAS включенным, чтобы его RAID-массив и файловая система оставались чистыми, а затем изолируйте зараженную рабочую станцию Windows/Mac.
5. Сценарий Б: Бинарный файл программы-вымогателя выполняется непосредственно ВНУТРИ самой операционной системы NAS Linux (DeadBolt, Qlocker, eCh0raix):
   • Если у вас нет Btrfs или ZFS снимки включены (например, более старая версия ext4 том) и диски активно измельчаются, поскольку NAS шифрует вашу единственную копию файлов, нажмите и удерживайте физическую кнопку питания на передней панели NAS в течение 5-10 секунд, чтобы принудительно отключить питание (или вытащите вилку питания постоянного/переменного тока, если кнопка не реагирует). Каждую минуту, когда NAS остается включенным, его процессор шифрует еще от 5 до 20 гигабайт ваших файлов.
   • Важное замечание(Why DeadBolt & Qlocker victims must NOT reboot after recovery): Такие штаммы программ-вымогателей Qlocker (который перемещает файлы в защищенные паролем .7z архивы с использованием 7z) и DeadBolt иногда сохраняйте активное состояние шифрования или ключи дешифрования в /tmp (RAM) или взломать двоичный файл веб-интерфейса (/home/httpd/index.html). Если у вас все еще открыта локальная корневая оболочка SSH в NAS, проверьте ps aux и /tmp перед выключением питания (см. этап 2 ниже).
6. Войдите в свой интернет-маршрутизатор/брандмауэр (192.168.1.1 / 192.168.0.1 /UniFi/pfSense/ISP-шлюз) сразу и ВЫКЛ. UPnP (Universal Plug and Play) И удалите все правила переадресации портов WAN, указывающие на ваш NAS:
7. Более 80 процентов заражений вымогателями NAS в домашних и небольших офисах происходят из-за того, что пользователь нажал кнопку «Автоматическая настройка маршрутизатора / EZ-Интернет / UPnP» во время первоначальной настройки, что автоматически дало домашнему маршрутизатору указание открыть ** TCP-порты. 5000, 5001, 8080, 8443, 443, 22 (SSH) или 445 (SMB)** напрямую во весь общедоступный Интернет (Shodan.io / Censys).
8. Отключите UPnP навсегда в настройках WAN/NAT вашего маршрутизатора и удалите все правила переадресации портов, указывающие на локальный IP-адрес NAS.
9. НЕ инициализируйте, не переформатируйте и не запускайте «Сброс/переустановку DSM или QTS» на жестких дисках, прежде чем проверить, захватил ли программа-вымогатель только раздел ОС или том данных:
10. В атаках типа DeadBolt вредоносная программа перезаписывает веб-страницу входа в NAS (index.html), чтобы отобразить полноэкранное сообщение с требованием выкупа, блокирующее доступ к панели администратора QNAP/Synology, даже если базовый Btrfs / ZFS снимки или большие видеофайлы (более 20 мегабайт) остаются на дисках в полной сохранности.
11. Проверьте, есть ли на вашем NAS Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), или LVM Снимки уровня блока (QNAP Storage & Snapshots):
12. Потому что Btrfs и ZFS снимки доступны только для чтения на уровне блоков файловой системы (и Synology WORM / Неизменяемые снимки не могут быть удалены даже скомпрометированным root учетную запись администратора), вы часто можете откатить 100 процентов ваших зашифрованных общих папок за 60 секунд без потери данных и без уплаты выкупа.
13. Прежде чем платить выкуп, определите точный штамм программы-вымогателя, используя ID Ransomware (id-ransomware.malwarehunterteam.com) и No More Ransom (nomoreransom.org):
14. Несколько основных штаммов программ-вымогателей NAS (eCh0raix / QNAPCrypt, рано Qlocker через photorec / qrescue извлечение журналов, Muhstikи SynoLocker) имеют бесплатные общедоступные дешифраторы или судебно-медицинские методы извлечения ключей, опубликованные правоохранительными органами и исследователями безопасности.

