Synology NAS besmet met ransomware synolocker

[JanPedaal]

Ja leuk he, werken in het buitenland je wil toch je DS bereikbaar houden en dan krijg je zoiets. Ik zit met de DS109 op DSM4.2-3250 van 17 juni. Geen virus geconstateerd bij inlogscherm en snel op afstand uitgezet. Maar toch onhandig, zit nog 2.5 week in het buitenland zonder toegang tot essentiële muziek en films

[Verwijderd]

Volgens Synology hebben komt het probleem niet voor bij DSM 5.

https://twitter.com/Synology/status/496710426839613440

Dus DSM 5 zou 'veilig' zijn. Momenteel wacht ik toch nog even om alles terug open te zetten.

[albino71]

Zo, syno weer gestart en flink dichtgetimmerd.
Ding kan alleen via het lokale netwerk benaderd worden als het goed is.

spartacusNLD schreef op maandag 04 augustus 2014 @ 14:00:
betekend dat als dit op je NAS staat dat ze ook toegang hebben tot je files?
ben pas dinsdag weer thuis weet ook niet of hij nog aan staat of niet klote dit

Stekker er uit laten halen door iemand!

[beantherio]

Afvalzak schreef op dinsdag 05 augustus 2014 @ 21:19:
Ik heb één fake screenshot gezien waarin je de desktop lay-out van dsm 5.0 zag met daarin een venster met een melding over Synolocker.

Mensen die écht gehackt zijn kunnen de desktop lay-out niet meer zien maar krijgen een redirect naar die melding volgens mij.

Maar ik heb niet alle pagina's doorgelezen natuurlijk

Nog nergens is bevestigd dat het inderdaad een fake screenshot was. Het past niet in de claim van Synology dat 5.0 niet kwetsbaar is: daarom wordt het blijkbaar nu ineens als 'fake' aangemerkt. Dit ondanks het feit dat er allerlei claims zijn van gehackte 5.0-implementaties waarvoor geen verklaring is gegeven.

[albino71]

Schiet mij ineens iets door het hoofd...

Backup niet alleen off-site, maar ook op een ander merk NAS/medium!

[HvB83]

Wat een gestress allemaal van sommigen hier zeg. Tuurlijk is het vervelend dat het onzeker is wat er nu aan de hand is, maar laten we er ook geen drama van maken. Die dingen kunnen gebeuren, zeker op systemen waarop gebruikers zelf verantwoordelijk zijn voor het updaten (of het nalaten daarvan), uit allerlei repositories packages kunnen downloaden, ongeveer de voordeur naar hun NAS voor elke denkbare router open zetten, standaard admin ingesteld laten en dan verbaasd zijn als het een keer fout gaat. Een aantal roepen nu dat het de fout van Synology is, maar vooralsnog lijken de eerste signalen gewoon naar verouderde firmwares te wijzen...

Het heeft geen nut om binnen een paar uur een oplossing te verwachten, die is er soms gewoon niet zonder dat ze uitvoerig onderzoek hebben kunnen doen. We mogen aannemen dat ze daar serieus mee bezig zijn, dat laten de tussentijdse updates zien. Ondertussen details over hun onderzoek vrijgeven kan ervoor zorgen dat de crimineel weet hoe hij eventueel kan bijsturen, of anderen kunnen op het idee komen hoe ze de exploit kunnen misbruiken. Kortom, een beetje meer geduld en rationaliteit is wel op z'n plaats.

[Paulus07]

albino71 schreef op dinsdag 05 augustus 2014 @ 22:50:
Schiet mij ineens iets door het hoofd...

Backup niet alleen off-site, maar ook op een ander merk NAS/medium!

[beantherio]

HvB83 schreef op dinsdag 05 augustus 2014 @ 22:52:
Wat een gestress allemaal van sommigen hier zeg. Tuurlijk is het vervelend dat het onzeker is wat er nu aan de hand is, maar laten we er ook geen drama van maken. Die dingen kunnen gebeuren, zeker op systemen waarop gebruikers zelf verantwoordelijk zijn voor het updaten (of het nalaten daarvan), uit allerlei repositories packages kunnen downloaden, ongeveer de voordeur naar hun NAS voor elke denkbare router open zetten, standaard admin ingesteld laten en dan verbaasd zijn als het een keer fout gaat. Een aantal roepen nu dat het de fout van Synology is, maar vooralsnog lijken de eerste signalen gewoon naar verouderde firmwares te wijzen...

Het heeft geen nut om binnen een paar uur een oplossing te verwachten, die is er soms gewoon niet zonder dat ze uitvoerig onderzoek hebben kunnen doen. We mogen aannemen dat ze daar serieus mee bezig zijn, dat laten de tussentijdse updates zien. Ondertussen details over hun onderzoek vrijgeven kan ervoor zorgen dat de crimineel weet hoe hij eventueel kan bijsturen, of anderen kunnen op het idee komen hoe ze de exploit kunnen misbruiken. Kortom, een beetje meer geduld en rationaliteit is wel op z'n plaats.

