Synology NAS besmet met ransomware synolocker

[210667]

Even jullie aandacht voor het volgende:

Met het risico dat dit topic al bestaat (kon het niet vinden) - Het lijkt erop dat mijn Synology besmet is met een soort ransom ware: Synolocker

De standaard login pagina vertoont nu een melding dat alle bestanden ge-encrypt zijn en dat er betaald moet worden voor decryptie. Op Google is er bar weinig over te vinden, dus ik hoop dat er iemand op dit forum is die mij kan helpen.

De volledige melding hieronder:

______________________________________________________________

SynoLocker™

Automated Decryption Service

All important files on this NAS have been encrypted using strong cryptography

http://www.cso.com.au/art...devices/?fp=4&fpid=959105


Verder te volgen op Synology-Forum

[ Voor 6% gewijzigd door 210667 op 04-08-2014 02:34 ]

[SpoekGTi]

210667 schreef op maandag 04 augustus 2014 @ 02:24:
Even jullie aandacht voor het volgende:

Met het risico dat dit topic al bestaat (kon het niet vinden) - Het lijkt erop dat mijn Synology besmet is met een soort ransom ware: Synolocker

De standaard login pagina vertoont nu een melding dat alle bestanden ge-encrypt zijn en dat er betaald moet worden voor decryptie. Op Google is er bar weinig over te vinden, dus ik hoop dat er iemand op dit forum is die mij kan helpen.

De volledige melding hieronder:

______________________________________________________________

SynoLocker™

Automated Decryption Service

All important files on this NAS have been encrypted using strong cryptography

http://www.cso.com.au/art...devices/?fp=4&fpid=959105


Verder te volgen op Synology-Forum

Men, dat is minder fijn, zal uit voorzorg vandaag mijn servicepoorten eens sluiten van buitenaf. Wat wel jammer is dat je van niemand van de posters op diverse fora even hoort welke poorten ze hebben open staan.....

[NiGeLaToR]

Nee inderdaad, je tegen zoiets wapenen lukt niet als je point-of-entry niet kent.

[Phusebox]

In de nieuwe update zitten toch ook enkele oplossingen voor veiligheidslekken? Wellicht daar iets mee te maken?

Oh hmmph, update gedaan en weer is mijn hele BTSync configuratie weg. Wat een baggerzooi is dat toch zeg. Kan ik wéér opnieuw beginnen.

[ Voor 38% gewijzigd door Phusebox op 04-08-2014 08:15 ]

[TweakMDS]

Heftig... ik zal eerst het verhaal aan de andere kant maar eens doorlezen voordat ik hier dubbele vragen ga stellen.

[Wokschotel]

Ik heb in ieder geval voorlopig alle remote access uitgeschakeld en alle port forwards in mijn router uitgezet, totdat duidelijk is wat er aan de hand is.

[Barns]

210667 schreef op maandag 04 augustus 2014 @ 02:24:
Even jullie aandacht voor het volgende:

[i]Met het risico dat dit topic al bestaat (kon het niet vinden) - Het lijkt erop dat mijn Synology besmet is met een soort ransom ware: Synolocker

Heb sinds kort 2-step verification ingeschakeld, helpt dat een beetje om je hier tegen te wapenen of niet?

[Phusebox]

Barns schreef op maandag 04 augustus 2014 @ 09:31:
[...]


Heb sinds kort 2-step verification ingeschakeld, helpt dat een beetje om je hier tegen te wapenen of niet?

Hoe werkt dat dan op de Synology?

Wokschotel schreef op maandag 04 augustus 2014 @ 09:10:
Ik heb in ieder geval voorlopig alle remote access uitgeschakeld en alle port forwards in mijn router uitgezet, totdat duidelijk is wat er aan de hand is.

Heb je tips hoe, wat en waar? Ik zou even niet weten wat ik wel en niet uit moet schakelen.

Ik neem aan dat iedereen hier "admin" en "guest" uitgeschakeld heeft sowieso?

[ Voor 47% gewijzigd door Phusebox op 04-08-2014 09:37 ]

[210667]

Barns schreef op maandag 04 augustus 2014 @ 09:31:
[...]


Heb sinds kort 2-step verification ingeschakeld,...

Daar is niets mis mee..altijd goed. Of het helpt?

In het algemeen. Voor zover ik nu het één en ander tot mij neem, handelt het zich om systemen met DSM 4.3.
Er wordt 'aangenomen' dat het ook op 5.0 gebeurd. Let wel, het is een aanname.

Het is ook niet bekend met welke services, of anders, het is binnengekomen.

Zou zomaar kunnen dat sommigen geen update hebben gedaan nadat het laatste jaar er een foutje in zat met de Bitcoin-miner?!

Als ik zelf aan iets denk, dan komt dat soort troep volgens mij binnen met torrents. Maar dat is maar een ballonnetje..

[Orion84]

Als de aanval een gevolg was van een zwak admin wachtwoord, dan had 2-step wellicht geholpen. Is het een gevolg van een of andere technische kwetsbaarheid, dan waarschijnlijk niet.

Maar zonder verdere info over DSM versies en openstaande poorten en services is dat allemaal nogal giswerk op dit moment.

[Barns]

Orion84 schreef op maandag 04 augustus 2014 @ 09:48:
Als de aanval een gevolg was van een zwak admin wachtwoord, dan had 2-step wellicht geholpen. Is het een gevolg van een of andere technische kwetsbaarheid, dan waarschijnlijk niet.

Maar zonder verdere info over DSM versies en openstaande poorten en services is dat allemaal nogal giswerk op dit moment.