Дерево решений: немедленная сортировка программ-вымогателей NAS и путь восстановления¶

Используйте этот рабочий процесс, чтобы определить, возникла ли атака с компьютера в локальной сети или непосредственно на NAS, и выберите самый безопасный метод восстановления:

flowchart TD
    Symptom["Диски NAS измельчаются на 100% + переименованы файлы (.deadbolt, .7z, .ech0raix, .lockbit) или в веб-интерфейсе отображается экран выкупа"] --> PullLAN["ШАГ 1 (в течение 5 секунд). Отсоедините все кабели Ethernet от задней панели NAS."]

    PullLAN --> SourceCheck{"Остановилось ли шифрование в тот момент, когда вы отключили Ethernet-кабель NAS?"}

    SourceCheck -->|"ДА: активность диска падает до нуля при отключении локальной сети"| SMBVector["ИСТОЧНИК А: программа-вымогатель работает на ПК с Windows/Mac в вашей сети и шифрует общие папки через SMB"]

    SourceCheck -->|"НЕТ: жесткие диски NAS продолжают работать с отключенным Ethernet (или сама страница входа в систему NAS была заменена экраном с требованием выкупа)"| DirectNAS["ИСТОЧНИК Б: Бинарный файл программы-вымогателя выполняется непосредственно внутри ОС NAS (используется через UPnP/открытые порты WAN 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Найдите и отключите зараженный компьютер в локальной сети -> Восстановите общие папки NAS из снимков Btrfs / ZFS / QNAP или Hyper Backup."]

    DirectNAS -->SSHCheck{"У вас открыт активный локальный сеанс SSH (или на Qlocker работает 7z)?"}

    SSHCheck -->|"Да (Qlocker/активный процесс 7z)"| GrabPass["Проверьте PS aux | grep 7z на SSH для захвата открытого текста пароля 7-Zip из аргументов командной строки перед завершением процесса"]
    SSHCheck -->|"Нет SSH / неизвестные шлифовальные диски"| PowerOff["Удерживайте кнопку питания NAS в течение 5-10 секунд для немедленного принудительного отключения питания и сохранения незашифрованных файлов и свободного места."]

    GrabPass --> KillUPnP["ШАГ 2. Войдите в маршрутизатор -> отключить UPnP навсегда + удалить все правила переадресации портов (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Какие ресурсы восстановления существуют на NAS?"}

    RecoveryPath -->|"Присутствуют снимки блоков Btrfs / ZFS / QNAP"| SnapRestore["Очистить раздел ОС/обновление прошивки -> Откат общих папок до снимка состояния перед атакой"]
    RecoveryPath -->|"Внешнее резервное копирование через USB/внешнее облачное хранилище (Hyper Backup/HBS 3)"| BackupRestore["Очистка и восстановление NAS с исправленной прошивкой -> Восстановление из автономной/облачной резервной копии"]
    RecoveryPath -->|"Никаких снимков и резервных копий"| ForensicCarve["Клонировать диски только для чтения -> проверить NoMoreRansom.org + запустить PhotoRec / QRescue Нераспределенная резьба (особенно эффективно против Qlocker)"]

Как проникает программа-вымогатель NAS: два вектора атаки¶

Прежде чем снова подключить NAS к коммутатору локальной сети, вы должны знать, какой из двух совершенно разных векторов проникновения позволил программе-вымогателю проникнуть в ваши тома хранения:

Этап 1. Отключение воздействия Интернета (Router UPnP, Port Forwardingи облачные реле)¶

Если вы очистите или восстановите свой NAS, не закрывая сетевую дыру на маршрутизаторе, автоматические ботнеты, сканирующие ваш общедоступный IP-адрес, повторно заразят NAS в течение нескольких часов после его повторного подключения к сети. Сначала завершите блокировку сети на своем маршрутизаторе:

1. Войдите в консоль администратора интернет-маршрутизатора/брандмауэра:
2. Откройте браузер на чистом компьютере или телефоне и перейдите к IP-адресу шлюза вашего маршрутизатора (обычно 192.168.1.1, 192.168.0.1, 10.0.0.1или через приложение Mesh Router, например UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Отключить UPnP (Universal Plug and Play) Постоянно:
4. Перейдите в Дополнительно > Переадресация NAT/WAN/Сеть > UPnP и переключите UPnP в положение ВЫКЛ/Отключено.
5. Почему UPnP очень опасно для владельцев NAS: когда UPnP включен на вашем маршрутизаторе, любое устройство в вашей локальной сети (включая мастер «EZ-Internet» или «Автоматическая настройка маршрутизатора» вашего NAS или вредоносное ПО на Smart TV) может автоматически отправлять IGD (Internet Gateway Device) запросите ваш маршрутизатор, сказав * «Откройте внешние порты WAN 8080 и 5001 для моего локального IP-адреса 192.168.1.50» *, минуя брандмауэр, даже не запрашивая пароль маршрутизатора.
6. Удалить всю ручную переадресацию портов (Virtual Server) & DMZ Правила указания на NAS:
7. Перейдите в раздел Дополнительно > Переадресация NAT > Переадресация портов (или Виртуальные серверы) и удалите все правила, пересылающие порты TCP или UDP (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 СШ, 873 рсинк, 445 СМБ, 32400 Plex, если он не нужен) на IP-адрес вашего NAS.
8. Установите флажок Дополнительно > DMZ и убедитесь, что Узел DMZ отключен (при размещении IP-адреса NAS в DMZ маршрутизатора все 65 535 TCP- и UDP-портов NAS открываются непосредственно в общедоступный Интернет).
9. Убедитесь вне вашей сети, что ни один порт NAS открыт:
10. Посетите shodan.io или grc.com (ShieldsUP) или запустите сканирование портов по вашему общедоступному IP-адресу в глобальной сети, чтобы убедиться, что порты 5000, 5001, 8080, 8443, 443и 22 теперь вернись Filtered / Stealth / Closed.

Фаза 2: Экстренная сортировка по штамму (Qlocker, DeadBolt, eCh0raix)¶

Прежде чем стереть NAS или заплатить выкуп, проверьте, какая конкретная версия программы-вымогателя NAS поразила ваше устройство. Каждое основное семейство NAS имеет уникальные технические недостатки, которые позволяют частично или полностью восстановить данные без оплаты:

1. Если ваши файлы были заменены на .7z Архивы (Qlocker на QNAP/Linux NAS)¶

Как Qlocker работает: вместо написания собственного криптографического механизма, Qlocker запускает сценарий, который вызывает встроенную ** систему NAS7-Zip (/usr/local/sbin/7z)** двоичный файл для сжатия каждого файла в защищенный паролем .7z архив, а затем запускает обычный Linux rm (unlink) в исходном файле. - Трюк №1 (поиск пароля в режиме реального времени). ps aux Перед выключением питания): Если Qlocker в настоящее время все еще работает на вашем NAS, и вы можете войти в систему локально через SSH (ssh admin@nas-local-ip), запустите эту команду непосредственно перед выключением питания:

ps aux | grep 7z

2. Если экран входа в систему NAS был заменен DeadBolt Страница выкупа (.deadbolt файлы)¶