Zoals je zelf al zegt weten we nog niet waar deze hack vandaan komt. Waarom dan gebruikers de schuld geven?

En als ik al gebruiker van een bepaald merk NAS hoor dat ik kans loop dat al mijn data gegijzeld wordt dan wil ik me wel ongerust maken hoor. Is dat vreemd?

[NiGeLaToR]

Het mooie is - jullie hebben beiden gelijk:
- ja je moet zelf je beveiliging regelen.
- ja Synology moet zelf zorgen dat beveiliging default acceptabel is

Net als bij een auto, de bestuurder moet veilig rijden, de auto moet geen rijdend moordwapen zijn, maar gemaakt om je levend te houden bij een incident.

Probleem is dat een derde partij de boel aan het saboteren is, dat maakt het ingewikkeld. Maar, is het niet handig om voor er een 'schuldige' wordt aangewezen te duimen voor een oplossing. Verder: de uiteindelijk terrorist die dit bedacht/uitgevoerd heeft zou wel meer kritiek mogen krijgen ipv de gebruiker of leverancier.

[martijn1975]

beantherio schreef op dinsdag 05 augustus 2014 @ 22:42:
[...]

Nog nergens is bevestigd dat het inderdaad een fake screenshot was. Het past niet in de claim van Synology dat 5.0 niet kwetsbaar is: daarom wordt het blijkbaar nu ineens als 'fake' aangemerkt. Dit ondanks het feit dat er allerlei claims zijn van gehackte 5.0-implementaties waarvoor geen verklaring is gegeven.

Ik begreep dat de besmette 5.X systemen recentelijk ge-update bleken en dat deze systemen voor de update al besmet waren met Synolocker.

[Olgeros]

Vraagje, gewoon omdat ik het niet weet ;-)

Ik had in mijn firewall ingesteld dat alleen lokaal netwerk toegang had.
Dus x.x.x.1 t/m x.x.x.254
(if no rules op deny of course)

De internetrouter zit op dat lokale netwerk op x.x.x.10

Nu had iemand hierboven ook toegang vanuit zijn router uitgezet.
Wat ik nu ook maar even gedaan heb middels 2 rules:
x.x.x.1 - x.x.x.9
en
x.x.x.10 - x.x.x.254

Waarmee de router dus niet bij de NAS kan komen.

Nu vraag ik me af: als iemand van buiten probeert op de NAS te komen, dan gaat dat dus via de router naar de NAS. Geeft de router dan altijd het externe IP adres mee, of altijd het (interne netwerk) adres van de router?

Als het originele, externe IP adres doorgestuurd wordt (altijd dus!) dan zou ik de router niet apart hoeven te blocken. Toch? :-)

[Verwijderd]

albino71 schreef op dinsdag 05 augustus 2014 @ 22:35:
Zo, syno weer gestart en flink dichtgetimmerd.
Ding kan alleen via het lokale netwerk benaderd worden als het goed is.


[...]


Stekker er uit laten halen door iemand!

Nooit doen! Gewoon aan/uitknop een paar aeconden ingedrukt houden zodat hij gaat afsluiten. Stekker eruit trekken is kans op defecte hdd's, heb ik gehad toen de stroom uitviel en dat leverde mij 2 weken werk op m alles weer goed te krijgen.

[Leut]

Olgeros schreef op dinsdag 05 augustus 2014 @ 23:31:
Vraagje, gewoon omdat ik het niet weet ;-)

Ik had in mijn firewall ingesteld dat alleen lokaal netwerk toegang had.
Dus x.x.x.1 t/m x.x.x.254
(if no rules op deny of course)

De internetrouter zit op dat lokale netwerk op x.x.x.10

Nu had iemand hierboven ook toegang vanuit zijn router uitgezet.
Wat ik nu ook maar even gedaan heb middels 2 rules:
x.x.x.1 - x.x.x.9
en
x.x.x.10 - x.x.x.254

Waarmee de router dus niet bij de NAS kan komen.

Nu vraag ik me af: als iemand van buiten probeert op de NAS te komen, dan gaat dat dus via de router naar de NAS. Geeft de router dan altijd het externe IP adres mee, of altijd het (interne netwerk) adres van de router?

Als het originele, externe IP adres doorgestuurd wordt (altijd dus!) dan zou ik de router niet apart hoeven te blocken. Toch? :-)

Wanneer jij in jouw router alle portforwarding (van externe ip's/ internet) uitschakelt voor jouw nas, dan ben je er toch ook? Dat is toch waar het om gaat: zorgen dat de nas van buitenaf niet langer bereikbaar is.

Vermoed dat je een service ala myds.me eveneens niet meer functioneert, omdat ook die zal redirecten naar het door jou opgegeven poortnummer, welke door je router niet langer geforward wordt...

[ Voor 53% gewijzigd door Leut op 05-08-2014 23:42 ]

[Nullius]

Ik kreeg op 31/07 aanvallen via SSH van IP 192.227.239.42
Deze werden automatisch geblokkeerd.
Ik draai nochtans aan andere poort dan 22.

Ook de eerste keer trouwens dat ik een aanval had buiten China.

