Нармафзори фидя дар NAS хона ё офисӣ (Synology/QNAP): Қатъи рамзгузорӣ ва таъсири UPnP¶

Гӯш кардани дискҳои сахт дар дохили анбори ба шабака пайвастшуда (NAS) асбоб (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, ё Western Digital My Cloud) бо 100 дарсад истифодаи диск дар ҳоле ки ҷузвдонҳои муштарак пур мешаванд .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, ё .encrypt васеъшавии файл (ё дидани экрани воридшавии веби NAS-и шумо бо талаби фидияи Bitcoin иваз карда шудааст) як ҳолати фавқулоддаи нигаҳдорӣ мебошад. Таҷҳизоти NAS ҳадафҳои арзишманд барои ботнетҳои автоматии ransomware дар саросари интернет мебошанд (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, ва Akira) зеро як NAS-и ягонаи патчнашуда аксар вақт аз 10 то 100 терабайт тамоми ҳаёти рақамии як оила ё тиҷорати хурдро дар бар мегирад ва аксар вақт мустақиман ба интернети ҷамъиятӣ дучор мешавад, бе он ки соҳиби он тавассути Router UPnP (Universal Plug and Play) Интиқоли худкори порт ё хидматрасонии абрии релеи фурӯшанда (myQNAPcloud, Synology QuickConnect, EZ-Internet). Пеш аз он ки сими барқи AC-ро аз девор бардоред, шумо бояд қарори муҳими меъмории 10 сония қабул кунед, ки оё NAS-и шумо аксҳои Copy-on-Write-ро истифода мебарад (Btrfs ё ZFS) ё массиви анъанавии RAID; барои садамаҳои дискҳои ғайридавлатӣ ransomware, машварат кунед Массиви NAS RAID таназзул кардааст, нокомии сершумори диск ва барқароркунии ZFS/Btrfs, ва барои сироятҳои ransomware дар асоси компютер, нигаред зараровар, ransomware ва сирояти нармафзори ҷосусӣ инчунин таъмини роутерҳои хонагӣ ва дастгоҳҳои IoT. Агар нармафзори фидя ба амалиёти беморхона, хадамоти фавқулоддаи мунисипалӣ ё инфрасохтори бехатарии ҷисмонӣ таъсир расонад, ба рақами фавқулоддаи маҳаллии худ занг занед (911 дар Иёлоти Муттаҳида ва Канада, 112 дар саросари Иттиҳоди Аврупо, 999 дар Британияи Кабир) ё ба феҳристи байналмилалии мо муроҷиат кунед рақамҳои фавқулодда.