Как DeadBolt работает: 1. DeadBolt заменяет /home/httpd/index.html (или /home/httpd/cgi-bin/index.cgi) со своей собственной двоичной/HTML-страницей, которая захватывает ваш веб-браузер всякий раз, когда вы пытаетесь открыть панель управления QNAP QTS / Asustor ADM, требуя биткойны в обмен на главный ключ дешифрования из 32 шестнадцатеричных символов (доставляемый через биткойн в цепочке). OP_RETURN транзакция). 2. Как восстановить доступ к панели администратора QNAP QTS / QuTS Hero без потери данных: - Вариант А (через локальный SSH, если он включен): SSH к NAS локально (ssh admin@<nas-ip>), остановить негодяя deadbolt процесс, если он запущен, и запустите официальный сценарий восстановления прошивки QNAP или восстановите исходную версию прошивки. /home/httpd/index.html из образа системного ПЗУ, доступного только для чтения (/mnt/HDA_root/update_pkg/). - Вариант Б (бездисковая прошивка + повторная установка с возможностью «горячего» подключения): 1. Выключите NAS. 2. Выдвиньте все жесткие диски на 2 сантиметра (1 дюйм), чтобы они отсоединились от объединительной панели (сначала тщательно пронумеруйте отсеки с помощью малярной ленты). 3. Включите NAS без жестких дисков, найдите его IP-адрес с помощью Qfinder Pro, при появлении запроса на экране настройки выполните горячее подключение дисков обратно в соответствующие отсеки и выберите "Обновить только встроенное ПО (сохранить все данные и настройки)" (никогда не нажимайте "Инициализировать систему", при этом диски стираются). 3. Важное примечание по расшифровке для правоохранительных органов: DeadBolt: В скоординированных операциях под руководством Голландской национальной полиции (Politie), Европол (No More Ransom) и Responders.nu правоохранительные органы успешно обманули DeadBolt Злоумышленники во время резкого увеличения платы за мемпул высвободили более 150 мастер-ключей дешифрования, прежде чем злоумышленники отменили транзакции биткойнов с низкой комиссией с помощью метода замены по комиссии. Проверить deadbolt.responders.nu и nomoreransom.org чтобы узнать, подходит ли вам конкретное DeadBolt Ключ от адреса жертвы был изъят полицией.

3. Если ваши файлы заканчиваются на .encrypt (eCh0raix / QNAPCrypt)¶

• Несколько поколений eCh0raix (QNAPCrypt) использовали ошибочную генерацию ключа AES или имели свои средства управления и контроля (C2) база данных, конфискованная исследователями безопасности и правоохранительными органами.
• Посетите nomoreransom.org и загрузите два зашифрованных файла (или записку о выкупе README_FOR_DECRYPT.txt), чтобы протестировать бесплатный Bitdefender / NoMoreRansom. eCh0raix Дешифратор, прежде чем стирать что-либо.

Этап 3. Восстановление файлов из Btrfs, ZFS, или QNAP Снимки за 60 секунд¶

Если ваш NAS был зашифрован с помощью Vector #2 (зараженный компьютером-вымогателем в вашей локальной сети, шифрующим общие папки через SMB) или если у вас был Immutable (WORM) Снимки или нетронутые снимки LVM/Btrfs/ZFS во время прямой атаки NAS позволяют немедленно восстановить 100 процентов файлов:

1. Synology DiskStation (DSM 7.x с Btrfs Репликация моментальных снимков)¶

1. Сначала убедитесь, что зараженный компьютер в вашей локальной сети отключен от сети, и обновите Synology DSM до последней версии в разделе Панель управления > Обновление и восстановление.
2. Откройте пакет Snapshot Replication в Synology DSM.
3. Нажмите Восстановление на левой боковой панели.
4. Выберите зашифрованную Общую папку (или iSCSI LUN) и нажмите Восстановить.
5. Просмотрите список запланированных снимков (GMT+...) и выберите снимок, сделанный непосредственно перед началом шифрования программой-вымогателем (сначала отметьте Действие > Обзор, чтобы просмотреть файлы внутри этого снимка и убедиться, что они чистые и незашифрованные).
6. Нажмите Действие > Восстановить в этот снимок (или Клонировать с новым именем, если вы хотите сохранить зашифрованную папку нетронутой для криминалистических доказательств и сразу же смонтировать чистую копию общей папки).
7. Потому что Btrfs является копированием при записи (CoW) файловой системы, откат общей папки размером 20 терабайт к моментальному снимку перед атакой занимает менее 10 секунд.