[Devster]

reservebelg2320 schreef op dinsdag 05 augustus 2014 @ 20:03:
[...]
Ik kan er ook weer bij... Bedankt voor het testen!

Helaas is er geen DSM5.x voor de DS209+II... dat is mooi balen dan...!!

"For DSM 4.3, please install DSM 4.3-3827 or later" - Gewoon updaten naar de laatste versie dus.

[beantherio]

Voor zover ik kan zien geen nieuwe verklaringen van de kant van Synology de laatste paar uur. Men blijft volledig op de rem staan m.b.t. het geven van informatie over wat er nu precies gebeurd is. Zijn ze nog aan het onderzoeken of laten ze het hierbij?

[Verwijderd]

beantherio schreef op woensdag 06 augustus 2014 @ 08:08:
Voor zover ik kan zien geen nieuwe verklaringen van de kant van Synology de laatste paar uur. Men blijft volledig op de rem staan m.b.t. het geven van informatie over wat er nu precies gebeurd is. Zijn ze nog aan het onderzoeken of laten ze het hierbij?

Wat voor meer info wil je dan: "Oude firmware gekraakt, u had al 8 maanden moeten updaten en als u dat nog niet gedaan heeft moet u dat nu doen".

Wat verwacht je meer? Huilende CEO's?

[tlpeter]

En of ze het hierbij laten wat denk je zelf? lijkt me niet.

[Managelorian]

Verwijderd schreef op woensdag 06 augustus 2014 @ 08:11:
[...]

Wat voor meer info wil je dan: "Oude firmware gekraakt, u had al 8 maanden moeten updaten en als u dat nog niet gedaan heeft moet u dat nu doen".

Wat verwacht je meer? Huilende CEO's?

"Ik heb gefaald! Ik heb mijn ouders tot schande gebracht! Vergee-eee-ee-eef mij!" <maakt diepe buiging>

[ProudElm]

Nee, maar als je NAS hebt staan op auto up-to-date houden en dit gebeurd vervolgens dus niet.. Wiens fout is het nu?? Ik kijk bij DSM bijwerken. Staat gewoon braaf, u bent up-to-date.. Klik nog even voor de zekerheid op controleren. Veranderd niks.. ok, dus dan zit het goed.. Blijkt nu, achteraf.. dat je dat dus niet was..

[beantherio]

Verwijderd schreef op woensdag 06 augustus 2014 @ 08:11:
[...]

Wat voor meer info wil je dan: "Oude firmware gekraakt, u had al 8 maanden moeten updaten en als u dat nog niet gedaan heeft moet u dat nu doen".

Wat verwacht je meer? Huilende CEO's?

Een uitleg over wat er aan de hand is.

[tlpeter]

Die krijg je als het probleem is opgelost en niet eerder.
Het is juist goed dat men niet tussentijds info geeft omdat je dan juist meer problemen kan veroorzaken door info prijs te geven.

[DaaNium]

En snellere reacties op e-mail berichten van gebruikers die geinfecteerd zijn.
Ik heb inmiddels een geinfecteerde NAS beschikbaar gesteld, echter krijg ik daar geen feedback op.
En als ik het zo lees, gaat het om tientallen infecties, geen honderden, in mijn ogen kan een bedrijf als Synology er best wat meer werk van maken.

[Verwijderd]

ProudElm schreef op woensdag 06 augustus 2014 @ 08:21:
Nee, maar als je NAS hebt staan op auto up-to-date houden en dit gebeurd vervolgens dus niet.. Wiens fout is het nu?? Ik kijk bij DSM bijwerken. Staat gewoon braaf, u bent up-to-date.. Klik nog even voor de zekerheid op controleren. Veranderd niks.. ok, dus dan zit het goed.. Blijkt nu, achteraf.. dat je dat dus niet was..

Auto up-to-date? Dat heb ik nog nooit gezien in DSM?

Wel zuur inderdaad dat die updater mee gehacked bleek, had je kunnen oplossen door de Synology site af en toe te checken maar dat kan je niet verwachten van een gebruiker als je al een update oplossing ingebouwd hebt.

---

beantherio schreef op woensdag 06 augustus 2014 @ 08:24:
[...]

Een uitleg over wat er aan de hand is.

Die is er toch? Alle firmwares voor dec 2013 zijn kwetsbaar. Dat is er aan de hand. Het is op te lossen door tijdig te updaten.
De uitleg over wat er exact mis ging zal ongetwijfeld nog volgen, heeft geen prio lijkt mij. Eerst nu de klanten helpen.

---

DaaNium schreef op woensdag 06 augustus 2014 @ 08:27:
En snellere reacties op e-mail berichten van gebruikers die geinfecteerd zijn.
Ik heb inmiddels een geinfecteerde NAS beschikbaar gesteld, echter krijg ik daar geen feedback op.
En als ik het zo lees, gaat het om tientallen infecties, geen honderden, in mijn ogen kan een bedrijf als Synology er best wat meer werk van maken.

