Zsarolóvírus titkosított egy Synology NAS-t, miközben elmaradtak a javítások

A Redditen NakamuraHwang néven író tulajdonos részletesen ismertette, hogyan váltak titkosítottá a Synology DS918+ eszközön tárolt fájljai. Az esetben két körülmény találkozott: a webes felületet közvetlenül el lehetett érni az internetről, a készülékről pedig nagyjából 18 hónapnyi biztonsági javítás hiányzott.

A zsarolóvírus olyan kártevő, amely titkosítással használhatatlanná teszi a fájlokat, majd a támadók pénzt követelnek a visszafejtésért. A beszámoló ebben az esetben a titkosítást írja le; váltságdíj kifizetéséről nem szól.

A tulajdonos a naplókat és az operációs rendszer fájljait is megvizsgálta. Ezek alapján valószínűnek tartotta, hogy a behatolás a CVE-2024-10441 sebezhetőségen keresztül történt. Ez a feltételezett belépési pont, nem bizonyított támadási útvonal.

A hiba távoli támadónak tetszőleges kód futtatását teheti lehetővé. A Synology DiskStation Manager (DSM) és a BeeStation OS (BSM) egyes korábbi változatait érinti. CVSS-besorolása 9,8, vagyis kritikus. Ez a pontszám a műszaki súlyosságot jelzi, önmagában nem bizonyítja, hogy egy sérülékenységet kihasználnak.

A Synology korábban közzétett figyelmeztetést a sebezhetőségről. A beszámolóban idézett fórumhozzászólások szerint azonban a kezelőfelület akkor is naprakésznek mutathatja az eszközt, amikor kézzel telepítendő, kritikus biztonsági javítás vár rá.

Ez több hozzászóló tapasztalata, nem minden Synology készülékre igazolt működés. A csomagokhoz kiadott javításokat szintén külön kell telepíteni; a forrás erre a PHP2Shell sebezhetőségéhez készült csomagot hozza példaként. A rendszer állapotjelzése és a külön telepítendő kiadások kérdése ezért egyaránt része az esetnek.

A forrás azt tanácsolja, hogy az ilyen eszközöket ne tegyék közvetlenül elérhetővé az interneten valamilyen köztes védelem nélkül. Példaként VPN-kapcsolatot említ.

A VPN virtuális magánhálózat: meglévő hálózatokra épül, és biztonságos kommunikációs csatornát adhat a továbbított adatoknak. A leírt DS918+ webes kezelőfelülete ezzel szemben közvetlenül hozzáférhető volt. A távoli hozzáférés védelme mellett a beszámoló a kimaradt biztonsági kiadásokat is az eset lényeges körülményeként nevezi meg.

A tulajdonos 3-2-1 mentési rendszert használt, így a beszámoló szerint látszólag nem szenvedett adatvesztést. A titkosítás ettől még megtörtént a hálózati tárolón.

A történtek kivizsgálásához a lemezeket egy Proxmox géphez csatlakoztatta, és ott folytatta az ellenőrzést. A feltételezett belépési pontra a naplók és az operációs rendszer állományainak átnézése után jutott.