Ja precies exactly my thoughts, dank ook Heppieboeddah voor verheldering van e.e.a. Ondertussen poorten (5000, 80 etc) even dichtgezet en ook externe toegang disabled.

[Edmin]

Dit topic is afgesplitst van [Synology] Vraag en antwoord

[NiGeLaToR]

Het is in ieder geval in ene hot and happening, geen overbodige luxe dus om:

1. backup te maken, die offline is.
2. security check. Poort forwards naar buiten dicht, user rechten fixen (niets met admin doen en useraccounts strikte rechten geven) en evt 2factor authenticatie aanzetten.

Kan niet vinden wat er geexploit wordt, wees dus terughoudend met updates van 3rd party pakketjes installeren. Als namelijk een pakket zoals sabnzbd geinfecteerd is, dan krijg je het zo alsnog binnen.

http://blog.check-and-sec...nsomware-for-nas-devices/

PCM meldt dat het mogelijk DSM 4.3 devices betreft:

http://www.pcmweb.nl/nieu...eb_nieuws+(PCMWeb+Nieuws)

[TweakMDS]

Heb net de admin account ook maar even disabled. Ik heb in principe alleen SSH naar buiten open staan, maar dan op een andere poort. Daarnaast staat het auto-blokkeren op IP niveau aan en op 3 of 5 pogingen.

[Goner]

210667 schreef op maandag 04 augustus 2014 @ 09:42:
[...]
Als ik zelf aan iets denk, dan komt dat soort troep volgens mij binnen met torrents.

Vertel 's wat meer ... zit het dan in een .mp4 of zo ?

[NiGeLaToR]

Dat kan alleen als je het execute op de syno, of op een pc die je syno besmet. Kan in theorie allemaal, maar praktischer is het als er een gat zit in de beheerinterface of ssh oid, dan kun je als aanvaller veel makkelijker bij. Maar, het is helaas nog even gissen. Voor synology ook lastig, die moeten snel honeypot maken en hopen dat ze gehacked worden op dat ding zodat ze kunnen zien hoe of wat.

[Phusebox]

Tot nader order zet ik mijn DS maar even uit.

[Quakie]

Sinds de bitcoin issue heb ik standaard een firewall rule klaar staan. Hij blokkeert nu alles van externe ip's.

Ik hoop dat achterhaalt wordt waardoor het precies komt. En uiteraard hoe we het kunnen oplossen.

Ik zie nu hier en daar (synology forum) suggesties voorbij komen om je weren tegen zulke mogelijke dreigingen.. maar wat is nu handig?

Tuurlijk zo min mogelijk poorten open.. maar goed gaat je functionaliteit van je nas naar beneden.

1) Veiligst lijkt mij VPN en rest van de poorten dicht, maar is niet handig. Bijv kan ik er via mijn werk er nog bij? Vast niet zonder vpn software te moeten installeren.

2) Min mogelijk poorten open en waar mogelijk poorten wijzigen / of afvangen in je router?


Mis ik iets?
Ik ga voor optie twee zelf. Moet eerlijk bekennen dat ik laks ben geweest en dus gewoon de default poorten gebruik. Dit zal ik aan gaan passen. Voor mij zijn dit goede voorbeelden om weer stil te staan en na te denken over je eigen beveiliging / backup.

[ Voor 5% gewijzigd door Quakie op 04-08-2014 13:09 ]

[Goner]

Quakie schreef op maandag 04 augustus 2014 @ 13:07:
2) Min mogelijk poorten open en waar mogelijk poorten wijzigen / of afvangen in je router?

Yep.
Zoals je zelf al aangeeft, niet de default poorten gebruiken - die worden gegarandeerd gescand - maar de 'buitenkant' aanpassen, iets als 9021 ipv 21 voor FTP, 7022 ipv 22 voor SSH enzo.

[Qualixo]

Ik heb mijn nas in de dmz staan van de router maar gebruik de synology firewall om te bepalen wat wel en niet mag. Dit werkt prima en kan zo per service bepalen wat ik wel of niet wil.
alle web services die ik gebruik zijn ook onder https met certificaat.

Ben wel benieuwd wat de manier van infectie is met de cryptolocked en hoe het werkt..
neem aan dat synology hier al hoog en breed op zit met een eventuele firmware update.

[elsinga]

Ik heb maar een paar dingen open staan voor iedereen (80/443/VPN), een paar voor BeNeLux/De (WebDAV, kan ik zelf onderweg bij de bestanden) en een paar dingen op niet-standaard poorten. De rest kan ik via VPN wel weer bij.

[Mystikal]

Heeft het niet te maken met die mail die er rond gaat van Synology. Ik kreeg volgens mij vorige week een mail binnen op mijn hotmail.

Eens kijken of ik hem nog heb...

//Is dit een echte mail?

Dear Synology users,

We have released an update with several important enhancements for the DiskStation Manager (DSM) 4.3-3827. It is available for download on your DSM: Control Panel > DSM Update. It is always recommended that you install the latest update to obtain an even smoother user experience. Should you encounter any issues, please do not hesitate to contact our expert support team.

If you haven't upgraded to DSM 4.3-3827, it can be found at our Download Center.

Sincerely,
Synology Development Team


Version: 4.3-3827 Update5 (2014/07/24)
Improvements
Improved the stability of volume expansion.

Ik zit al op DSM 5 volgens mij??

[spartacusNLD]

betekend dat als dit op je NAS staat dat ze ook toegang hebben tot je files?
ben pas dinsdag weer thuis weet ook niet of hij nog aan staat of niet klote dit

[Cyberpope]

NIemand die je even kunt bellen om hem uit te zetten? En heb je remote totaal geen toegang om hem uit te schakelen?