Ik denk dat ze er heel hard mee bezig zijn, maar een klein geheim: deze encryptie lijkt onkraakbaar. Denk dat ze hard aan het zoeken zijn of ze de encryptie key kunnen achterhalen op de getroffen systemen, dat kost nu eenmaal tijd. Als ze iets van een oplossing gevonden hebben dan zullen ze ongetwijfeld snel handelen.

Ben zelf sysadmin en als ik ergens een hekel aan heb dan is het tijdens een storing gebruikers die om de 2 minuten vragen of het al werkt of wanneer het opgelost is. Als er een oplossing is dan hoor je het vanzelf.

[ Voor 68% gewijzigd door Verwijderd op 06-08-2014 08:31 ]

[ProudElm]

Staat een vinkje bij. Automatisch controleren op updates heet dat toch? ok. ok.. installeert het niet automatisch, meer geeft in ieder geval aan dat er een nieuwe update is

Reactie op jouw edit Tha_Duck:

Oh, was dat echt ja? dan kan ik er dus zeker van uitgaan dat mijn NAS gehacked is.. Want ik keek afgelopen zaterdagavond er nog naar en was up-to-date volgens synology. Fijn...

[ Voor 38% gewijzigd door ProudElm op 06-08-2014 08:34 ]

[tlpeter]

Dit is een van de indicaties dat je besmet bent:

DSM 4.3-3810 or earlier is installed, but the system says the latest version is installed at Control Panel > DSM Update.

Of te wel het ding geeft aan upto date maar je bent het niet.

[Verwijderd]

ProudElm schreef op woensdag 06 augustus 2014 @ 08:32:
Staat een vinkje bij. Automatisch controleren op updates heet dat toch? ok. ok.. installeert het niet automatisch, meer geeft in ieder geval aan dat er een nieuwe update is

Reactie op jouw edit Tha_Duck:

Oh, was dat echt ja? dan kan ik er dus zeker van uitgaan dat mijn NAS gehacked is.. Want ik keek afgelopen zaterdagavond er nog naar en was up-to-date volgens synology. Fijn...

Is dat niet pas in DSM 5.0?

[ProudElm]

nee,ik had zeker weten een vinkje om automatisch te laten controleren op updates.. Ik keek daar best regelmatig of ik eindelijk naar 5.0 kon updaten. maar nooit de mogelijkheid gekregen daar.. dacht dus altijd, helaas, te oud model..

[Orion84]

ProudElm schreef op woensdag 06 augustus 2014 @ 08:35:
nee,ik had zeker weten een vinkje om automatisch te laten controleren op updates.. Ik keek daar best regelmatig of ik eindelijk naar 5.0 kon updaten. maar nooit de mogelijkheid gekregen daar.. dacht dus altijd, helaas, te oud model..

Volgens mij werd bij de introductie van 5 de keuze gegeven: nu naar 5 of op de 4.3 branche blijven. Als je toen koost voor 4.3, dan gaat hij daarna dus verder met updates voor 4.3 melden en gaat hij niet meer melden dat je nog naar 5 kan.

[MikeOO]

BaT schreef op dinsdag 05 augustus 2014 @ 22:24:
Zit in het buitenland - lees ik dit allemaal

Echt 3/4 wat er op staat kan me gestolen worden - het zijn vooral de foto's die er op staan die belangrijk zijn.. Ach ja we zullen het zien - vrijdag avond kom ik thuis: eerst ff alle portforwards in de router ongedaan maken - dan NAS aanzetten en kijken wat ie doet... Fingers crossed.. Iig een goede les - wilde al tijden een offline backup maken, maar 'kwam er steeds niet aan toe' .. DOH

Dat geeft maar weer aan dat je sommige dingen niet moet uitstellen, zeker mbt foto's

[ProudElm]

mmm.. nooit gezien die mogelijkheid..

Maar ja, laat de NAS nog wel even lekker uit staan. Morgen avond tijd.. HDD's er uit en opstarten. Kijken of ik iets kan vinden wat zou lijken op besmetting.. Had poorten van de router in ieder geval opstaan naar de NAS. Lekker makkelijk..

[Verwijderd]

ProudElm schreef op woensdag 06 augustus 2014 @ 08:32:
Reactie op jouw edit Tha_Duck:

Oh, was dat echt ja? dan kan ik er dus zeker van uitgaan dat mijn NAS gehacked is.. Want ik keek afgelopen zaterdagavond er nog naar en was up-to-date volgens synology. Fijn...

Als je up to date bent met een 5.0 versie dan is er niks aan de hand. Als er 4.3-3810 of lager staat dan moet je je ernstig zorgen maken en snel actie ondernemen.

[ProudElm]

Verwijderd schreef op woensdag 06 augustus 2014 @ 08:42:
[...]

Als je up to date bent met een 5.0 versie dan is er niks aan de hand. Als er 4.3-3810 of lager staat dan moet je je ernstig zorgen maken en snel actie ondernemen.

Ik weet alleen zeker dat ik nooit naar 5.0 ben gegaan, en dus op 4.3 zat.. Welke versie precies geen flauw idee.. NAS staat dus uit... Donderdag komen we er achter..

[DaaNium]

ProudElm schreef op woensdag 06 augustus 2014 @ 08:42:
mmm.. nooit gezien die mogelijkheid..