Ҳоло ин корро кунед¶

1. ** Ethernet физикиро кашед (RJ45 / 10GbE) сими шабакавиро аз қафои NAS ҲОЗИР, пеш аз ламс кардан ба сими барқ** берун кунед:
2. Хориҷ кардани сим(ҳо)-и Ethernet сеанси интерактивии фармон ва назоратии SSH/HTTP-и ҳамлакунандаро фавран қатъ мекунад, NAS-ро аз зеркашии бори дуюмдараҷаи рамзгузорӣ бозмедорад ва ба ҳамин монанд муҳим аст, ** як компютери мизи кории сироятшуда дар LAN идораи маҳаллии шумо аз рамзгузории NAS тавассути шабакаҳои SMB/CIFS (шабакаҳои SMB/CIFS) фавран қатъ мекунад.\\NAS\Share)**.
3. Дар 15 сония муайян кунед, ки қувваи барқро қатъ кунед ё раванди рамзкунониро тоза қатъ кунед:
4. Сенарияи A: Барномаи фидя дар компютери мизи корӣ дар LAN-и шумо кор мекунад ва файлҳои NAS-ро тавассути диски SMB/Mapped Network рамзгузорӣ мекунад: Танҳо кашидани сими NAS Ethernet дар Қадами 1 аллакай 100% рамзкунониро дар NAS қатъ кард. NAS-ро фаъол гузоред, то массиви RAID ва системаи файлии он тоза бимонанд ва як истгоҳи кории сироятшудаи Windows/Mac-ро ҷудо кунед.
5. Сенарияи В: Бинарии ransomware мустақиман дар дохили худи системаи амалиётии NAS Linux иҷро мешавад (DeadBolt, Qlocker, eCh0raix):
   • Агар шумо надоред Btrfs ё ZFS аксбардорӣ фаъол (масалан, кӯҳна ext4 Ҳаҷм) ва дискҳо фаъолона дастос мекунанд, зеро NAS ягона нусхаи файлҳои шуморо рамзгузорӣ мекунад, Тугмаи барқи пеши физикии NAS-ро аз 5 то 10 сония пахш карда нигоҳ доред, то фавран хомӯш кардани барқро маҷбур кунед (ё агар тугма ҷавоб надиҳад сими барқи DC/AC-ро кашед). Ҳар дақиқае, ки NAS фаъол аст, ба CPU имкон медиҳад, ки боз 5 то 20 гигабайт файлҳои шуморо рамзгузорӣ кунад.
   • ** Огоҳии муҳим (Why DeadBolt & Qlocker victims must NOT reboot after recovery)**: Штаммҳои Ransomware ба монанди Qlocker (ки файлҳоро ба парол муҳофизатшаванда интиқол медиҳад .7z архивҳо истифода мебаранд 7z) ва DeadBolt баъзан ҳолати рамзгузории фаъол ё калидҳои рамзкушоиро дар худ нигоҳ доред /tmp (RAM) ё рабудани дуӣ UI веб (/home/httpd/index.html). Агар шумо то ҳол дар NAS қабати решаи маҳаллии SSH дошта бошед, тафтиш кунед ps aux ва /tmp пеш аз хомӯш кардани барқ ​​(ниг. Марҳилаи 2 дар поён).
6. ** Ба роутер / девори интернети худ ворид шавед (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / дарвозаи ISP) фавран ва хомӯш кунед UPnP (Universal Plug and Play) Ва ҳама қоидаҳои интиқоли порти WAN-ро, ки ба NAS**-и шумо ишора мекунанд, нест кунед:
7. Зиёда аз 80 фоизи сироятҳои NAS-и ransomware дар хона ва офиси хурд аз он сабаб рух медиҳанд, ки корбар ҳангоми насби аввал "Конфигуратсияи худкори роутер / EZ-Internet / UPnP" -ро клик кардааст, ки ба роутери хонагӣ хомӯшона дастур додааст, ки портҳои TCP-ро кушояд. 5000, 5001, 8080, 8443, 443, 22 (SSH), ё 445 (SMB) бевосита ба тамоми интернети ҷамъиятӣ (Shodan.io / Censys).
8. UPnP-ро дар танзимоти WAN/NAT-и роутератон ба таври доимӣ хомӯш кунед ва ҳар як қоидаи интиқоли портро, ки ба суроғаи IP-и маҳаллии NAS ишора мекунад, нест кунед.
9. ** Пеш аз тафтиш, ки оё нармафзори ransomware танҳо қисмати OS ё ҳаҷми маълумотро рабудааст, дар дискҳои сахт "Бозсозӣ / аз нав насб кардани DSM ё QTS" -ро оғоз накунед, аз нав формат кунед ё иҷро накунед**:
10. Дар ҳамлаҳо ба монанди DeadBolt, нармафзори зараровар саҳифаи воридшавии веби NAS-ро аз нав менависад (index.html) барои намоиш додани ёддошти фидияи пурраи экран, ки дастрасӣ ба панели идоракунии QNAP/Synology-ро манъ мекунад, ҳатто вақте ки асли шумо Btrfs / ZFS Суратҳо ё файлҳои видеоии калон (зиёда аз 20 мегабайт) дар дискҳо 100 фоиз боқӣ мемонанд.
11. ** Санҷед, ки NAS-и шумо дорад Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), ё LVM Суратҳои сатҳи блок (QNAP Storage & Snapshots)**:
12. Зеро Btrfs ва ZFS Суратҳо танҳо барои хондан дар қабати блоки системаи файлӣ (ва Synology WORM / Суратҳои тағирнашавандаро ҳатто аз ҷониби осебдида нест карда наметавонанд root ҳисоби администратор), ** шумо аксар вақт метавонед 100 фоизи ҷузвдонҳои муштараки рамзгузоришудаи худро дар 60 сония бо талафоти сифри маълумот ва сифр фидя пардохташуда баргардонед**.
13. Пеш аз пардохти ягон фидя, штамми дақиқи ransomware-ро муайян кунед ID Ransomware (id-ransomware.malwarehunterteam.com) ва No More Ransom (nomoreransom.org):
14. Якчанд штаммҳои асосии NAS ransomware (eCh0raix / QNAPCrypt, барвакт Qlocker тавассути photorec / qrescue истихроҷи лог, Muhstik, ва SynoLocker) дорои дешифргузориҳои ройгони ҷамъиятӣ ё усулҳои истихроҷи калидҳои судӣ, ки аз ҷониби муҳаққиқони мақомоти ҳифзи ҳуқуқ ва амният нашр шудаанд.

Дарахти қарор: озмоиши фаврии NAS ransomware ва роҳи барқарорсозӣ¶

Ин ҷараёни корро барои муайян кардани он, ки ҳамла аз компютери LAN ё бевосита дар NAS рух додааст, истифода баред ва усули барқарорсозии бехатарро интихоб кунед:

flowchart TD
    Symptom["NAS дискҳои дастос бо 100% + Номи файлҳои тағирёфта (.deadbolt, .7z, .ech0raix, .lockbit) ё Web UI экрани фидяро нишон медиҳад"] --> PullLAN["ҚАДАМИ 1 (дар давоми 5 сония): Ҳама кабелҳои Ethernetро аз пушти NAS ҷудо кунед"]

    PullLAN --> SourceCheck{"Оё рамзгузорӣ ҳамон лаҳзае, ки шумо сими NAS Ethernet-ро ҷудо кардед, қатъ кард?"}

    SourceCheck -->|"ҲА: Ҳангоми ҷудо кардани LAN, фаъолияти диск ба сифр афтод"| SMBVector["МАНБАИ A: Барномаи фидявӣ дар компютери Windows/Mac дар шабакаи шумо кор мекунад ва ҷузвдонҳои муштаракро тавассути SMB рамзгузорӣ мекунад"]

    SourceCheck -->|"НЕ: Дискҳои сахти NAS шикастани Ethernet-ро идома медиҳанд (ё худи саҳифаи воридшавии NAS бо экрани фидя иваз карда шудааст)"| DirectNAS["МАНБАИ В: Бинарии Ransomware мустақиман дар дохили OS NAS иҷро мешавад (Тавассути UPnP / Портҳои ошкоршудаи WAN 5000, 5001, 8080, 443, 22 истифода мешавад)"]

    SMBVector --> IsolatePC["Компютери сироятшударо дар LAN-и худ пайдо ва ҷудо кунед -> Барқарор кардани ҷузвдонҳои муштараки NAS аз Btrfs / ZFS / QNAP Snapshots ё Hyper Backup"]

    DirectNAS -->SSHCheck{"Оё шумо сессияи фаъоли SSH-и маҳаллӣ доред (ё ин Qlocker 7z кор мекунад)?"}