[debom]

spartacusNLD schreef op maandag 04 augustus 2014 @ 14:00:
betekend dat als dit op je NAS staat dat ze ook toegang hebben tot je files?
ben pas dinsdag weer thuis weet ook niet of hij nog aan staat of niet klote dit

En je hebt nu geen mogelijkheid om ergens in te loggen op je nas via vpn oid? Dat is dan inderdaad klote.
Had je nog porten openstaan?

[Donnie]

Zolang je geen versie 4.3 draait zit je vrij goed hoor

[stuffer]

Donnie schreef op maandag 04 augustus 2014 @ 14:06:
Zolang je geen versie 4.3 draait zit je vrij goed hoor

Volgens mij is dat een aanname.

Ik zie wel heel vaak DSM 4.3 voorbij komen (op bv [url="http://forum.synology.com/enu/viewtopic.php?f=3&t=88716) maar zolang je niet weet hoe ze de synoboxen kunnen hacken zou ik zeker voorzichtig zijn.

[ Voor 4% gewijzigd door stuffer op 04-08-2014 14:13 . Reden: linkje deed het niet en typo ]

[beantherio]

Donnie schreef op maandag 04 augustus 2014 @ 14:06:
Zolang je geen versie 4.3 draait zit je vrij goed hoor

Volgens mij is er nog een hele hoop onduidelijk over de precieze ingang van deze hack. Ik zou momenteel zelf liever het zekere voor het onzekere nemen en geen aannames willen doen.

[X-Kiwi]

stuffer schreef op maandag 04 augustus 2014 @ 14:09:
[...]


Volgens mij is dat een aanname.

Ik zie wel heel vaak DSM 4.3 voorbij komen (op bv [url="http://forum.synology.com/enu/viewtopic.php?f=3&t=88716) maar zolang je niet weet hoe ze de synoboxen kunne hacken zou ik zeker voorzichtig zijn.

Bij de reacties op het nieuwsartikel staan ook 2 opmerkingen als 'het probleem doet zich ook voor bij DSM 5.0 #2'.

[Nivali]

Wist dat mijn NAS niet bepaald veilig stond ingesteld, dus snel uitgeschakeld via de webinterface. Helaas nog voordat hij klaar was met uitschakelen toch geinfecteerd. Zuur dit, maarja eigen schuld.

[Quakie]

Oke,

1) wat is niet veilig?
2) wat draait er op je NAS?
3) ...

[hhoekstra]

welke versie ?


Ik heb net mijn poorten geshut en alle systemen bijgewerkt tot de laatste update. Ik lijk nog niet te zijn geïnfecteerd.


Heb de webinterface standaard op andere poort draaien.

[ Voor 84% gewijzigd door hhoekstra op 04-08-2014 14:19 ]

[spartacusNLD]

debom schreef op maandag 04 augustus 2014 @ 14:04:
[...]


En je hebt nu geen mogelijkheid om ergens in te loggen op je nas via vpn oid? Dat is dan inderdaad klote.
Had je nog porten openstaan?

nooit de moeite genomen om vpn / remote acces in te stellen. nooit het nut van ingezien.
kwa poorten heb ik nooit iets aangepast gebruikte hem alleen voor sabnzbd + sickbeard en had er een zooi foto's opstaan. we zien het morgen wel.

wat ik wel weet is dat ik 2 weken terug nog de laatste update erop gezet heb. hoop dat ik veilig ben

[ Voor 9% gewijzigd door spartacusNLD op 04-08-2014 14:20 ]

[Remi]

Ik ben dan wel voorzien van de meest recente updates, admin account uitgeschakeld, 2 way auth ingeschakeld en verder geen ssh/telnet actief maar ik heb m'n nas voor de zekerheid toch uitgezet. Laat ze eerst maar uitzoeken hoe ze toegang verkrijgen (en dan bedoel ik officiële statements van Synology en geen geruchten uit de community).

[spoor12b]

Is er inderdaad besmetting mogelijk over enkel SSH? Ik kan er helaas op dit moment niet remote bij om dit uit te schakelen.

[hhoekstra]

spoor12b schreef op maandag 04 augustus 2014 @ 14:21:
Is er inderdaad besmetting mogelijk over enkel SSH? Ik kan er helaas op dit moment niet remote bij om dit uit te schakelen.

is niet bekend.

[beantherio]

Blijkbaar is DSM 5.0 wel degelijk gevoelig voor deze besmetting. Het screenshot in onderstaand bericht is namelijk duidelijk afkomstig van een 5.0-systeem: http://www.ifun.de/synolo...t-synology-systeme-64080/

[Ravocs]

Ook handig voor als je nog niet zo ervaren bent:

http://www.synology.com/nl-nl/support/tutorials/615

[Viper®]

Iemand op het synology forum zegt dat je nog wel bij de data kan

So far, the data is still accessible over the network, but no way to get to admin functions.

The admin GUI is replaced with a ransomware page.

[Yucko]

Remi schreef op maandag 04 augustus 2014 @ 14:19:
Ik ben dan wel voorzien van de meest recente updates, admin account uitgeschakeld, 2 way auth ingeschakeld en verder geen ssh/telnet actief maar ik heb m'n nas voor de zekerheid toch uitgezet. Laat ze eerst maar uitzoeken hoe ze toegang verkrijgen (en dan bedoel ik officiële statements van Synology en geen geruchten uit de community).

volgens mij komt Synology pas met een verklaring als ze een oplossing voor het probleem hebben gemaakt en vrijgegeven, althans .. zoiets las ik op hun site

Synology Product Security Updates

To protect users, Synology does not publicly announce security vulnerabilities until fixes are publicly available, nor are the exact details of such vulnerabilities released. Once fixes are available, vulnerabilities shall be announced on Synology's official website.