Maar ja, laat de NAS nog wel even lekker uit staan. Morgen avond tijd.. HDD's er uit en opstarten. Kijken of ik iets kan vinden wat zou lijken op besmetting.. Had poorten van de router in ieder geval opstaan naar de NAS. Lekker makkelijk..

Als je HDD's er uit zijn, merkt je niets van een infectie.
De software op je HDD wordt namelijk geinfecteerd (DSM)

[ProudElm]

mmm... nieuwe hdd erin.. NAS dus zo goed als nieuw? gelijk updaten naar 5.0. Daarna 1e oude HDD er in en data overzetten?? Of besmet ik de boel dan opnieuw?

Anders data overzetten via pc. HDD formatteren en dan toevoegen?

[om3ega]

Als je (zoals ik met 1 nas) bewust nog even op de 4.3 trunk wil zitten, kan je aangeven dat je "Important Updates" wel wilt hebben.

[thedon46]

Als je je HDD's eruit haalt, maak dan even een back-up van je schijven via ubuntu of windows. dan weet je zeker dat je je data nog hebt als je vermoedens hebt dat je gehackt bent

[emnich]

Zo, heb even een cronjobje gemaakt voor het checken of synosync draait.

code:

ps | grep synosync | grep -v grep && /usr/syno/bin/synonotify UPSConnected

Op deze manier misbruik je het eigen notify systeem van de Synology om een email/SMS te sturen en een melding in DSM te geven. Je kan deze job gebruiken als je zelf geen UPS hebt en deze melding dus alleen maar voor kan komen door deze cron. Je kan natuurlijk ook een andere notification uit kiezen.

Ik heb zelf een eigen melding aangemaakt maar dat is even wat meer werk en misschien is het wat overdreven voor 1 hack: http://www.beatificabytes...ts-running-on-a-synology/

Je moet dan nog wel in DSM instellen dat je per email en/of SMS Notifications wil krijgen. Als je op je telefoon DS Finder hebt staan dan krijg je ook nog een push bericht op je telefoon.

[Managelorian]

Ik krijg het idee dat sommige mensen denken dat omdat ze weinig info van Synology krijgen, dat Synology niet hard genoeg aan het probleem trekt. Ik vermoed echter dat de mensen van Synology die dit probleem hebben toegewezen gekregen (en dat zullen er echt niet 1 of 2 zijn) heel weinig slaap hebben gehad tussen zondag en nu. Een paar van dit soort hacks en je bedrijf verliest de helft van z'n marktaandeel, dus ik denk dat Synology er wel degelijk bovenop zit. Dat de informatievoorziening wat achterloopt is daarin secundair.

Dit gezegd hebbende zal Synology niet zoveel zin hebben om dit qua berichtgeving groter te maken dan het is, want het is nou niet bepaald goede reclame.

[Cardinal]

Daarnaast zullen ze niet gelijk met allemaal statements komen voordat ze zeker weten waar het probleem ligt en of het opgelost kan worden. Nou vermoed ik dat de beveiliging en het herstellen van de Synologies nog wel goed komt, maar afhankelijk van de methode gebruikt om de bestanden te encrypten wordt het mogelijk lastiger.

[Barrybobslee]

Wat is nou het beste doen? Ik beheer namelijk zo'n 20 Nasjes. Allemaal op de laatste DSM 5.0 (update 3).

Uitschakelen tot nader bericht of de poorten sluiten?

[Mr_gadget]

Poorten sluiten, dan kan er niemand bij

Maar is het nou nog steeds niet duidelijk welke versies kwetsbaar zijn?
had een poging gedaan een tabelletje te maken een paar pagina's terug maar dat mislukte..

[emnich]

Farid. schreef op woensdag 06 augustus 2014 @ 09:10:
Wat is nou het beste doen? Ik beheer namelijk zo'n 20 Nasjes. Allemaal op de laatste DSM 5.0 (update 3).

Uitschakelen tot nader bericht of de poorten sluiten?

Volgens mij kan je ze gewoon weer aan doen. Stel je firewall goed in, onnodige poorten sluiten, toegang buiten NL verbieden, standaard poorten verwijderen, etc.

Als je dan nog iets doen als het cronjobje wat ik hierboven neerzetten dan ben je in elk geval snel op de hoogte als er toch iets gebeurt. Zodra je toch besmet wordt kan je ze dan snel uit zetten.

Vooralsnog lijkt het er toch op dat alleen oude versie besmet zijn.

[Razr]

Farid. schreef op woensdag 06 augustus 2014 @ 09:10:
Wat is nou het beste doen? Ik beheer namelijk zo'n 20 Nasjes. Allemaal op de laatste DSM 5.0 (update 3).

Uitschakelen tot nader bericht of de poorten sluiten?

Uitschakelen is altijd het beste. Maar je kunt beter even de laatste pagina's doorlezen en op basis daarvan je eigen conclusie trekken. Niemand kan (behalve uitzetten) nu iets garanderen wat 100% veilig is zolang de oorzaak niet bekend is.