2. QNAP NAS (QTS Снимки LVM на уровне блоков и QuTS hero ZFS Снимки)¶

1. После того как QTS/QuTS Hero будет исправлен и изолирован от глобальной сети, откройте Хранилище и снимки.
2. Перейдите в раздел Хранилище > Хранилище/снимки, выберите соответствующий толстый том, тонкий том или общую папку ZFS и нажмите Диспетчер снимков (значок камеры).
3. Выберите последний чистый снимок, сделанный до отметки времени атаки.
4. Просмотрите дерево папок на правой панели и убедитесь, что ваши файлы не повреждены, затем нажмите Вернуть снимок тома (или выберите все папки и нажмите Восстановить, чтобы перезаписать только зашифрованные файлы).

3. TrueNAS (CORE / SCALE на ZFS) и Unraid (ZFS / Btrfs)¶

• На TrueNAS (ZFS): перейдите в раздел Хранилище > Снимки (или Защита данных > Периодические задачи создания снимков), найдите чистый снимок (tank/share@auto-2026-10-31_12-00) и нажмите Откат (или клонируйте снимок в новый набор данных). zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered поэтому вы никогда не потеряете новые промежуточные снимки).

Этап 4. Укрепление безопасности вашего NAS, чтобы его больше никогда нельзя было зашифровать (контрольный список из 7 пунктов)¶

После восстановления данных примените эти семь обязательных правил настройки к устройству Synology, QNAP, TrueNAS или Asustor, прежде чем повторно подключать его к сети:

• 1. Никогда не перенаправляйте порты маршрутизатора на NAS: используйте Tailscale или WireGuard VPN Вместо:
• Установите официальный пакет Tailscale из Центра пакетов Synology или Центра приложений QNAP (или запустите встроенный в маршрутизатор WireGuard VPN-сервер).
• Tailscale создает одноранговый зашифрованный ячеистый туннель WireGuard с нулевой конфигурацией (100.x.y.z) между вашим телефоном, ноутбуком и NAS без открытых портов на брандмауэре домашнего маршрутизатора. Вы можете получить доступ к фотографиям, файлам и экрану администратора вашего NAS из любой точки мира, при этом ваш NAS остается на 100% невидимым для интернет-сканеров, таких как Shodan.
• 2. Отключить встроенную настройку по умолчанию admin Учетная запись и создание администратора с собственным именем и обязательной двухфакторной аутентификацией:
• И Synology DSM, и QNAP QTS поставляются с учетной записью по умолчанию с именем .admin (UID 1024 или UID 0). Автоматизированные боты-брутфорсы забивают имя пользователя admin 24/7.
• Создайте новую учетную запись администратора с уникальным именем пользователя, войдите в систему с этой новой учетной записью, перейдите в Панель управления > Пользователь и группа (или Пользователи) и Отключите настройку по умолчанию. admin аккаунт.
• Включите Обязательную двухфакторную аутентификацию (OTP / Passkey / Approve Sign-in) для всех учетных записей администратора.
• 3. Включите неизменяемый (WORM) Снимки (7-to-14-Day Retention Lock):
• В Synology DSM 7.2+: откройте Репликация моментальных снимков > Снимки > Настройки > Расписание, включите ежедневные снимки и установите флажок Включить неизменяемые снимки с периодом защиты от 7 до 14 дней. Даже если хакер украдет ваш пароль root или воспользуется уязвимостью ядра в DSM, никто (даже root) может удалить неизменяемый снимок до тех пор, пока не истечет 7-дневный аппаратный таймер.
• В QNAP QuTS Hero / QTS: настройте Хранилище реплик моментальных снимков или включите WORM (Write Once, Read Many) политики хранения для критически важных общих резервных копий и убедитесь, что ** «Резервное пространство для моментальных снимков»** включено.
• 4. Ограничить разрешения для сетевых ресурсов SMB (Least Privilege) Таким образом, заражение ноутбука не может зашифровать весь NAS:
• Никогда не сопоставляйте мастер вашего NAS admin учетные данные в проводнике Windows (\\NAS\) на повседневных ноутбуках.
• Создайте стандартную учетную запись пользователя без прав администратора для ежедневного доступа к файлам и настройте папки с архивами и фотографиями (например, 2010-2025 Family Photos Archive) до Только для чтения (ro) для ежедневных пользователей настольных компьютеров, поэтому, если компьютер члена семьи с ОС Windows обнаружит программу-вымогатель, компьютер сможет читать эти папки, но не сможет их шифровать или изменять.
• 5. Включите встроенный брандмауэр NAS (Allow LAN + Tailscale Subnets Only) и автоблокировка:
• В разделе Панель управления Synology > Безопасность > Брандмауэр (или QNAP QuFirewall) создайте строгое правило белого списка, разрешающее подключения только из вашей локальной подсети LAN (192.168.1.0/24) и вашей подсети Tailscale/VPN (100.64.0.0/10), за которым следует нижнее правило, установленное на Запретить все. Даже если кто-то случайно перевернется UPnP При повторном включении на маршрутизаторе собственный внутренний фильтр пакетов NAS мгновенно отбрасывает все общедоступные интернет-пакеты.
• 6. Отключить SSH (Port 22) и Телнет (Port 23) Когда не выполняется активное устранение неполадок:
• Оставьте SSH выключенным** в разделе Панель управления > Терминал и SNMP во время обычной повседневной работы; включите его только на 10 минут, необходимых для запуска задачи командной строки, а затем снова выключите.
• 7. Поддерживайте настоящую резервную копию «3-2-1» с воздушным зазором / неизменяемую облачную резервную копию (Hyper Backup / HBS 3):
• Следите за нашими резервное копирование компьютера и руководство по аварийному восстановлению 3-2-1: настроить Synology Hyper Backup или QNAP Hybrid Backup Sync (HBS 3) для отправки ночных зашифрованных дедуплицированных резервных копий на стороне клиента на внешний жесткий диск USB, который вы физически отключаете, или на объектно-блокированный (S3 Object Lock Compliance Mode) облачное ведро (Backblaze B2, Wasabi, или AWS S3) с использованием ограниченных ключей API, предназначенных только для добавления.

