Για όσους έχουμε NAS της Synology, τελευταία έχει εμφανιστεί ένα κενό ασφαλείας που επιτρέπει σε νέο ransomware να στοχεύσει τους δίσκους μας. Το malware κρυπτογραφεί τα δεδομένα στους δίσκους των χρηστών και ζητάει λύτρα ώστε να τα ξεκλειδώσει για τους ιδιοκτήτες τους. Η εταιρεία έχει ήδη δημοσιεύσει προειδοποίηση στις σελίδες της και στα μέσα κοινωνικής δικτύωσης για το θέμα, ενώ έχει ήδη κυκλοφορήσει ενημέρωση στο DSM, που διορθώνει την ευπάθεια, ώστε να παραμείνουν ασφαλή τα δεδομένα των χρηστών.
Οι επιθέσεις συνδέονται με το ransomware C3RB3R, το οποίο μπορεί να κλειδώσει τα αρχεία που βρίσκονται αποθηκευμένα στο NAS, αφήνοντας πίσω μόνο ένα σημείωμα με οδηγίες πληρωμής.
Πώς λειτουργεί το C3RB3R
Σύμφωνα με αναφορές χρηστών που ήδη έχουν πέσει θύμα του ransomware, το κακόβουλο λογισμικό κρυπτογραφεί όλα τα αρχεία και προσθέτει την κατάληξη .LOCK3D στο όνομά τους, αλλάζοντας τον τύπο αρχείου.
Σε κάθε φάκελο που επηρεάζεται δημιουργείται επίσης ένα αρχείο με την ονομασία read-me3.txt, μέσα στο οποίο οι επιτιθέμενοι ενημερώνουν το θύμα ότι τα δεδομένα του έχουν κρυπτογραφηθεί και ζητούν την αγορά ενός εργαλείου αποκρυπτογράφησης, γνωστού ως C3rb3r Decryptor.
Η Synology επιβεβαιώνει πως έχει εντοπίσει επιθέσεις που εκμεταλλεύονται παλαιότερη ευπάθεια στις συσκευές της εταιρείας, με μη ενημερωμένο το DiskStation Manager (DSM). Μέχρι στιγμής όμως δεν έχει αποκαλύψει ποια από τις γνωστές ευπάθειες χρησιμοποιείται στην τρέχουσα εκστρατεία επιθέσεων, πιθανότατα ώστε να μην την εκμεταλλευτούν περισσότεροι.
Η εν λόγω ευπάθεια έχει διορθωθεί από το 2024
Το ιδιαίτερα ανησυχητικό στοιχείο είναι ότι η Synology είχε διαθέσει τις σχετικές διορθώσεις ασφαλείας ήδη από το 2024. Στην ανακοίνωση της εταιρείας περιλαμβάνεται και το ενημερωτικό δελτίο ασφαλείας Synology-SA-24:20, το οποίο περιλαμβάνει τρεις ευπάθειες:
- CVE-2024-10441: Κρίσιμη ευπάθεια με βαθμολογία CVSS 9.8, η οποία μπορεί να επιτρέψει απομακρυσμένη εκτέλεση κώδικα.
- CVE-2024-50629: Ευπάθεια που μπορεί να επιτρέψει σε απομακρυσμένους επιτιθέμενους να διαβάσουν συγκεκριμένα αρχεία.
- CVE-2024-10445: Πρόβλημα στην επαλήθευση πιστοποιητικών της λειτουργίας ενημερώσεων, το οποίο μπορεί υπό προϋποθέσεις να επιτρέψει εγγραφή αρχείων.
Ποιες συσκευές πρέπει να ενημερωθούν άμεσα;
Οι διορθώσεις είχαν διατεθεί για διαφορετικές εκδόσεις του DSM. Τα ελάχιστα builds που αναφέρονται στο σχετικό ενημερωτικό δελτίο είναι:
| Έκδοση DSM | Διορθωμένη έκδοση (Build) |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 ή νεότερη |
| DSM 7.2.1 | 7.2.1-69057-6 ή νεότερη |
| DSM 7.2 | 7.2-64570-4 ή νεότερη |
| DSM 7.1 | 7.1.1-42962-7 ή νεότερη |
| DSM 6.2 | 6.2.4-25556-8 ή νεότερη |
Η Synology αναφέρει πως πρέπει να ενημερωθούν όλα τα NAS στην τελευταία διαθέσιμη έκδοση του λειτουργικού που τρέχουν, ενώ προς τιμήν της έχει διορθώσει το κενό ασφαλείας και σε παλαιότερες εκδόσεις του DSM, για αρκετά παλαιότερες συσκευές, που δεν ενημερώνονται στην τελευταία έκδοση του λειτουργικού της.
Επιπλέον, οι διαχειριστές καλό είναι να μην αφήνουν το περιβάλλον διαχείρισης του NAS απευθείας εκτεθειμένο στο διαδίκτυο. Η πρόσβαση μπορεί να περιοριστεί στο εσωτερικό δίκτυο ή να γίνεται μέσω ασφαλούς σύνδεσης VPN.
Γιατί τα NAS έγιναν στόχος
Όσοι έχουμε NAS, τόσο ιδιώτες όσο και εταιρείες, τα έχουμε για να κάνουμε backup πολλαπλές συσκευές και αρχεία που είναι υψίστης σημασίας. Αυτός είναι και ο λόγος που στοχοποιούνται, καθώς περιέχουν σημαντικά αρχεία που κάποιος θα πλήρωνε για να πάρει πίσω. Παράλληλα, πρόκειται για συσκευές που παραμένουν ενεργές όλο το 24ωρο και είναι προσβάσιμες μέσω διαδικτύου.
Γενικά, καλό είναι τα NAS μας, αν βγαίνουν στο διαδίκτυο να το κάνουν μέσω ασφαλών συνδέσεων, όπως VPN ή το δίκτυο της Synology. Πάντα πρέπει να είναι ενημερωμένα στην τελευταία και στην πιο ασφαλή έκδοση του λογισμικού τους, για να αποφεύγονται τέτοια περιστατικά.
