Ransomware SynoLocker na Synology NAS

Někteří uživatelé NAS značky Synology si stěžují, že jejich síťové úložiště napadl ransomware SynoLocker. Jedná se zřejmě o variantu nechvalně známého CryptoLockeru. Za klíč, který data rozšifruje, je požadována platba ve výši 0,6 BTC (screenshot). Výrobce problém potvrdil. Postiženým uživatelům doporučuje zařízení okamžitě vypnout a kontaktovat technickou podporu. Způsob, jak k infikování došlo, ani postižené verze firmwaru nejsou dosud známy.

5.8.2014 07:03 | Lol Phirae | Bezpečnostní upozornění

Komentáře

[Milan Roubal]

jiz je zname, ktere verze DSM jsou problemove.

[Lol Phirae]

Zřejmě CVE-2013-6987.

ultiple directory traversal vulnerabilities in the FileBrowser components in Synology DiskStation Manager (DSM) before 4.3-3810 Update 3 allow remote attackers to read, write, and delete arbitrary files via a .. (dot dot) in the (1) path parameter to file_delete.cgi or (2) folder_path parameter to file_share.cgi in webapi/FileStation/; (3) dlink parameter to fbdownload/; or unspecified parameters to (4) html5_upload.cgi, (5) file_download.cgi, (6) file_sharing.cgi, (7) file_MVCP.cgi, or (8) file_rename.cgi in webapi/FileStation/.

Uživatelé evidentně považují aktualizace za zbytečné...

[Morituri]

Je to proboha NAS, já svou Synology koupil, nastavil a 2 roky v administraci nebyl...

[Lol Phirae]

Je to proboha NAS

Aha, a prosímtě, existuje vůbec nějaký stroj hodný tvé pozornosti... když teda tvoje data tě nezajímají?

[Morituri]

A co mám jako dělat? Přihlašovat se do administrace každej měsíc a kontrolovat aktualizace, hledat na forech jestli se náhodou zrovna neobjevila nějaká zranitelnost? O Synolockeru jsem se dozvěděl jen díky tomu že to napadlo 1 synology ze 40 co mám v okolí... Pokud bych si s tím chtěl hrát, tak si nějakej box na cetnos taky dokážu postavit, ale sorry doma chci prostě jednodzchž a synology jako úplně levná hračka taky není...

[Filip Jirsák]

Nastavit si automatické stahování aktualizací a e-mailové upozornění na dostupnost aktualizace. Od vás se pak chce jenom potvrdit, že aktualizace se má nainstalovat teď. Teoreticky by se ty aktualizace i mohly instalovat automaticky, ale to by si pak uživatelé zase stěžovali, že se jim NAS z ničeho nic restartuje.

[lertimir]

Abych tak řekl: Dobře Vám tak.

Díky této diskusi jsem se podíval na to, co je zranitelné, a všechno se to týká starších verzí než 5.0 a na tuto verzi jsem aktualizoval staré NASy někdy loni na podzim. Na aktualizaci bylo moře času. Zranitelnosti se mohou objevit (a objevují) ve všem a na každém software a kdo se o instalace systémů nestará zapláče. Dost na tom, že existují firmy jako Vupen a Hacking team, které z zero day vulnerabilities a napadání systémů si udělaly předmět podnikání, a napadají systémy bez známých děr, nechat tam navíc ty známé díry je hloupost.

[R]

Keby si si aspon nastavil mailove alerty... Ono to posiela okrem chybovych stavov aj informaciu o novych verziach.

[R]

To programoval nejaky polodement? Ostava len verit, ze bud tam uz nepracuje alebo sa naucil aspon trochu programovat bezpecne.

[Lol Phirae]

U konkurence to není o nic lepší (např. QNAP má systém postavený na báječném busyboxu 1.01 a z init scriptů se i značně otrlému jedinci zvedá kufr... Po všech zkušenostech bych si žádnou z těch zázračných předražených krabic nekoupil. Zlatý standardní server s Debianem nebo RH/CentOS.

A hlavně ten supr trend "cloudových" nesmyslů aneb jedním klikem vystav děravou pikslu na internetu.

[R]

My sme nedavno jedno Synology vymenili za normalny server s Debianom. Sice nebolo nikdy pristupne z internetu a malo aktualny SW, ale aj tak sa mi to nepacilo - cierna skrinka, nedostatocna redundancia (len 1 zdroj a este smejdovy - jeden uz odisiel v zaruke), nevhodne do racku.

[Filip Jirsák]

Nevhodné ro racku znamená, že jsou z nějakého důvodů nevhodná ta jejich zařízení série RS určená do racků? Nebo jste místo rackové řady měl desktopovou a pak se divíte, že nepasuje do racku?

[R]

Niekto "inteligentne" kupil desktopovu verziu do racku...