Региональные номера экстренных служб и протоколы агентств¶

Атаки программ-вымогателей, нацеленные на устройства NAS, расследуются национальными агентствами по борьбе с киберпреступностью по всему миру, которые поддерживают хранилища изъятых ключей дешифрования (No More Ransom) и отслеживать криминальную инфраструктуру:

• США и Канада:
• Аварийное отключение системы безопасности: наберите 911 если программа-вымогатель нарушает работу систем здравоохранения или физической безопасности.
• Центр рассмотрения жалоб на интернет-преступления CISA и ФБР (IC3): Сообщайте о кампаниях по вымогательству NAS (DeadBolt, Akira, LockBit, Qlocker) в stopransomware.gov, ic3.gov или позвоните в CISA по телефону 1-844-Say-CISA (1-844-729-2472).
• Канадский центр кибербезопасности и RCMP: отчет на сайте cyber.gc.ca (1-833-CYBER-88) или Канадский центр по борьбе с мошенничеством.
• Великобритания:
• Службы экстренной помощи: позвоните 999 (или 101 для неэкстренной полиции).
• Action Fraud и NCSC: Сообщайте об инцидентах с программами-вымогателями по адресу actionfraud.police.uk или позвоните 0300 123 2040 (круглосуточно, 7 дней в неделю, прямая линия по кибер-инцидентам). Малые предприятия и благотворительные организации могут ознакомиться с ** NCSC по реагированию на киберинциденты (ncsc.gov.uk)** портал.
• Европейский Союз:
• Службы экстренной помощи: позвоните 112 во всех странах-членах ЕС.
• Европейский центр по борьбе с киберпреступностью Европола (EC3) & NoMoreRansom.org: Проверьте nomoreransom.org (поддерживается Национальной полицией Нидерландов, Европолом и партнерскими агентствами) в случае изъятия ключей дешифрования программы-вымогателя NAS и сообщите об этом в национальную CSIRT и орган по защите данных (DPA в течение 72 часов, если персональные данные были похищены или утеряны в соответствии с GDPR).
• Австралия и Новая Зеландия:
• Службы экстренной помощи: позвоните 000 в Австралии или 111 в Новой Зеландии.
• Австралийский центр кибербезопасности (ACSC): позвоните на круглосуточную горячую линию по борьбе с программами-вымогателями по телефону .1300 CYBER1 (1300 292 371) или сообщите по адресу cyber.gov.au.
• CERT Новой Зеландии: отчет на cert.govt.nz.
• Индия и Азиатско-Тихоокеанский регион:
• Индия (CERT-In и горячая линия по борьбе с киберпреступностью): Наберите 1930 или сообщите по адресу cybercrime.gov.in и incident@cert-in.org.in.
• Тайвань (TWCERT/CC, юрисдикция PSIRT Synology, QNAP и Asustor): Отправьте заявки на инциденты безопасности поставщика непосредственно в QNAP PSIRT (service.qnap.com) или Synology PSIRT (synology.com/en-global/security/advisory).

