[情報] QNAP NAS遭勒索軟體盯上

看板Storage_Zone作者 (先認真的就輸了。)時間4年前 (2019/07/12 18:53), 4年前編輯推噓8(8推 0噓 11→)
留言19則, 7人參與, 4年前最新討論串1/5 (看更多)
https://www.techbang.com/posts/71485-qnap-nas-targeted-by-ransomware-virus-arm -x86-processor-products-are-all-dart QNAP NAS遭勒索軟體盯上，Arm、x86處理器產品皆中鏢 早在2014年的時候，Synology推出的NAS就成為勒索軟體SynoLocker下手的目標，而根據 資安公司Anomali與Intezer的研究，QNAP的NAS產品也正遭受名為eCh0raix或QNAPCrypt惡 意軟體的攻擊，讓被害者可能損失NAS中的重要資料。 勒索軟體盯上QNAP 根據Anomali官方部落格所提供的資料，他們將這款勒索軟體稱為eCh0raix，它會以暴力 破解的方式入侵QNAP推出的NAS，並使用AES加密演算法鎖定特定副檔名的文件。 受影響之檔案路徑： /proc /boot/ /sys/ /run/ /dev/ /etc/ /home/httpd /mnt/ext/opt .system/thumbnail .system/opt .config .qpkg 受影響之檔案副檔名： .dat.db0.dba.dbf.dbm.dbx.dcr.der.dll.dml.dmp.dng.doc.dot.dwg.dwk .dwt.dxf.dxg.ece.eml.epk.eps.erf.esm.ewp.far.fdb.fit.flv.fmp.fos.fpk .fsh.fwp.gdb.gho.gif.gne.gpg.gsp.gxk.hdm.hkx.htc.htm.htx.hxs.idc .idx.ifx.iqy.iso.itl.itm.iwd.iwi.jcz.jpe.jpg.jsp.jss.jst.jvs.jws.kdb.kdc .key.kit.ksd.lbc.lbf.lrf.ltx.lvl.lzh.m3u.m4a.map.max.mdb.mdf.mef .mht.mjs.mlx.mov.moz.mp3.mpd.mpp.mvc.mvr.myo.nba.nbf.ncf .ngc.nod.nrw.nsf.ntl.nv2.nxg.nzb.oam.odb.odc.odm.odp.ods.odt .ofx.olp.orf.oth.p12.p7b.p7c.pac.pak.pdb.pdd.pdf.pef.pem.pfx.pgp .php.png.pot.ppj.pps.ppt.prf.pro.psd.psk.psp.pst.psw.ptw.ptx.pub .qba.qbb.qbo.qbw.qbx.qdf.qfx Intezer則在官方部落格以QNAPCrypt稱呼這款惡意軟體，並發現它有針對Arm與x86等不同 架構處理器攻擊的變種病毒，它的運作方式與一般勒索軟體接近，就是將受害裝置中的檔 案加密，讓檔案無法被存取，並向受害者發送勒索信要求贖金以解鎖這些檔案。 然而與常見勒索軟體不同的是，由於攻擊目標是NAS而非電腦，所以勒索信並不會直些顯 示於螢幕，而是以文字檔的型式出現，在NAS遭受感染後，QNAPCrypt會先從命令和控制伺 服器（C＆C）下載比特幣錢包地址與RSA公鑰，且每位受害者都會被分配到獨特的錢包， 讓我們更難追踪攻擊者的身份。 QNAPCrypt要求受害者使用比特幣支付贖金。 在研究的過程中，Intezer發現QNAPCrypt使用的預先建立的比特幣錢包接收贖金，而在 1,091名「虛擬」受害者感染後，QNAPCrypt用盡了所有比特幣錢包，因此會停止感染新的 NAS，讓災情得以緩和。此外為了防堵QNAPCrypt未來會有新的變種病毒，Intezer也建立 了對應的YARA簽名，以利辨識這款勒索軟體。 ====== 不知道有沒有鄉民中招的，我的s家機器也很怕中招。 所以我家的不對外，只能透過quickid 連線，開二段式驗證，不開samba。 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.167.135.234 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/Storage_Zone/M.1562928799.A.8FC.html
→
07/12 20:47, 4年前 , 1F
我都設定限192.168.0.0/24連lul
07/12 20:47, 1F
→
07/12 20:47, 4年前 , 2F
然後拉基I040gw 什麼都連不進來 剛好擋掉lol
07/12 20:47, 2F
推
07/13 01:37, 4年前 , 3F
我是直接獨立內網與外界隔離，除非我的電腦先淪陷
07/13 01:37, 3F
推
07/13 04:45, 4年前 , 4F
請問一下 nas公司一直在宣傳的快照功能在這案例中
07/13 04:45, 4F
→
07/13 04:45, 4年前 , 5F
無用是嗎？
07/13 04:45, 5F
→
07/13 08:33, 4年前 , 6F
這個會感染主系統 所以能不能快照就(ry
07/13 08:33, 6F
推
07/13 08:33, 4年前 , 7F
NAS不開Samba那開什麼？
07/13 08:33, 7F
我就同步備份而已
→
07/13 08:34, 4年前 , 8F
怎麼知道有沒有中，我的NAS也不會傳mail給我
07/13 08:34, 8F
※ 編輯: a9202507 (36.225.113.79 臺灣), 07/13/2019 08:41:24
推
07/13 12:02, 4年前 , 9F
回4樓 快照正是加密的救星，一還原就通通回來了
07/13 12:02, 9F
推
07/13 12:52, 4年前 , 10F
/proc 都是kernel的變數對應到檔案，不是實體檔案
07/13 12:52, 10F
→
07/13 12:53, 4年前 , 11F
要怎麼加密啊
07/13 12:53, 11F
推
07/13 17:24, 4年前 , 12F
快照存NAS上的話它本身不會被加密嗎？
07/13 17:24, 12F
推
07/13 23:10, 4年前 , 13F
我的意思是 看這篇文章感覺像快照也會被加密 當然這
07/13 23:10, 13F
→
07/13 23:11, 4年前 , 14F
是外行話 只是確實不懂 最近又考慮添購NAS 所以會想
07/13 23:11, 14F
→
07/13 23:11, 4年前 , 15F
多了解 如果NAS快照確實不會被這種專門攻擊NAS的病
07/13 23:11, 15F
→
07/13 23:12, 4年前 , 16F
毒給感染加密 那就可以放心了(雖然還是要321備份啦)
07/13 23:12, 16F
推
07/13 23:22, 4年前 , 17F
找到板上Mowd大的文 https://tinyurl.com/y46mk67o
07/13 23:22, 17F
→
07/13 23:23, 4年前 , 18F
似乎btrfs snapshot是read-only 不過我的專業知識不
07/13 23:23, 18F
→
07/13 23:23, 4年前 , 19F
足 無法判斷這樣是否就沒問題了
07/13 23:23, 19F
‣ 更多 a9202507 的文章
文章代碼(AID): #1TA6QVZy (Storage_Zone)
‣ 更多 a9202507 的文章
文章代碼(AID): #1TA6QVZy (Storage_Zone)