Daarbij nog dat je NAS ook al geinfecteerd kan zijn.. Maar daar lees je ook genoeg over, incl. scripts om het betreffende proces te vinden.

[SpeedingWilly]

Managelorian schreef op woensdag 06 augustus 2014 @ 08:58:
Ik krijg het idee dat sommige mensen denken dat omdat ze weinig info van Synology krijgen, dat Synology niet hard genoeg aan het probleem trekt. Ik vermoed echter dat de mensen van Synology die dit probleem hebben toegewezen gekregen (en dat zullen er echt niet 1 of 2 zijn) heel weinig slaap hebben gehad tussen zondag en nu. Een paar van dit soort hacks en je bedrijf verliest de helft van z'n marktaandeel, dus ik denk dat Synology er wel degelijk bovenop zit. Dat de informatievoorziening wat achterloopt is daarin secundair.

Dit gezegd hebbende zal Synology niet zoveel zin hebben om dit qua berichtgeving groter te maken dan het is, want het is nou niet bepaald goede reclame.

Ik ben het helemaal met je eens! Ik kan uit eigen ervaring spreken dat de service en ondersteuning van Synology uitstekend is. Reken maar dat ze er nu erg druk mee zijn. Zodra ze resultaat geboekt hebben en een eventuele oplossing getest hebben en beschikbaar is komen ze echt wel met meer info.

Het zure aan dit hele verhaal is denk ik dat gebruikers met geïnfecteerde systemen hun geencrypte data kwijt zijn.

[beantherio]

Managelorian schreef op woensdag 06 augustus 2014 @ 08:58:
Ik krijg het idee dat sommige mensen denken dat omdat ze weinig info van Synology krijgen, dat Synology niet hard genoeg aan het probleem trekt.

Nee hoor: ik wil gewoon informatie. Als er een probleem is dan wil ik weten wat ik kan verwachten. Bij dit soort issues zou de aanpak altijd "maximale transparantie" moeten zijn, maar ik zie daar in dit geval weinig van.

[Verwijderd]

Razr schreef op woensdag 06 augustus 2014 @ 09:14:
[...]


Uitschakelen is altijd het beste. Maar je kunt beter even de laatste pagina's doorlezen en op basis daarvan je eigen conclusie trekken. Niemand kan (behalve uitzetten) nu iets garanderen wat 100% veilig is zolang de oorzaak niet bekend is.

Het is en zal nooit 100% veilig zijn. Dat is een utopie. Maar ik denk dat het risico minimaal is met een recente DSM 5.0.

---

beantherio schreef op woensdag 06 augustus 2014 @ 09:17:
[...]

Nee hoor: ik wil gewoon informatie. Als er een probleem is dan wil ik weten wat ik kan verwachten. Bij dit soort issues zou de aanpak altijd "maximale transparantie" moeten zijn, maar ik zie daar in dit geval weinig van.

Ja, nu weten we het wel. Je kan blijven jammeren maar het zal je niet helpen. Koop lekker een QNAP oid en ga daar in het topic vervelen als er daar een bug blijkt te zitten.

[ Voor 35% gewijzigd door Verwijderd op 06-08-2014 09:19 ]

[Timmeah]

Verwijderd schreef op woensdag 06 augustus 2014 @ 09:18:
[...]

Het is en zal nooit 100% veilig zijn. Dat is een utopie. Maar ik denk dat het risico minimaal is met een recente DSM 5.0.

---

[...]

Ja, nu weten we het wel. Je kan blijven jammeren maar het zal je niet helpen. Koop lekker een QNAP oid en ga daar in het topic vervelen als er daar een bug blijkt te zitten.

Ik hou de poorten even gesloten, zorg dat er DSM 5 op staat (of stond) en kijken op het proces synosync. Volgens mij kan je de boel dan wel weer aanzetten.

In de resourcemonitor van DSM kan je dit proces gewoon zien?

[Verwijderd]

SpeedingWilly schreef op woensdag 06 augustus 2014 @ 09:15:
Het zure aan dit hele verhaal is denk ik dat gebruikers met geïnfecteerde systemen hun geencrypte data kwijt zijn.

Hoe tegenstrijdig het ook klinkt, maar betalen is de beste optie. Die mafketels die dit gedaan hebben hebben er belang bij dat mensen de juiste keys krijgen. Als ze geen of verkeerde keys opsturen dan is dat in mum van tijd bekend en zal er niemand meer betalen. Tel daarbij op dat dit max een dag of 7 goed gaat, daarna zijn de bitcoin accounts wel uit het netwerk gebannen en zijn een NAS'en up to date.
Vandaar ook dat het opeens bij mensen misging en niet gelijdelijk, er moet in een relatief korte tijd veel geld verdiend worden.

Zo snel mogelijk betalen (nu kan het nog) en je gegevens veiligstellen op een andere disk buiten de NAS. Vervolgens je wonden likken en nadenken over een betere backup en beveiliging.

Klinkt tegenstrijdig zoals ik al zei en alles in mij roept dat ze die gasten gewoon aan een boom moeten hangen met een touw onder de oksels, maar als je aan je data gehecht bent dan is dat denk ik niet de beste oplossing.