_bron

[Viper®]

iemand anders zegt dat

I had a customer of mine get attacked yesterday with the same issue. We have a small business and use a DS1513+ with DSM 4.3-3810. We could not open any files. They were all corrupt or damaged. We rebooted and received the Synolocker message and could not access the DSM other then the message. I am familar with Ransomware but never this one. I googled to find nothing. Today there are 8 results on google. I even searched TOR but nothing. I immediately email synology security.Here is a step I have performed to get back into DSM. My files are still locked.

Here is how you do it:
1. Shut down the NAS
2. Remove all the hard drives from the NAS
3. Find a spare hard drive that you will not mind wiping and insert it into the NAS
4. Use Synology Assistant to find the NAS and install the latest DSM onto this spare hard drive (use the latest DSM_file.pat from Synology)
5. When the DSM is fully running on this spare hard drive, shut down the NAS from the web management console.


Thanks
Mike
6. Remove the spare drive and insert ALL your original drives.
7. Power up the NAS and wait patiently. If all goes well after about a minute you will hear a long beep and the NAS will come online.
8. Use Synology Assistant to find the NAS. It should now be visible with the status "migratable".
9. From Synology Assistant choose to install DSM to the NAS, use the same file you used in step 4 and specify the same name and IP address as it was before the crash.
10. Because the NAS is recognized as "migratable", the DSM installation will NOT wipe out the data on either the system partition nor the data partition.
11. After a few minutes, the installation will finish and you will be able to log in to your NAS with your original credentials.

I received email today from Synology that they are aware and looking into the issue.]

http://forum.synology.com...ilit=cryptolocker#p333692

Ik zou iig iedereen aanraden om remote access tijdelijk uit te zetten

[le dj]

Ravocs schreef op maandag 04 augustus 2014 @ 14:26:
Ook handig voor als je nog niet zo ervaren bent:

http://www.synology.com/nl-nl/support/tutorials/615

Door de urgentie wellicht handig de bovenstaande link op dit forum kort uit te breiden. De stappen zijn wel eenvoudig. Maar is dit voldoende om een besmetting te voorkomen? Je systeem uitzetten is wel heel rigoureus.

ik run nu update 3. Verder heb ik loginpogingen beperkt tot 5. In het verleden regelmatig (china) hacks weerstaan. alle http naar enkel https omgezet. Meer niet.

[119961]

Phusebox schreef op maandag 04 augustus 2014 @ 09:36:
[...]
//2-step verification

Hoe werkt dat dan op de Synology?

http://ukdl.synology.com/...ersGuide_NAServer_enu.pdf pagina 11

[thedon46]

Via een Frans forum:
(google translate)
Synology confirms and works to find a solution

Contacted by us, Synology confirms that it is a " security issue "and added that his team" is already aware and working to find a solution . " We have not been in against further details yet on the causes of the fault and how to protect themselves. On affected versions of the DSM, all cases that we have identified and where this information is known concerned 4.3. However, the company we have not confirmed that the transition to version 5.0 would avoid the problem.

In the meantime, caution is called for and it is recommended to cut all external access to your NAS . If you are not sure how to configure your LAN to achieve this, the easiest is probably to disconnect, at least as long as the problem is clearly identified and a solution is found. As always, do not hesitate to give us your feedback if you unfortunately need to be affected by SynoLocker.

BRON

[roland83]

Heeft Google best netjes vertaald.. was ook wel eenvoudig Frans eigenlijk

[PaT]

Ik heb een vraagje over de Synology hack. Voor zover ik weet heb ik nooit de EZ internet tool gedraaid. Verder heb ik destijds gewoon met de handleiding de DS211 up and running gekregen. Ik heb nog wel een admin account maar godzijdank wel met een vrij sterk eigen wachtwoord. In hoeverre zou ik nou vatbaar moeten zijn voor deze hack?

Gisteren was de Synology extreem stroperig richting mijn mediaspeler, maar dat was met een reboot opgelost. Toen kon ik hem in ieder geval nog benaderen via de "web interface" (intern ip:5000).

[thedon46]

Als je niet weet wat de bron is van de Hack, is het lastig te zeggen hoe je vatbaar bent.
Gewoon even je synology afsluiten van het internet is het enigste waar je nu echt veilig mee bent aangezien er nog niks is vastgesteld.

[roland83]

Ik denk dat dat heel moeilijk te zeggen is. Momenteel wordt vooral op DSM versie 4.3 gehamerd, en wordt er gespeculeerd dat vooral die versie kwetsbaar is. Maar ook gebruikers met DSM 5 zijn getroffen. Daarnaast is gewoon nog onbekend hoe de hack is veroorzaakt.

Je kunt het beste het zekere voor het onzekere nemen, en afwegen hoe belangrijk je je data vindt en hoe hard je het ding *nu* nodig hebt. Kan het morgen ook nog? Dan zou ik hem in elk geval de toegang tot internet ontzeggen en anders uitzetten. Tot bekend is wat het probleem veroorzaakt heeft.

[beantherio]

PaT schreef op maandag 04 augustus 2014 @ 14:58:
Ik heb een vraagje over de Synology hack. Voor zover ik weet heb ik nooit de EZ internet tool gedraaid. Verder heb ik destijds gewoon met de handleiding de DS211 up and running gekregen. Ik heb nog wel een admin account maar godzijdank wel met een vrij sterk eigen wachtwoord. In hoeverre zou ik nou vatbaar moeten zijn voor deze hack?