Часто задаваемые вопросы¶

Как программа-вымогатель заразила мой QNAP или Synology NAS, если я ни разу не нажимал ни одной фишинговой ссылки и мои компьютеры были полностью чисты?¶

Ваш NAS был заражен непосредственно из общедоступного Интернета, не затрагивая ваши компьютеры. Либо ваш интернет-маршрутизатор имел УПнП (`Universal Plug and Play`) включено (позволяет функции NAS «Автоматическая настройка маршрутизатора / EZ-Internet / myQNAPcloud» автоматически открывать порты 8080, 443, 5000, 5001, или 22 на вашем брандмауэре), или вы вручную перенаправили порт для удаленного доступа к вашим файлам. Автоматизированные ботнеты постоянно сканируют каждый общедоступный IP-адрес в Интернете и используют неисправленные уязвимости или слабые администратор пароли на открытых веб-интерфейсах NAS.

Как я могу определить, запускалась ли программа-вымогатель непосредственно в моей ОС NAS или на одном из моих компьютеров с Windows через общий сетевой ресурс?¶

Посмотрите на три показателя: Во-первых, если Сам экран входа в систему веб-администрирования NAS был заменен запиской о выкупе (например, DeadBolt), или если зашифрованные файлы есть только на NAS, а все компьютеры в вашей сети чисты, вредоносное ПО запускается непосредственно внутри ОС Linux NAS. Во-вторых, откройте Журнал подключений NAS/журнал передачи файлов SMB (в Synology Центр журналов или QNAP Центр Кулога): если вы видите IP-адрес локальной сети (например, 192.168.1.24) выполнение десятков тысяч быстрых Записать/переименовать/удалить операции над СМБ, затем компьютер в 192.168.1.24 зараженное устройство, шифрующее ваш NAS по сети.

Почему DeadBolt шифровать только начало моих больших видеофайлов или файлов базы данных, и могу ли я по-прежнему воспроизводить или восстанавливать частично зашифрованные файлы?¶

Зашифровать десятки терабайт хранилища NAS до того, как владелец заметит скрежет жестких дисков и выдернет вилку, напрягает как DeadBolt только зашифровать первые 512 килобайт (`524,288 bytes`) каждого файла и добавьте .deadbolt расширение, оставляя оставшиеся гигабайты файла нетронутыми в виде обычного текста. Потеря первых 512 КБ приводит к полному уничтожению небольших документов и фотографий JPEG. большие многогигабайтные видеофайлы (`.mp4`, `.mov`, `.mkv`), необработанные кадры с камеры и образы дисков некоторых виртуальных машин (`VMDK`/`VHDX`) или базы данных SQL часто можно восстановить путем трансплантации действительного заголовка контейнера (`moov` атом) из другого видео, записанного той же камерой с помощью таких инструментов, как необрезанный.