[Managelorian]

beantherio schreef op woensdag 06 augustus 2014 @ 09:17:
[...]

Nee hoor: ik wil gewoon informatie. Als er een probleem is dan wil ik weten wat ik kan verwachten. Bij dit soort issues zou de aanpak altijd "maximale transparantie" moeten zijn, maar ik zie daar in dit geval weinig van.

Heb je zelf op het werk wel eens een crisis situatie gehad? Dan weet je dat het probleem oplossen belangrijker is dan statements de wereld in slingeren. Daarbij klinkt "maximale transparantie" wel leuk, maar je moet als bedrijf ook niet te eerlijk zijn, want dat zijn je concurrenten ook niet (en dus lijk jij slechter te presteren dan je concurrenten, simpelweg omdat jij vertelt wat er aan de hand is). Niet iedereen is een tweaker, er zijn legio mensen die bij teveel informatie-voorziening denken dat Synology z'n zaken niet goed op orde heeft.

[Managelorian]

Verwijderd schreef op woensdag 06 augustus 2014 @ 09:23:
[...]

Hoe tegenstrijdig het ook klinkt, maar betalen is de beste optie.

Absoluut! Heel idealistisch hoor om te roepen dat je criminelen niet moet betalen, maar als dit betekent dat je je foto's en video's van je kinderen kwijt bent, of belangrijke bedrijfsgegevens, dan krab je jezelf wel even achter de oren. Als er een echte gijzeling is (i.p.v. ransomware), dan zeg je toch ook niet "Hou mijn kinderen maar, want ik betaal nooit aan criminelen"?

[BaRF]

was die update nu ook al letterlijk gepost?

Synology has finished analyzing the exploit and confirmed which versions of DSM are vulnerable. The vulnerability in question was patched out of DSM in December of 2013, so only servers running significantly out of date versions of DSM appear to be affected.

In summary, DSM 5.0 is not vulnerable. Meanwhile DSM 4.x versions that predate the vulnerability fix – anything prior to 4.3-3827, 4.2.3243, or 4.0-2259 – are vulnerable to SynoLocker. For those systems that are running out of date DSM versions and have not been infected, then updating to the latest DSM version should close the hole.

As for systems that have been infected, Synology is still suggesting that owners shut down the device and contact the company for direct support.

[Njay]

Ik wil het bovenstaande eerst zeker horen synology dat dsm 5 niet vatbaar is ...

omdat er nog steeds users met 5 de hack rapporteren

[Speedfightserv]

Stranger__NL schreef op dinsdag 05 augustus 2014 @ 18:26:
[...]


Geef eens een mooi script (of andere extra's) die ik bij deze post neer kan zetten

code:

#!/bin/sh
value=`ps -w | grep [s]ynosync`

if [ ! -z $value ]
then
echo grote problemen
pkill synosync
/usr/syno/bin/synonotify UPSConnected
else
echo niets!
fi

Als je dit script elke minuut laat lopen via cron checkt hij of of het proces synosync actief is. is dit het geval killed hij het proces en stuurt hij dat de ups connected is (dit moet voor jou dan een trigger zijn dat er iets mis is)

[ Voor 20% gewijzigd door Speedfightserv op 06-08-2014 13:08 ]

[X-Kiwi]

Ik heb gisteren mijn 213J maar weer aan & online gezet. Extra poorten staan nu dicht, update van 5.0 #2 naar #3 uitgevoerd, rijtje met betere beveiliging uitgevoerd.

Misschien wat veel risico, maar er staan enkel heel veel films op, dus niets onvervangbaars.

[Appelpie3000]

Hier ook iemand die op DSM5 draait, laatste versie, meerdere poorten naar buiten open, maar hier geen problemen. Toch maar alle poorten op de router dicht gezet en gisteren alvast de firewall ingesteld voor wanneer ik de boel weer aan het internet knoop.

M'n vader in eerste instantie zijn NAS ook maar uit laten zetten. Gisteravond langsgegaan en eens gekeken of er schade was, dat was gelukkig niet het geval. Er stonden wrs geen poorten naar buiten open (inlognaam en wachtwoord van de router was niet meer bekend , dus de router maar een complete reset gegeven ) was nog wel DSM4.3 geïnstalleerd. Ook het beruchte synosync was niet actief. Uiteindelijk alles maar geupdate en dezelfde instellingen als thuis gebruikt.

Iets wat ik hier nog niet naar voren heb zien komen is het uitschakelen van UPNP in de router, die had ik al uit staan, zodat ik zelf in handen heb wat er in m'n router gebeurd. Als er dan een of ander script op je NAS runt, dan kan dat niet zomaar de boel wagenwijd open zetten met alle gevolgen van dien.

[RobV]

Ik denk niet dat het gerelateerd is., maar vannacht mijn allereerste warning ontvangen van mijn poort-blocker:



Ik draai DSM 5.0-4493.3, Alle poortjes zijn dicht behalve mail server en http-80, network backup en VPN.