Tja, momenteel stelt iedereen zich die vraag. Ik heb de indruk dat de precieze 'ingang' van deze vorm van ransomware nog niet duidelijk is.

[Wognummer]

Gisteren was de Synology extreem stroperig richting mijn mediaspeler, maar dat was met een reboot opgelost. Toen kon ik hem in ieder geval nog benaderen via de "web interface" (intern ip:5000).

ik heb exact hetzelfde sinds 3 dagen echter kon ik hem net nog gewoon benaderen, nu dus maar even uitgezet tot nader order en we wat meer info krijgen wat het probleem precies is

[Orion84]

PaT schreef op maandag 04 augustus 2014 @ 14:58:
Ik heb een vraagje over de Synology hack. Voor zover ik weet heb ik nooit de EZ internet tool gedraaid. Verder heb ik destijds gewoon met de handleiding de DS211 up and running gekregen. Ik heb nog wel een admin account maar godzijdank wel met een vrij sterk eigen wachtwoord. In hoeverre zou ik nou vatbaar moeten zijn voor deze hack?

Is je NAS bereikbaar vanaf het internet? Je hebt ongetwijfeld een NAT router, staan daarin portforwards / DMZ ingesteld richting je NAS?

Zo nee: dan zit je waarschijnlijk redelijk veilig, tenzij er een corrupte package is die op eigen houtje de malware binnenhaalt. Absolute zekerheid is er inderdaad niet tot er meer duidelijk is over hoe deze besmetting precies plaats vindt.

[X-Kiwi]

Ik ben wel ooit aan het prutsen geweest met de EZ internet tool en heb daarbij een stuk of 10 zaken aangezet..

Weet ook iemand toevallig welke poort er standaard open staat bij de Synology? Want ik zie nu nog poort 80 en 5000 open staan. Wil hem graag weer terug naar default hebben.

Daarnaast: stel ik open poort 201 (gewoon random) via de EZ tool...en daarna voer ik de EZ tool nóg een keer uit om die poort 201 uit te vinken. Is hij dan ook weer dicht? Of kan de EZ tool enkel open zetten?

[Viper®]

default voor http is volgens mij 5000, https is 5001

[thedon46]

X-Kiwi schreef op maandag 04 augustus 2014 @ 15:04:
Ik ben wel ooit aan het prutsen geweest met de EZ internet tool en heb daarbij een stuk of 10 zaken aangezet..

Weet ook iemand toevallig welke poort er standaard open staat bij de Synology? Want ik zie nu nog poort 80 en 5000 open staan. Wil hem graag weer terug naar default hebben.

Daarnaast: stel ik open poort 201 (gewoon random) via de EZ tool...en daarna voer ik de EZ tool nóg een keer uit om die poort 201 uit te vinken. Is hij dan ook weer dicht? Of kan de EZ tool enkel open zetten?

Het gaat hier vooral om je router, welke poorten stuurt je router door naar je synology?
als je alles uitzet in je router maakt het weinig uit wat je op je synology instelt

[X-Kiwi]

thedon46 schreef op maandag 04 augustus 2014 @ 15:05:
[...]


Het gaat hier vooral om je router, welke poorten stuurt je router door naar je synology?
als je alles uitzet in je router maakt het weinig uit wat je op je synology instelt

Maar in de EZ tool zoekt hij eerst je router op en daarna geeft EZ door welke poorten daar open gezet moeten worden. In mijn geval weigerde de router daar een paar van...maar er zijn toch genoeg anderen geaccepteerd.

Op mijn router zelf heb ik niets ingesteld.

ps: voor de duidelijkheid, er zit geen haast bij, ik heb de hele NAS op afstand gewoon uit gezet. Ga eerst me eens inlezen in de beveiligingsstappen en daarna rustig weer opstarten.

[ Voor 14% gewijzigd door X-Kiwi op 04-08-2014 15:09 ]

[PaT]

Orion84 schreef op maandag 04 augustus 2014 @ 15:03:
[...]

Is je NAS bereikbaar vanaf het internet? Je hebt ongetwijfeld een NAT router, staan daarin portforwards / DMZ ingesteld richting je NAS?

Zo nee: dan zit je waarschijnlijk redelijk veilig, tenzij er een corrupte package is die op eigen houtje de malware binnenhaalt. Absolute zekerheid is er inderdaad niet tot er meer duidelijk is over hoe deze besmetting precies plaats vindt.

Zover ik weet niet en ik heb nooit port forwards ingesteld op mijn modem/router, dus dat zou goed moeten gaan, tenzij die EZ internet tool dat zelf geregeld heeft. Ik kan wel met de Synology packages downloaden en bijvoorbeeld torrents binnen hengelen met Download station. Dus enige verbinding met buiten is aanwezig.

Overigens staat de Synology gewoon uit op het moment. Mijn vrouw was toevallig thuis toen het nieuws bekend werd. Die kon dus mooi de NAS uitzetten

[Tiestor]

De EZ tool is niets meer dan een hulpmiddel om poorten in je router te forwarden. Dus als je alle poorten in je router gewoon dicht zet is er weinig aan de hand lijkt mij.. Of je moet inderdaad een corrupt package hebben..