Синология QuickConnect или myQNAPcloud Link безопасно ли оставить включенным, если я отключу UPnP и переадресацию портов маршрутизатора?¶

Если UPnP маршрутизатора и переадресация портов вручную полностью отключены, службы исходящей ретрансляции, такие как Synology, будут отключены. Реле быстрого подключения и Ссылка на myQNAPcloud значительно безопаснее, чем открытые порты WAN, поскольку они не открывают прослушиваемые порты на брандмауэре вашего маршрутизатора. Однако они по-прежнему отображают экран входа в NAS (`DSM` / `QTS` обработчик веб-аутентификации) всем, кто знает или догадывается о вашем `QuickConnect ID`. Для максимальной безопасности отключите общедоступный ретрансляционный доступ к интерфейсу администратора и используйте Хвостовая чешуя или WireGuard VPN вместо этого требуется аутентификация криптографического устройства раньше один HTTP-пакет может даже достичь вашего веб-сервера NAS.

Должен ли я платить выкуп в биткойнах за DeadBolt, Qlocker, или eCh0raix если у меня нет резервных копий и снимков?¶

Правоохранительные органы (`FBI`, `CISA`, `Europol`, `NCSC`) настоятельно не рекомендуется платить выкуп, поскольку платежи финансируют преступные синдикаты и не дают никаких гарантий, что сценарий автоматического дешифрования злоумышленника будет работать без повреждения файлов. Прежде чем рассматривать возможность оплаты: (1) создайте образ или сохраните диски, чтобы не усугубить ситуацию, (2) проверьте **`nomoreransom.org`** и **`deadbolt.responders.nu`** чтобы узнать, изъяли ли правоохранительные органы главный ключ вашего штамма, (3) Для **`Qlocker`**, беги **`PhotoRec` / `QRescue`** на нераспределенном дисковом пространстве (которое часто бесплатно восстанавливает от 60% до 90% удаленных оригиналов) и (4) Для больших `.mp4`/`.mov` видео, подвергшиеся шифрованию с частичным заголовком, тестовая реконструкция заголовка с помощью `untrunc`.

Связанные руководства¶

• Заражение вредоносными программами, программами-вымогателями и шпионскими программами: немедленное сдерживание и восстановление
• Защита домашних маршрутизаторов и устройств Интернета вещей
• Деградация RAID-массива NAS, сбой нескольких дисков и восстановление ZFS/Btrfs
• Резервное копирование компьютеров, стратегия 3-2-1 и аварийное восстановление
• Аварийное исправление уязвимостей нулевого дня и изоляция устройств по окончании срока службы
• Номера экстренных служб по странам

Источники и официальное руководство¶

• Агентство кибербезопасности и безопасности инфраструктуры (CISA) и Федеральное бюро расследований (FBI) (StopRansomware.gov): Предупреждение о сетевом хранилище (NAS) Устройства, атакованные программами-вымогателями DeadBolt, Qlocker, eCh0raix и Akira.
• Европейский центр киберпреступности Европола (EC3) и Национальная полиция Нидерландов (Politie) (NoMoreRansom.org): Операция «Захват ключа DeadBolt», репозиторий расшифровщиков eCh0raix и рекомендации по борьбе с программами-вымогателями.
• Группа реагирования на инциденты безопасности продуктов QNAP (QNAP PSIRT) и Консультативный совет по безопасности Synology: Технические бюллетени по отключению UPnP маршрутизатора, восстановлению захваченных консолей администратора, QRescue (PhotoRec) Нераспределенное восстановление и включение неизменяемого WORM Снимки.
• Национальный центр кибербезопасности (NCSC) (Великобритания): Защита от вредоносных программ и программ-вымогателей в сетевых хранилищах и небольшой офисной технике.