    SSHCheck -->|"Бале (Qlocker / Process Active 7z)"| GrabPass["ps aux |-ро тафтиш кунед grep 7z дар SSH барои гирифтани пароли оддӣ 7-Zip аз сатри фармони Args пеш аз куштори раванд"]
    SSHCheck -->|"Не SSH / Дискҳои суфтакунандаи шиддати номаълум"| PowerOff["Тугмаи барқи NAS-ро 5-10 сония нигоҳ доред, то фавран барқро хомӯш кунед, то файлҳои рамзнашуда ва фазои холӣ нигоҳ дошта шаванд"]

    GrabPass --> KillUPnP["ҚАДАМИ 2: Воридшавӣ ба роутер -> Хомӯш кардани UPnP ба таври доимӣ + Ҳама қоидаҳои интиқоли портро нест кунед (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Дар NAS кадом дороиҳои барқарорсозӣ мавҷуданд?"}

    RecoveryPath -->|"Btrfs / ZFS / QNAP Block Snapshots ҳозир"| SnapRestore["Тақсими тозаи OS / Навсозии нармафзор -> Ҷузвдонҳои муштаракро барои аксбардории пеш аз ҳамла баргардонед"]
    RecoveryPath -->|"Нусхаи эҳтиётии абрии USB / берун аз сайт (Hyper Backup / HBS 3)"| BackupRestore["Тоза кунед ва аз нав сохтани NAS-ро дар нармафзори часпонидашуда -> Барқарор кардан аз нусхабардории офлайн/абрӣ"]
    RecoveryPath -->|"Не аксҳои лағзавӣ ва на нусхабардорӣ"| ForensicCarve["Дискҳои клонӣ танҳо барои хондан -> NoMoreRansom.org -ро санҷед + Коркарди PhotoRec / QRescue-ро иҷро кунед (махсусан бар зидди Qlocker самаранок аст)"]

Чӣ тавр NAS Ransomware ворид мешавад: Ду вектори ҳамла¶

Пеш аз он ки шумо NAS-и худро ба гузариши шабакаи маҳаллии худ дубора пайваст кунед, шумо бояд донед, ки кадоме аз ду вектори воридшавии комилан гуногун ба ransomware ба ҳаҷми нигаҳдории шумо иҷозат додааст:

Марҳилаи 1: Хомӯш кардани таъсири Интернет (Router UPnP, Port Forwarding, ва Релеҳои абрӣ)¶

Агар шумо NAS-и худро бе пӯшидани сӯрохи шабака дар роутер тоза кунед ё барқарор кунед, ботнетҳои автоматӣ, ки суроғаи IP-и ҷамъиятии шуморо скан мекунанд, NAS-ро дар тӯли чанд соат пас аз баргардонидани он дубора сироят мекунанд. Аввал ин бастани шабакаро дар роутератон анҷом диҳед:

1. Ба роутер / консол администратори интернетии худ ворид шавед:
2. Браузерро дар компютер ё телефони тоза кушоед ва ба IP дарвозаи роутератон гузаред (одатан 192.168.1.1, 192.168.0.1, 10.0.0.1, ё тавассути барномаи роутери mesh худ ба монанди UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. ** Хомӯш кардан UPnP (Universal Plug and Play) Доимий**:
4. Ба ** Advanced > Forwarding NAT / WAN / Network > UPnP** гузаред ва UPnP-ро ба ХОМӮШ / ғайрифаъол гузаред.
5. Чаро UPnP барои соҳибони NAS хеле хатарнок аст: Вақте ки UPnP дар роутери шумо фаъол аст, ҳама гуна дастгоҳ дар шабакаи маҳаллии шумо (аз ҷумла устоди NAS "EZ-Internet" ё "Configuration Auto Router" ё нармафзори зараровар дар телевизиони интеллектуалӣ) метавонад бесадо IGD (Internet Gateway Device) аз роутери худ дархост кунед, ки "Бортҳои берунии WAN 8080 ва 5001-ро ба IP маҳаллии ман 192.168.1.50 кушоед", бе ягон бор гузарвожаи роутератон аз девори худ канорагирӣ кунед.
6. ** Ҳама интиқоли портҳои дастиро нест кунед (Virtual Server) & DMZ Қоидаҳои ишора ба NAS**:
7. Ба ** Advanced > Forwarding NAT > Port Forwarding (ё серверҳои виртуалӣ)** гузаред ва ҳар як қоидаи интиқоли TCP ё UDP-ро нест кунед (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 SMB, 32400 Plex агар нолозим бошад) ба NAS IP-и худ.
8. Advanced > DMZ -ро тафтиш кунед ва тасдиқ кунед, ки ** DMZ Host ғайрифаъол аст** (ҷойгир кардани NAS IP дар DMZ роутер ҳамаи 65,535 портҳои TCP ва UDP-и NAS-ро мустақиман ба интернети ҷамъиятӣ фош мекунад).
9. Аз берун аз шабакаи худ санҷед, ки сифр портҳои NAS кушодаанд:
10. Боздид shodan.io ё grc.com (ShieldsUP) ё скан кардани портро бар зидди суроғаи IP-и ҷамъиятии WAN-и худ иҷро кунед, то ин портҳоро тасдиқ кунед 5000, 5001, 8080, 8443, 443, ва 22 акнун баргардедFiltered / Stealth / Closed.