[Qualixo]

Scheelt dat EZ tool mijn router al niet snapt

[thedon46]

Ding is gewoon: Heb je belangrijke data die echt niet kwijt wilt > > SYNO UITZETTEN <<
als iedereen nou zegt dat er A aan de hand is, en er blijkt B aan de hand te zijn, dan baal je flink

dus als je het risico niet wil lopen, gewoon ff uitzetten totdat Synology zelf meer duidelijkheid geeft

[Quakie]

Om het makkelijker te maken... soms pakt EZ Tool het wel maar zie je het niet terug in je router...

Had ik met een Apple Extreme (uit 2009 uit mijn hoofd, nieuwere versies worden niet ondersteund)

Dus wil je zeker zijn moet je eigenlijk je router ook resetten.

[roland83]

PaT: Ja, dat is het idee van EZ internet. Omdat het vaak ingewikkeld is om port forwards op de router zelf te doen, kan EZ internet dat voor je doen.

Als je zegt dat je eerder met EZ internet poorten hebt ingesteld, dan loont het om ook in de router zelf even te controleren wat er doorgestuurd wordt. Een poort in de lijst in EZ internet betekent niet altijd dat die ook in de router daadwerkelijk ingesteld is.

[Tiestor]

Qualixo schreef op maandag 04 augustus 2014 @ 15:11:
Scheelt dat EZ tool mijn router al niet snapt

Hehe, dat heb ik ook.. Router komt gelukkig nergens in de lijstjes voor.

thedon46 schreef op maandag 04 augustus 2014 @ 15:12:
Ding is gewoon: Heb je belangrijke data die echt niet kwijt wilt > > SYNO UITZETTEN <<
als iedereen nou zegt dat er A aan de hand is, en er blijkt B aan de hand te zijn, dan baal je flink

dus als je het risico niet wil lopen, gewoon ff uitzetten totdat Synology zelf meer duidelijkheid geeft

Hear hear, beste oplossing maar niet altijd praktisch..

[PaT]

Ik zeg juist dat ik volgens mij niet met EZ internet gespeeld heb, dus dan zouden die port forwards er ook niet moeten zijn... Ik zou dus goed moeten zitten, maar ondanks dat knijp je hem toch wel een beetje

Over een uurtje naar huis, dan zullen we het zien...

[ Voor 11% gewijzigd door PaT op 04-08-2014 15:15 ]

[DonJunior]

Heb vandaag na het lezen van deze berichten voor de zekerheid nog een extra backup gemaakt en vervolgens de NAS toch maar uitgeschakeld. Wil het risico toch niet lopen.

[roland83]

Ja, maar als je NAS nu uit staat, kan er ook niks mis gaan.

Mijne staat nu ook uit, als ik vanavond weer thuis ben kan ik het ding weer aanzetten *nadat* hij een algemene internetontzegging heeft gehad

[ Voor 55% gewijzigd door roland83 op 04-08-2014 15:18 ]

[PaT]

roland83 schreef op maandag 04 augustus 2014 @ 15:18:
Ja, maar als je NAS nu uit staat, kan er ook niks mis gaan.

Mijne staat nu ook uit, als ik vanavond weer thuis ben kan ik het ding weer aanzetten *nadat* hij een algemene internetontzegging heeft gehad

Tenzij hij natuurlijk voor het uitzetten al besmet was

[BeefHazard]

PaT schreef op maandag 04 augustus 2014 @ 15:19:
[...]

Tenzij hij natuurlijk voor het uitzetten al besmet was

Uitzetten via DSM dus, dan weet je zeker dat 'ie niet besmet is

[SaphuA]

.

[ Voor 98% gewijzigd door SaphuA op 31-01-2022 14:56 ]

[X-Kiwi]

BeefHazard schreef op maandag 04 augustus 2014 @ 15:20:
[...]

Uitzetten via DSM dus, dan weet je zeker dat 'ie niet besmet is

Heb net ergens gelezen dat iemand nog besmet werd tijdens het uitzetten

[Senaxx]

SaphuA schreef op maandag 04 augustus 2014 @ 15:23:
Ik heb echt vorige week mijn Nas via internet toegankelijk gemaakt, omdat een vriend wat bestanden wilde overnemen. Zit momenteel op mijn werk, maar ben bang dat ik de sjaak ben.

Mhoaw ik zit op DSM 5.0 met de update van 17 juli en ben ook niet de sjaak. Heb wel aanstaan dat na 2 foutieve pogingen je IP gebanned wordt, en 2factor authenticatie.

[ Voor 54% gewijzigd door Senaxx op 04-08-2014 15:24 ]

[mrdjey]

Ook de laatste update? van 5

[X-Kiwi]

SaphuA schreef op maandag 04 augustus 2014 @ 15:23:
Ik heb echt vorige week mijn Nas via internet toegankelijk gemaakt, omdat een vriend wat bestanden wilde overnemen. Zit momenteel op mijn werk, maar ben bang dat ik de sjaak ben.

Hoeft niet persee. Ik heb meerdere poorten open staan, EZ connect gebruikt zonder al te veel kennis, gebruik standaard admin account, geen dubbele login stap, geen 5.0 #3 update gedraait..etc. En ik had rond 14:00uur nog nergens last van. Toen maar snel uit gezet. Er is dus nog hoop

[Razr]

Toch wel lichtelijk frusterend als je dit nu allemaal leest terwijl je op je werk zit en je thuis de NAS nu nog niet kunt uitzetten . Al weet ik vrijwel zeker dat er geen enkele poort geNAT is, plus dat hij helemaal up-to-date is. Dat stelt me nog een beetje gerust.

[tantewillem]

ik heb tijdelijk mijn admin account disabled (eerst een andere admin aangemaakt)
toen in

control panel / info center / services /

ssh disabled via firewall
voor als het een ssh entry is.

verder web services uit.