[mankind_boost]

Komu by se to nechtělo počítat, tak 0,6 BTC je 12140 CZK

[archen]

No to neni, ale je to asi 7000. https://bitcoinwisdom.com/markets/btce/btcusd

[mankind_boost]

579 USD -> 12 206.9807 CZK

[mankind_debuf]

To ano. Jen 0,6 ≠ 1, že.

[mankind_boost]

Veřejně přiznávám, že jsem blbec

[mankind_boost]

Náš administrátor shledal tento komentář závadným.

Vulgarity.

Zobrazit komentář

[Petr]

a je zaručeno, když člověk ten poplatek zaplatí, že mu půjdou data skutečně odšifrovat? Máte s tím někdo zkušenosti? Děkuji

[Lol Phirae]

No jestli máš zbytečných 0,6 BTC, tak to zkus. Ale smlouvu ti asi nepošlou.

[pavlix]

Zaručeno? Děláš si prdel?

[Petr]

nedělám. Hledám nejlepší východisko. Vím, že to 100% není, ale snažím se to nějak vyřešit i za cenu toho, že bych to zaplatil. Na serveru má firma důležitější data než je 7000 Kč.

[pavlix]

Dokážu pochopit všechno, ale že se někdo zeptá, zda je zaručené, že (anonymní) vyděrač po zaplacení splní svoji část dohody, to mi přijde trochu zvláštní.

[Jendа]

Mohl by to nabízet přes ebay, kde je záruka vrácení peněz, když klient nebude spokojený .

[pavlix]

Pak by ovšem obětovali výhodu.

[R]

Najlepsie vychodisko je obnovit data zo zalohy. Ked zaloha neexistuje, tak tie data asi neboli az take dolezite...

[FredBrooker]

ne každý si může dovolit zálohovat NAS v ceně 30 tisíc na další NAS za 30 tisíc :D

[Morituri]

To šifrování trvá dost dlouho, na syno kde jsem to řešil bylo poškozeno "jen" 2-3% souborů.

[Max]

Nás něco podobného také potkalo. Jeden uživatel s dost výkonným CPU (i5) si podobnou havět spustil z mailu. Lidi jsou prostě nepoučitelný :-/. Naštěstí dělám už pár měsíců backup fileserveru asi 5x denně. Dále ten člověk neměl přístup úplně ke všemu, takže během pár dní se postupně obnovilo vše, na co uživatelé kápli.
Taktéž mi ze supportu splnili přání a zavedli možnost mazat i přílohy, které v archivech obsahují spustilný soubor, tím nám odpadlo dost problémů, které se tu a tam objeví s uživateli, kteří nepřemýšlí, nejsou tak znalí apod.
Zdar Max

[vain]

Jenom jeden uživatel? Ani nechci počítat, kolik blbe*ků u nás kliklo na ten mail který upozorňoval na exekuční příkaz.

[Václav "Darm" Novák]

Podle ohlasů opravdu doručují. Celkem to dává smysl. Lidí platících výkupné u ransomware tohoto typu je vždy dost. Jakmile by nedodrželi svou část, rychle by se to rozkřiklo a snížily by se jim obraty.

[ewew]

To je tak, keď je všetko riešené aj pre ľudí ktorí tejto technike nerozumeju. Vyhovorky, že tam nič nie je dôležité sú neplatné. Je to potencialný zdroj škodlivej činnosti.

[Jendа]

Zrovna nedávno byla nalezena RCE v Sambě. A to je typický software, který na fileserveru použijí lidé, kteří „tomu rozumějí“ a proto nechtějí klikací Psychology.

[R]

Kto ma Sambu na serveri, ten ju vacsinou aj aktualizuje. Naopak pri NAS si vela ludi mysli, ze sa o to netreba starat (aj v tejto diskusii sa vyskytuju). Pritom tam bezi uplne rovnaka Samba ako na serveri.

Nastastie ta diera bola v Sambe 4, ktora sa este velmi nepouziva.

[Lol Phirae]

Analýza SynoLockeru od F-Secure: Ransomware Race (part 2): Personal media the next frontier?

[Jendа]

Krokoti. (PC Cryptolocker, ne Synology varianta)

[FredBrooker]

nepochopím lidi, kteří se o svůj NAS nestarají - mám ve správě 2x Synology (cca 9 TB dat) a aktualizace či zabezpečení řeším pravidelně

[Bystroushaak]

Já nevím co máš za iluze o lidech, co si to kupují. Z mé zkušenosti plyne, že jsou to lidi co vůbec nemají o IT ponětí. Maximum co zvládnou je zapojit do toho ethernetový kabel, což z nich dělá rodinné odborníky na počítače, na které se pak obrací všichni známí když něco potřebují.

[LuděkS]

Já to chápu: Třeba stačí mít řadu vlastních úprav o které člověk nechce přijít díky aktualizaci.

[Max]

Dále existují nepodporované řady (na cokoli staršího x let nevychází update).
Zdar Max

[Lol Phirae]

Ransomware Race (Part 3): SynoLocker Under The Hood