Марҳилаи 2: Триажи махсуси шиддати ҳолати фавқулодда (Qlocker, DeadBolt, eCh0raix)¶

Пеш аз тоза кардани NAS ё пардохти фидя, санҷед, ки кадом штамми мушаххаси NAS-и ransomware ба дастгоҳи шумо дучор шудааст. Ҳар як оилаи асосии NAS дорои заъфҳои беназири техникӣ мебошад, ки имкон медиҳад қисман ё пурраи маълумотро бидуни пардохт барқарор созанд:

1. Агар файлҳои шумо бо иваз карда шаванд .7z Архивҳо (Qlocker дар QNAP / Linux NAS)¶

Чӣ хел Qlocker кор мекунад: Ба ҷои навиштани муҳаррики криптографии фармоишӣ, Qlocker скриптро иҷро мекунад, ки дар дохили NAS-ро истифода мебарад 7-Zip (/usr/local/sbin/7z) дуӣ барои фишурдани ҳар як файл ба парол муҳофизатшуда .7z бойгонӣ ва сипас Linux-и муқаррариро иҷро мекунад rm (unlink) дар файли аслӣ. - ** Триажи №1 (Ҷабидани пароли зинда дар ps aux Пеш аз хомӯш кардани барқ): Агар Qlocker дар айни замон дар NAS-и шумо кор мекунад ва шумо метавонед ба таври маҳаллӣ тавассути SSH (ssh admin@nas-local-ip), ин фармонро фавран пеш аз хомӯш кардани барқ иҷро кунед:

ps aux | grep 7z

2. Агар экрани вуруди NAS-и шумо аз ҷониби DeadBolt Саҳифаи фидя (.deadbolt файлҳо)¶

Чӣ хел DeadBolt корҳо: 1. DeadBolt иваз мекунад /home/httpd/index.html (ё /home/httpd/cgi-bin/index.cgi) бо саҳифаи дуӣ/HTML-и худ, ки ҳар дафъа ҳангоми кӯшиши кушодани панели QNAP QTS / Asustor ADM браузери веби шуморо ғорат мекунад ва дар ивази калиди рамзкушоии устои 32 шонздаҳӣ (тавассути Bitcoin-и занҷир расонида мешавад) Bitcoin талаб мекунад. OP_RETURN муомилот). 2. Чӣ гуна метавон дастрасӣ ба панели идоракунандаи QNAP QTS / QuTS-и худро бидуни гум кардани маълумоти шумо барқарор кунед: - Варианти A (Тавассути SSH маҳаллӣ, агар фаъол бошад): SSH ба NAS ба таври маҳаллӣ (ssh admin@<nas-ip>), фиребгарро бас кунед deadbolt коркард кунед ва скрипти барқарорсозии нармафзори расмии QNAP-ро иҷро кунед ё аслии онро барқарор кунед /home/httpd/index.html аз тасвири ROM-и танҳо барои хондан (/mnt/HDA_root/update_pkg/). - Варианти В (Флеши нармафзори бедиск + Ҷойгиркунии Hot-Plug): 1. NAS-ро хомӯш кунед. 2. Ҳама дискҳои сахтро ба 2 сантиметр (1 дюйм) лағжонед, то онҳо аз панели қафо ҷудо шаванд (** аввал бо лентаи рангоранг фармоиши онҳоро бодиққат рақамгузорӣ кунед**). 3. NAS-ро бе дискҳои сахт фаъол кунед, IP-и онро тавассути Qfinder Pro пайдо кунед, вақте ки дар экрани насб дархост мешавад, дискҳоро ба ҷойҳои дақиқи худ пайваст кунед ва "Танҳо навсозии нармафзор (Ҳама маълумот ва танзимотро нигоҳ доред)"-ро интихоб кунед (ҳеҷ гоҳ "Системаро оғоз кунед"-ро пахш накунед, ки дискҳоро тоза мекунад). 3. Эзоҳ дар бораи рамзкушоӣ дар мақомоти ҳифзи ҳуқуқ DeadBolt: Дар амалиёти ҳамоҳангшуда таҳти роҳбарии полиси миллии Голландия Politie), Европол (No More Ransom), ва Responders.nu, мақомоти ҳифзи ҳуқуқ бомуваффақият фиреб доданд DeadBolt Фаъолони таҳдид ҳангоми пардохти ҳаққи mempool ба интишори беш аз 150 калиди рамзкушоии усто пеш аз бекор кардани муомилоти камхарҷи биткоин тавассути Replace-By-Fee. Санҷед deadbolt.responders.nu ва nomoreransom.org то бубинед, ки оё мушаххаси шумо DeadBolt калиди суроғаи ҷабрдида аз ҷониби полис дастгир карда шуд.

3. Агар файлҳои шумо ба охир расад .encrypt (eCh0raix / QNAPCrypt)¶

• Якчанд наслҳои eCh0raix (QNAPCrypt) истихроҷи калиди AES-ро истифода мебурд ё фармон ва назорати онҳоро дошт (C2) махзани маълумот аз ҷониби тадқиқотчиёни амният ва мақомоти ҳифзи ҳуқуқ мусодира карда шудааст.
• Боздид nomoreransom.org ва ду файли рамзгузоришударо бор кунед (ё ёддошти фидя README_FOR_DECRYPT.txt) барои санҷиши ройгони Bitdefender / NoMoreRansom eCh0raix Деcryptor пеш аз тоза кардани чизе.