(control panel terminal en snmp ssh al uit staan als die toch niet nodig is)

en 2 step verification aan op de console.

zo laat ik m gewoon verder draaien. als ie hackked wordt dan post ik nog wel een update

my 2 cents,

[ Voor 51% gewijzigd door tantewillem op 04-08-2014 15:54 ]

[X-Kiwi]

Razr schreef op maandag 04 augustus 2014 @ 15:28:
Toch wel lichtelijk frusterend als je dit nu allemaal leest terwijl je op je werk zit en je thuis de NAS nu nog niet kunt uitzetten . Al weet ik vrijwel zeker dat er geen enkele poort geNAT is, plus dat hij helemaal up-to-date is. Dat stelt me nog een beetje gerust.

Dat is wel een voordeel van alles open hebben staan: ik kan via quickconnect gewoon inloggen @ work en de NAS geheel uitschakelen.

[Anoniem: 416112]

Ik heb voor alle zekerheid de internettoegang tot mijn RackStation volledig geblokkeerd via de router. Dit leek mij het veiligste om te doen.

[Senaxx]

Vraag is voor de mensen die getroffen zijn, zou Synology je kunnen helpen met recoveren van het spul? ik weet dat Synology wel aardig goed is via remote, maar zouden ze het met dit ook doen?

[Hooglander1]

Razr schreef op maandag 04 augustus 2014 @ 15:28:
Toch wel lichtelijk frusterend als je dit nu allemaal leest terwijl je op je werk zit en je thuis de NAS nu nog niet kunt uitzetten . Al weet ik vrijwel zeker dat er geen enkele poort geNAT is, plus dat hij helemaal up-to-date is. Dat stelt me nog een beetje gerust.

Als jij je NAS niet uit kan zetten is de kans dat hij kwetsbaar is echt minimaal.

Als hij direct aan internet hangt met alle poorten, dan moet je ff oppassen. Maar jij zit wel safe hoor.

[Pmleader]

Senaxx schreef op maandag 04 augustus 2014 @ 15:30:
Vraag is voor de mensen die getroffen zijn, zou Synology je kunnen helpen met recoveren van het spul? ik weet dat Synology wel aardig goed is via remote, maar zouden ze het met dit ook doen?

Als er echt encryptie word toegepast is het vrijwel onmogelijk om je bestanden terug te halen zonder de key...

[ Voor 58% gewijzigd door Pmleader op 04-08-2014 15:31 ]

[Hooglander1]

Pmleader schreef op maandag 04 augustus 2014 @ 15:31:
[...]


Als er echt encryptie word toegepast is het vrijwel onmogelijk om je bestanden terug te halen zonder de key...

Dat gebeurt dan ook niet. Veel te ingewikkeld

[roland83]

Ik heb de NAS via DSM uitgezet. Ik verwacht geen problemen als ik thuiskom, zo paranoide ben ik ook weer niet

[Senaxx]

Naar mijn weten was met al dat andere ransomware ook niets gencrypt. Weet je hoeveel tijd het kost om bijvoorbeeld 4TB met een hele sterke key te encrypten? Daar is mijn 412+ wel ff mee bezig Het is volgensmij meer scareware, met een defacing? en root account gehijacked.

[ Voor 7% gewijzigd door Senaxx op 04-08-2014 15:35 ]

[Pmleader]

Senaxx schreef op maandag 04 augustus 2014 @ 15:34:
Naar mijn weten was met al dat andere ransomware ook niets gencrypt. Weet je hoeveel tijd het kost om bijvoorbeeld 2TB met een hele sterke key te encrypten? Het is volgensmij meer scareware, met een defacing? en root account gehijacked.

Van wat ik nu gelezen hebt lijkt mij dit ook.

Maar als je data je lief is zou ik het risico niet willen nemen!

Zelf net ook mijn nas afgesloten van het web.

[Orion84]

Hooglander1 schreef op maandag 04 augustus 2014 @ 15:31:
[...]

Als jij je NAS niet uit kan zetten is de kans dat hij kwetsbaar is echt minimaal.

Als hij direct aan internet hangt met alle poorten, dan moet je ff oppassen. Maar jij zit wel safe hoor.

Uhm, wellicht kan hij er niet bij omdat zijn baas poort 5000 uitgaand dicht heeft staan, maar is zijn NAS wel bereikbaar van buiten? Iets met aannames en zo

* Orion84 zit in het buitenland tot donderdag, wat het ook wat tricky maakt. Ik kan er wel bij, maar zet mijn NAS liever niet uit voor die periode, omdat ik hem ook gebruik als VPN server om via nederland te kunnen internetten hier. Misschien toch maar even de portforward op 5000 dichtmikken voorlopig. Via VPN kan ik er dan alsnog wel bij als het moet.

[X-Kiwi]

Wat ik mij bij dat hijacken altijd af vraag: helpt het ook als je betaald?
Zit er uberhaubt een koppeling tussen [geld overgemaakt] en [blokkering opgeheven]?

[beantherio]

Zijn er eigenlijk al meldingen van mensen die betaald hebben waarvan het systeem ook daadwerkelijk weer vrijgegeven is?

[Freakster86]

Na dit nieuws ook maar even proberen in te loggen op de NAS via het internet (ben ver van huis).

Inloggen lukt niet, NAS lijkt niet te zijn verbonden met internet. En zojuist is Cloudstation ook gestopt met syncen "bezig met verbinden". Cloudstation werkte gisteren en vandaag gewoon nog. Moet ik iemand bellen om de stroom er af te halen of ... ?

[Senaxx]

Freakster86 schreef op maandag 04 augustus 2014 @ 15:37:
Na dit nieuws ook maar even proberen in te loggen op de NAS via het internet (ben ver van huis).

Inloggen lukt niet, NAS lijkt niet te zijn verbonden met internet. En zojuist is Cloudstation ook gestopt met syncen "bezig met verbinden". Cloudstation werkte gisteren en vandaag gewoon nog. Moet ik iemand bellen om de stroom er af te halen of ... ?

Als je hem nu niet nodig hebt, beter het zekere voor het onzekere.

[roland83]

Laat hem dan ook echt de NAS uitzetten, niet zomaar de stroom eraf kieperen. Als je de stroom er dan weer op zet, gaat hij vanzelf weer aan. Dat is meestal handig, maar nu niet

[Freakster86]

Internet kabel eruit trekken misschien betere oplossing dan?

[NiGeLaToR]

roland83 schreef op maandag 04 augustus 2014 @ 15:42:
Laat hem dan ook echt de NAS uitzetten, niet zomaar de stroom eraf kieperen. Als je de stroom er dan weer op zet, gaat hij vanzelf weer aan. Dat is meestal handig, maar nu niet

Aan/uit knop indrukken tot je een piep hoort en hij doet netjes shutdown. Duurt dit langer dan paar minuten ->> stekker eruit.

Wat een toestand dit.. heb zelf de nas niet direct aan internet hangen, had alleen voip server en DScloud draaien, die nu even uitgezet. Verder wacht ik eerst even af - heb een voorgevoel dat als er iets mis was, je dat al wist nu. Maar als je echt twijfelt, better safe then sorry.

Freakster86 schreef op maandag 04 augustus 2014 @ 15:44:
Internet kabel eruit trekken misschien betere oplossing dan?

Ligt aan je doel; als de ransomware erop staat en echt je data versleutelt lukt dat offline ook nog wel - kabel eruit helpt alleen tegen nieuwe besmetting.

[ Voor 19% gewijzigd door NiGeLaToR op 04-08-2014 15:46 ]

[roland83]

Ja, maar dan verbruikt het ding onnodig stroom (zij het weinig). NAS uitzetten lijkt me de makkelijkste optie (desnoods uit het stopcontact trekken, als je de uitknop niet kunt vinden).

[Viper®]

Freakster86 schreef op maandag 04 augustus 2014 @ 15:37:
Na dit nieuws ook maar even proberen in te loggen op de NAS via het internet (ben ver van huis).

Inloggen lukt niet, NAS lijkt niet te zijn verbonden met internet. En zojuist is Cloudstation ook gestopt met syncen "bezig met verbinden". Cloudstation werkte gisteren en vandaag gewoon nog. Moet ik iemand bellen om de stroom er af te halen of ... ?

Is het in principe niet al te laat dan

[Judaz]

encrypten van x GB kost veel tijd.

uitzetten en hij stopt er mee, als hij het al doet en het geen scare ware is.

Enkel loskoppelen van internet en hij kan lekker doorgaan met encrypten.

[beantherio]

Als ik Twitter en de forums zo bekijk dan lijkt het erop dat dit aardig wat impact heeft gehad. Veel meldingen van mensen die er last van hebben. En nog steeds geen duidelijkheid van de kant van Synology over de oorzaak. Alhoewel ik niets open heb staan richting de buitenwereld ben ik toch wel benieuwd wat ik aantref als ik straks m'n DS-en ga controleren.

[lolgast]

Ik heb gelukkig aanstaan dat ik alleen vanuit huis en kantoor op dat apparaat kan komen. Verder heb ik geen noodzaak om hem te benaderen

[Puck]

Net uit voorzorg toch ook maar even op afstand mijn NAS uitgeschakeld. Vanavond (na werk) even rustig wat zaken extra beveiligen: 2-step verification en VPN opzetten.

Voor de mensen die (wellicht) besmet zijn: kunnen jullie in ieder geval even aangeven welke DSM versie jullie draaien? Ik ben toch wel benieuwd of dit ook met de laatste versie kan gebeuren.

[Tiestor]

Net even via vpn ingelogd op mijn 414 via mn iphone, so far so good. Heb niet het idee dat ik getroffen ben.. Heb als het goed is ook niets open staan. Maar wellicht dat dit komt omdat ik alleen op een mobiele interface zit nu? In ieder geval gevonden hoe ik de nas via de mobiele interface uit kan schakelen, dus meteen maar uit gezet. Zie het vanavond allemaal wel als ik thuis kom

[ Voor 26% gewijzigd door Tiestor op 04-08-2014 15:56 ]

[Freakster86]

Even iemand opgetrommeld om de NAS uit te gaan zetten.

Het rare is dat Cloudstation nu af toe weer verbinding krijgt en dan aangeeft dat alles is bijgewerkt. Via quickconnect inloggen op de NAS werkt echter nog steeds niet, maar het kan zijn dat ik ben vergeten 'DSM' aan te vinken onder advanced... Hmmm. Dus of ik nou ook de dupe ben is maar de vraag.

Voor de zekerheid toch maar even uitschakelen en dan zie ik het wel weer wanneer ik thuis ben.

[Tjahneee]

Bij een comment bij https://www.security.nl/p...bestanden+op+Synology+NAS

Stond er dat mogelijk de bepaalde DSM kwetsbaar is voor de heartbleed bug.. Meer info: https://mobile.twitter.co...status/496182220844191744

[ Voor 1% gewijzigd door Tjahneee op 04-08-2014 16:14 . Reden: Typo ]