Марҳилаи 3: Барқарор кардани файлҳои шумо аз Btrfs, ZFS, ё QNAP Суратҳо дар 60 сония¶

Агар NAS-и шумо аз ҷониби Вектор №2 рамзгузорӣ шуда бошад (компютере, ки аз нармафзори фидя сироятшуда дар LAN-и шумо папкаҳои муштаракро тавассути SMB рамзгузорӣ мекунад), ё агар шумо Immutable (WORM) Суратҳо ё дастнорас LVM/Btrfs/ZFS Snapshots ҳангоми ҳамлаи мустақими NAS, шумо метавонед 100 фоизи файлҳои худро фавран барқарор кунед:

1. Synology DiskStation (DSM 7.x бо Btrfs Репликатсияи аксҳо)¶

1. Аввалан, тафтиш кунед, ки компютери сироятшуда дар LAN-и шумо аз шабака ҷудо шудааст ва Synology DSM-ро ба версияи охирини зери Панели идоракунӣ > Навсозӣ ва барқарорсозӣ навсозӣ кунед.
2. Бастаи Replication Snapshot-ро дар дохили Synology DSM кушоед.
3. Дар панели чапи чап Барқароркуниро клик кунед.
4. Рамзшудаи Папкаи муштарак-ро интихоб кунед (ё iSCSI LUN) ва Барқарор кардан-ро клик кунед.
5. Рӯйхати аксҳои ба нақша гирифташударо паймоиш кунед (GMT+...) ва аксеро, ки фавран пеш аз оғози рамзгузории нармафзори ransomware гирифта шудааст интихоб кунед (аввал Амал > Мурури-ро санҷед, то файлҳои дохили он аксро пешнамоиш кунед ва тоза ва рамзнашуда будани онҳоро тасдиқ кунед).
6. Амал > Барқарор кардани ин аксбардор-ро клик кунед (ё Бо номи нав клон кунед, агар шумо хоҳед, ки ҷузвдони рамзгузорро барои далелҳои криминалистӣ ҳангоми фавран насб кардани нусхаи тозаи ҷузвдони муштарак дастнорас нигоҳ доред).
7. Зеро Btrfs нусхабардорӣ ба навиштан аст (CoW) системаи файлӣ, баргардонидани ҷузвдони муштараки 20-терабайт ба акси пеш аз ҳамла камтар аз 10 сонияро мегирад.

2. QNAP NAS (QTS Суратҳои LVM дар сатҳи блок ва QuTS hero ZFS Суратҳо)¶

1. Пас аз он ки қаҳрамони QTS/QuTS часпонда ва аз WAN ҷудо карда мешавад, Storage & Snapshots-ро кушоед.
2. Ба Захира > Нигоҳдорӣ/Суратҳои лаҳзавӣ равед, Ҳаҷми ғафси зарардида, Ҳаҷми борик ё ҷузвдони муштараки ZFS-ро интихоб кунед ва Менеҷери аксбардорӣ-ро клик кунед (тасвири камера).
3. Сурати охирини тозаеро, ки пеш аз тамғаи ҳамла гирифта шудааст, интихоб кунед.
4. Дарахти ҷузвдонҳо дар дохили панели ростро аз назар гузаронед, то солим будани файлҳои худро тафтиш кунед, пас Бозгашти акси ҳаҷм-ро клик кунед (ё ҳамаи ҷузвдонҳоро интихоб кунед ва Барқароркуниро пахш кунед, то танҳо файлҳои рамзгузоришударо аз нав нависед).

3. TrueNAS (CORE / SCALE дар ZFS) ва Unraid (ZFS / Btrfs)¶

• Дар TrueNAS (ZFS): Ба Захира > Суратҳо (ё Ҳифзи маълумот > Вазифаҳои аксҳои даврии) гузаред, акси тозаро (tank/share@auto-2026-10-31_12-00) ва Бозгашт-ро клик кунед (ё акси лаҳзаро ба маҷмӯи додаҳои нав клон кунед zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered бинобар ин шумо ҳеҷ гоҳ аксҳои навтари фосилавиро гум намекунед).

Марҳилаи 4: Сахт кардани NAS-и худ, то он ки дигар ҳеҷ гоҳ рамзгузорӣ карда нашавад (Рӯйхати санҷиши 7-нуқта)¶

Пас аз барқарор кардани маълумоти шумо, ин ҳафт қоидаҳои ҳатмии конфигуратсияро дар дастгоҳи Synology, QNAP, TrueNAS ё Asustor пеш аз пайваст кардани он ба шабака татбиқ кунед:

• 1. Ҳеҷ гоҳ ягон порти роутери худро ба NAS-и худ нафиристед: Истифода баред Tailscale ё WireGuard VPN Ба ҷои ин:
• Бастаи расмии Tailscale-ро аз Маркази бастаи Synology / Маркази Барномаҳои QNAP насб кунед (ё роутери дарунсохтаи WireGuard VPN Server-ро идора кунед).
• Tailscale туннели тории рамзкунонидашудаи WireGuard-ро конфигуратсияи сифр эҷод мекунад (100.x.y.z) байни телефони шумо, ноутбуки шумо ва NAS-и шумо бо портҳои кушодаи сифр дар девори роутери хонагии шумо. Шумо метавонед ба аксҳо, файлҳо ва экрани администратори NAS аз ҳар гӯшаи ҷаҳон дастрасӣ пайдо кунед, дар ҳоле ки NAS-и шумо барои сканерҳои интернетӣ 100% ноаён боқӣ мемонад. Shodan.
• 2. Хомӯш кардани пешфарзи дарунсохт admin Ҳисоб ва эҷоди як мудири бо номи фармоишӣ бо ҳатмӣ 2FA:
• Ҳам Synology DSM ва ҳам QNAP QTS бо ҳисоби пешфарз бо номи ** фиристода мешавандadmin** (UID 1024 ё UID 0). Ботҳои автоматии бераҳмона номи корбарро мезананд admin 24/7.
• Бо номи корбарии беназир ҳисоби нави администратор эҷод кунед, бо он ҳисоби нав ворид шавед, ба Панели идоракунӣ > Корбар ва гурӯҳ (ё корбарон) гузаред ва Пешфарзро ғайрифаъол кунед. admin хисоб.
• Астентификатсияи ҳатмии 2-факторро фаъол кунед (OTP / Passkey / Approve Sign-in) барои ҳама ҳисобҳои администратор.
• 3. Табдилнопазирро фаъол кунед (WORM) Суратҳо (7-to-14-Day Retention Lock):
• Дар Synology DSM 7.2+: Кушодани Репликатсияи аксҳо > Суратҳо > Танзимотҳо > Ҷадвал, аксҳои ҳаррӯзаро фаъол созед ва "Даргиронидани аксҳои тағирнашаванда"-ро бо давраи муҳофизат аз 7 то 14 рӯз санҷед. Ҳатто агар ҳакер пароли решаи шуморо дуздад ё осебпазирии ядроро дар DSM истифода барад, ** ҳеҷ кас (ҳатто на) root) то ба охир расидани мӯҳлати 7-рӯзаи сахтафзор як акси тағирнопазир**-ро нест карда метавонад.
• Дар QNAP QuTS hero / QTS: Snapshot Replica Vault-ро танзим кунед ё WORM-ро фаъол созед (Write Once, Read Many) сиёсати нигоҳдорӣ дар саҳмияҳои эҳтиётии муҳим ва боварӣ ҳосил кунед, ки "Захираи фосилаи аксбардорӣ" фаъол аст.
• 4. Маҳдуд кардани иҷозатҳои мубодилаи шабакаи SMB (Least Privilege) Ҳамин тавр, сирояти ноутбук наметавонад тамоми NAS-ро рамзгузорӣ кунад:
• Ҳеҷ гоҳ устои NAS-и худро харита накунед admin эътимоднома дар дохили Windows File Explorer (\\NAS\) дар ноутбукҳои ҳаррӯза.
• Барои дастрасии ҳамарӯзаи файлҳо ҳисоби корбарии ғайриадминӣ эҷод кунед ва ҷузвдонҳои бойгонӣ/аксҳои худро насб кунед (масалан, 2010-2025 Family Photos Archive) ба Танҳо барои хондан (ro) барои корбарони ҳаррӯзаи мизи корӣ, то ки агар компютери Windows-и аъзои оилаи ransomware-ро сайд кунад, компютер метавонад он ҷузвдонҳоро хонад, аммо ** онҳоро рамзгузорӣ ё тағир дода наметавонад**.
• 5. Сипари дарунсохти NAS-ро фаъол созед (Allow LAN + Tailscale Subnets Only) & Автоблок:
• Дар дохили Панели идоракунии Synology > Амният > Сипар (ё QNAP QuFirewall) қоидаҳои қатъии иҷозатдодашударо эҷод кунед, ки ба пайвастшавӣ танҳо аз зершабакаи маҳаллии LAN (192.168.1.0/24) ва зершабакаи Tailscale/VPN (100.64.0.0/10), пас аз он қоидаи поёнӣ муқаррар карда шудааст Инкор кардан. Ҳатто агар касе тасодуфан рӯй гардонад UPnP Бозгашт ба роутер, филтри бастаи дохилии NAS ҳар як бастаи интернетии ҷамъиятиро фавран мепартояд.
• 6. Хомӯш кардани SSH (Port 22) ва Telnet (Port 23) Вақте ки мушкилот фаъол нест:
• Ҳангоми кори муқаррарии ҳаррӯза SSH-ро дар дохили Панели идоракунӣ > Терминал ва SNMP SSH хомӯш гузоред; танҳо онро барои 10 дақиқа фаъол созед, ки шумо бояд вазифаи сатри фармонро иҷро кунед, пас онро рост баргардонед.
• 7. Нусхаи эҳтиётии абрии воқеии "3-2-1"-и ҳавоӣ/тағирнопазирро нигоҳ доред (Hyper Backup / HBS 3):
• Моро пайгирӣ кунед нусхаҳои эҳтиётии компютер ва 3-2-1 дастури барқарорсозии офатҳои табиӣ: танзим кардани Synology Hyper Backup ё QNAP Hybrid Backup Sync (HBS 3) барои тела додани нусхаҳои эҳтиётии шабонарӯзии рамзгузоришуда ва такроршавандаи муштарӣ ба диски сахти берунии USB, ки шумо аз сими ҷисмонӣ ҷудо кардаед ё ба Объект Қулфшуда (S3 Object Lock Compliance Mode) сатили абр (Backblaze B2, Wasabi, ё AWS S3) бо истифода аз калидҳои маҳдуди API барои замима.

Рақамҳои фавқулоддаи минтақавӣ ва протоколҳои агентӣ¶

Ҳамлаҳои ransomware, ки ба дастгоҳҳои NAS нигаронида шудаанд, аз ҷониби агентиҳои миллии киберҷинояткорӣ дар саросари ҷаҳон тафтиш карда мешаванд, ки захираҳои калидҳои рамзкушоии мусодирашударо нигоҳ медоранд (No More Ransom) ва пайгирии инфрасохтори ҷиноятӣ:

• Иёлоти Муттаҳида ва Канада:
• ** Қатъи ҳолати фавқулоддаи бехатарии ҳаёт**: Рақам 911 агар нармафзори ransomware системаи ҳифзи саломатӣ ё амнияти ҷисмониро вайрон кунад.
• ** CISA & FBI Маркази шикоят дар бораи ҷиноятҳои интернетӣ (IC3): Ҳисобот оид ба маъракаҳои ransomware NAS (DeadBolt, Akira, LockBit, Qlocker) дар stopransomware.gov, ic3.gov, ё ба CISA бо рақами ** занг занед1-844-Say-CISA (1-844-729-2472).
• Маркази Канада оид ба амнияти киберӣ ва RCMP: Ҳисобот дар cyber.gc.ca (1-833-CYBER-88) ё Маркази зидди қаллобии Канада.
• Инглистон:
• Хизматҳои фавқулодда: Рақам 999 (ё 101 барои полицияи гайриштатй).
• ** Action Fraud & NCSC**: Ҳисобот дар бораи ҳодисаҳои ransomware дар actionfraud.police.uk ё занг занед 0300 123 2040 (24/7 хатти ҳодисаи киберӣ зинда). Тиҷоратҳои хурд ва созмонҳои хайрия метавонанд ба NCSC Cyber Incident Response муроҷиат кунанд (ncsc.gov.uk) портал.
• Иттиҳоди Аврупо:
• Хизматҳои фавқулодда: Рақам 112 дар тамоми давлатхои аъзои ИА.
• Маркази аврупоии киберҷинояткорӣ (Europol)EC3) & NoMoreRansom.org: Санҷед nomoreransom.org (аз ҷониби полиси миллии Ҳолланд, Europol ва агентиҳои шарик нигоҳ дошта мешавад) барои калидҳои рамзкушоии нармафзори ransomware NAS мусодирашуда ва ба CSIRT ва Агентии миллии ҳифзи маълумот гузориш диҳед (DPA дар давоми 72 соат, агар маълумоти шахсӣ тибқи GDPR хориҷ карда шуда бошад).
• Австралия ва Зеландияи Нав:
• Хизматҳои фавқулодда: Рақам 000 дар Австралия ё 111 дар Зеландияи Нав.
• ** Маркази киберамнияти Австралия (ACSC): Ба хати боварии 24/7 Ransomware дар ** занг занед1300 CYBER1 (1300 292 371) ё хабар додан дар cyber.gov.au.
• CERT NZ: Ҳисобот дар cert.govt.nz.
• Ҳиндустон ва Осиё-Уқёнуси Ором:
• ** Ҳиндустон (CERT-In & Телефони боварӣ оид ба ҷиноятҳои киберӣ)**: Рақам кунед 1930 ё хабар додан дар cybercrime.gov.in ва incident@cert-in.org.in.
• Тайван (TWCERT/CC, юрисдиксияи хонагии Synology, QNAP ва Asustor PSIRTs): Чиптаҳои ҳодисаи амнияти фурӯшандаро мустақиман ба QNAP PSIRT (service.qnap.com) ё Synology PSIRT (synology.com/en-global/security/advisory).

Саволҳои зуд-зуд додашаванда¶

Чӣ тавр ransomware ба QNAP ё Synology NAS-и ман сироят кард, вақте ки ман ҳеҷ гоҳ ягон истиноди фишингро клик накардаам ва компютерҳои ман комилан поканд?¶

NAS-и шумо мустақиман аз интернети ҷамъиятӣ бе даст ба компютерҳои шумо сироят кардааст. Ё роутер интернети шумо дошт UPnP (`Universal Plug and Play`) фаъол (имкон медиҳад, ки хусусияти "Танзимоти роутер худкор / EZ-Internet / myQNAPcloud"-и NAS барои бесадо кушодани портҳо 8080, 443, 5000, 5001, ё 22 дар брандмауэри шумо) ё шумо ба таври дастӣ бандаро барои дастрасӣ ба файлҳои худ ба фосилаи дур интиқол додед. Ботнетҳои автоматикунонидашуда пайваста ҳар як суроғаи IP-и умумиро дар интернет скан мекунанд ва осебпазирӣ ё заифро истифода мебаранд админ паролҳо дар веб-интерфейсҳои фошшудаи NAS.

Чӣ тавр ман метавонам бифаҳмам, ки оё нармафзори ransomware мустақиман дар дохили NAS OS-и ман ва дар яке аз компютерҳои Windows-и ман тавассути мубодилаи шабака кор кардааст?¶

Ба се нишондиҳанда нигаред: Аввалан, агар Худи экрани воридшавии маъмурияти веб NAS бо қайди фидя иваз карда шуд (масалан DeadBolt), ё агар танҳо NAS файлҳои рамзгузориро дошта бошад, дар ҳоле ки ҳар як компютер дар шабакаи шумо пок аст, нармафзори зараровар бевосита дар дохили NAS Linux OS иҷро карда мешавад. Дуюм, кушоед Сабти пайвастшавӣ NAS / Сабти интиқоли файлҳои SMB (дар синология Маркази сабт ё QNAP Маркази QuLog): агар шумо суроғаи IP-и маҳаллии LAN-ро бинед (масалан 192.168.1.24) даххо хазор рапидро ичро мекунанд Навиштан / Иваз кардани ном / Нест кардан амалиёт ба охир расид SMB, баъд компютер дар 192.168.1.24 дастгоҳи сироятшуда аст, ки NAS-и шуморо тавассути шабака рамзгузорӣ мекунад.

Чаро кард DeadBolt танҳо оғози видеои калон ё файлҳои базаи манро рамзгузорӣ кунед ва ман метавонам то ҳол файлҳои қисман рамзгузоришударо бозӣ ё таъмир кунам?¶

Барои рамзгузории даҳҳо терабайт нигоҳдории NAS пеш аз он ки соҳибаш пайхас кунад, ки дискҳои сахт дастос карда, симро кашад, штамм ба монанди DeadBolt танҳо рамзгузорӣ кунед аввал 512 килобайт (`524,288 bytes`) аз ҳар як файл ва илова кунед .марги васеъ карда, гигабайтҳои боқимондаи файлро дар матни оддӣ бетараф мегузоранд. Ҳангоми аз даст додани 512 КБ аввалин ҳуҷҷатҳои хурд ва аксҳои JPEG-ро комилан нест мекунад, файлҳои видеоии бисёр гигабайтӣ (`.mp4`, `.mov`, `.mkv`), наворҳои камераи хом ва баъзе тасвирҳои диски мошини виртуалӣ (`VMDK`/`VHDX`) ё базаҳои SQL аксар вақт таъмир карда мешаванд бо кӯчонидани сарлавҳаи дурусти контейнер (`moov` атом) аз видеои дигаре, ки бо ҳамон камера бо истифода аз асбобҳои ба монанди ҷудо кардан.

Синология аст QuickConnect ё myQNAPcloud Link агар ман роутер UPnP ва интиқоли портро хомӯш кунам, бехатар мондан фаъол аст?¶

Бо роутер UPnP ва интиқоли дастӣ ба порт комилан хомӯш карда шуд, хидматҳои релеи содиротӣ ба монанди Synology Релеи QuickConnect ва Истиноди myQNAPcloud нисбат ба бандарҳои кушодаи WAN ба таври назаррас бехатартаранд, зеро онҳо портҳои гӯшкуниро дар девори роутери шумо намекушоянд. Бо вуҷуди ин, онҳо то ҳол экрани воридшавии NAS-и шуморо фош мекунанд (`DSM` / `QTS` коркардкунандаи аутентификатсияи веб) ба ҳар касе, ки шуморо медонад ё тахмин мезанад `QuickConnect ID`. Барои бехатарии ҳадди аксар дастрасии релеи оммавиро ба интерфейси администратор хомӯш кунед ва истифода баред Миқёси думдор ё WireGuard VPN ба ҷои он, ки тасдиқи дастгоҳи криптографиро талаб мекунад пеш як бастаи HTTP ҳатто метавонад веб-сервери NAS-и шуморо дастрас кунад.

Оё ман бояд фидияи Bitcoin-ро пардохт кунам DeadBolt, Qlocker, ё eCh0raix агар ман нусхаҳои эҳтиётӣ надошта бошам ва аксҳо надошта бошам?¶

мақомоти ҳифзи ҳуқуқ (`FBI`, `CISA`, `Europol`, `NCSC`) ба таври қатъӣ аз пардохти фидя маслиҳат диҳед, зеро маблағҳои пардохт синдикатҳои ҷиноиро ташкил медиҳанд ва кафолат намедиҳад, ки скрипти рамзкушоии автоматии ҳамлакунанда бидуни вайрон кардани файлҳо кор мекунад. Пеш аз баррасии пардохт: (1) Дискҳоро тасвир кунед ё нигоҳ доред, то ки шумо вазъро бадтар накунед, (2) Санҷед **`nomoreransom.org`** ва **`deadbolt.responders.nu`** то бубинед, ки оё мақомоти ҳифзи ҳуқуқ калиди асосии фишори шуморо гирифтаанд, (3) Барои **`Qlocker`**, давидан **`PhotoRec` / `QRescue`** дар фазои диски тақсимнашуда (ки аксар вақт аз 60% то 90% нусхаҳои аслии ҳазфшударо ройгон барқарор мекунад) ва (4) Барои файлҳои калон `.mp4`/`.mov` видеоҳое, ки бо рамзгузории қисман сарлавҳа задааст, таҷдиди сарлавҳаи санҷишӣ бо `untrunc`.

Дастурҳои алоқаманд¶

• Нармафзори зараровар, ransomware ва сирояти нармафзори ҷосусӣ: нигоҳдории фаврӣ ва барқарорсозӣ
• Амнияти роутерҳои хонагӣ ва дастгоҳҳои IoT
• Массиви NAS RAID таназзул кардааст, нокомии сершумори диск ва барқароркунии ZFS/Btrfs
• Нусхаи эҳтиётии компютер, стратегияи 3-2-1 ва барқарорсозии офатҳои табиӣ
• Ямоқи ҳолати фавқулоддаи истисмори сифррӯза ва ҷудокунии дастгоҳи охири ҳаёт
• Рақамҳои ёрии таъҷилӣ аз рӯи кишвар

Сарчашмаҳо ва роҳнамоии расмӣ¶

• Агентии амнияти киберамният ва инфрасохтор (CISA) & Бюрои федералии тафтишот (FBI) (StopRansomware.gov): * Огоҳӣ дар бораи нигаҳдории ба шабака пайвастшуда (NAS) Таҷҳизотҳое, ки аз ҷониби DeadBolt, Qlocker, eCh0raix ва Akira Ransomware нигаронида шудаанд*.
• Маркази Аврупоии киберҷинояткорӣ Europol (EC3) ва полиси миллии Ҳолланд (Politie) (NoMoreRansom.org): Амалиёти мусодираи калидҳои DeadBolt, анбори деcryptor eCh0raix ва дастурҳои кам кардани нармафзори фидя.
• Гурӯҳи вокуниш ба амнияти маҳсулоти QNAP (QNAP PSIRT) & Шӯрои машваратии амнияти Synology: Бюллетени техникӣ оид ба хомӯш кардани роутер UPnP, барқарор кардани консолҳои администратори дуздидашуда, QRescue (PhotoRec) Барқарорсозии ҷудонашуда ва фаъолсозии тағирнопазир WORM Суратхо.
• Маркази миллии амнияти киберӣ (NCSC) (Подшоҳии Муттаҳида): Кам кардани нармафзори зараровар ва Ransomware дар нигаҳдории шабакавӣ ва асбобҳои хурди офисӣ.