[Verwijderd]

Njay schreef op woensdag 06 augustus 2014 @ 09:29:
Ik wil het bovenstaande eerst zeker horen synology dat dsm 5 niet vatbaar is ...

omdat er nog steeds users met 5 de hack rapporteren

Synology zegt: "In summary, DSM 5.0 is not vulnerable."

Wat moeten ze nog meer zeggen of doen? Moeten ze je kusjes op je hoofd geven of je auto wassen?

Die users met hun DMS 5.0: Synology heeft al gezegd dat die mensen geupgrade hebben NA de hack. Dat is hetzelfde als pillen tegen malaria gaan nemen terwijl je het al hebt. Je kan gevoegelijk aannemen dat als je nu nu DSM 5.0 update 3 hebt en geen problemen dat je veilig bent. Nooit 100%, maar dat was je voorheen niet en zal je nooit worden.

Kunnen we die paniekdiscussie nu afsluiten?

[Njay]

Ze mogen altijd even mijn auto wassen ...

[Managelorian]

Wat mij betreft is het voor niet geinfecteerde mensen nu inderdaad case closed, d.w.z. zodra ik van Synology zelf het bovenstaande statement heb gezien. Heeft iemand een link naar het statement van Synology zoals gepost door BaRF?

[Paulus07]

deze maand maar weer eens de externe hdd eraan hangen voor de foto's backup. Nadeel is dat dit altijd zo takke lang duurt

[aap]

Ik durf het ook weer aan: heb gisteravond de poorten die ik gebruik (80, 5001, 5006) weer opengezet op mijn NAS. Ik draaide 5.0 met update 3 en al 5.0 vanaf de dag dat het gereleased was.

Ik heb wel de Synology firewall zo ingesteld dat hij alleen connecties vanuit NL accepteert en de limieten voor "autoblock" wat strakker gezet. Hoewel ik eerlijk gezegd het idee krijg dat de aanval niet via de login-processen ging. Sinds ik poort 22 dichtgegooid heb - in februari - zijn er geen nieuwe IPs meer toegevoegd geworden aan de zwarte lijst, dus blijkbaar zijn er ook geen (gelogde) pogingen tot inbraak gedaan op mijn Synology.

Mocht er echt nog iets fout gaan, dan heb ik nog een backup van een paar maanden geleden op een USB HD.

[le dj]

Paulus07 schreef op woensdag 06 augustus 2014 @ 09:47:
deze maand maar weer eens de externe hdd eraan hangen voor de foto's backup. Nadeel is dat dit altijd zo takke lang duurt

incrementele backup

[Andre_J]

Klein beetje off-topic,

maar kan je autoblock opheffen ook op uren ipv dagen zetten ?

[emnich]

Andre_J schreef op woensdag 06 augustus 2014 @ 09:51:
Klein beetje off-topic,

maar kan je autoblock opheffen ook op uren ipv dagen zetten ?

Probeer het eens 0.5 of 0.1 zie je vanzelf of ie dat pakt.

[Speedfightserv]

Verwijderd schreef op woensdag 06 augustus 2014 @ 09:38:
[...]

Synology zegt: "In summary, DSM 5.0 is not vulnerable."

Wat moeten ze nog meer zeggen of doen? Moeten ze je kusjes op je hoofd geven of je auto wassen?

Die users met hun DMS 5.0: Synology heeft al gezegd dat die mensen geupgrade hebben NA de hack. Dat is hetzelfde als pillen tegen malaria gaan nemen terwijl je het al hebt. Je kan gevoegelijk aannemen dat als je nu nu DSM 5.0 update 3 hebt en geen problemen dat je veilig bent. Nooit 100%, maar dat was je voorheen niet en zal je nooit worden.

Kunnen we die paniekdiscussie nu afsluiten?

Nee,

dat kunnen we helaas niet. Aangezien er hier iemand gemeld heeft die geen upgrade heeft uitgevoerd en van scratch af DSM 5.0 geïnstalleerd heeft.

DaaNium in "Synology NAS besmet met ransomware synolocker"

[ Voor 5% gewijzigd door Speedfightserv op 06-08-2014 09:55 ]

[Njay]

ik ga er ook vanuit dat synology een fix uitbrengt wat zo ie zo voorkomt dat het proces zich kan installeren of iets dergelijks ook voor DSM 5

[Paling1]

Wat ik tot nu toe een beetje mis in alle adviezen over het weer on-line brengen van je NAS is het veranderen van je password.
Het lijkt er voor mij op dat de paswords van de nu geinfecteerde NASsen al voordat de heartbleed fix erop is gezet zijn gestolen.
Daarna is het toch niet meer zo belangrijk welke versie van DSM je erop hebt staan als je password nog steeds hetzelfde is?

Ik heb zelf 3 NASsen (met DSM5u3) in beheer, en die heb ik tijdelijk offline gezet. Voordat die weer aan het internet gaan, zal ik in ieder geval alle passwords aanpassen.

[golles]

Paulus07, misschien vind je dit handig: http://www.synology-forum...d-party-packages/autorun/
Ik gebruik het zelf met 2 externe schijfen, als ik 1 van de 2 aansluit begint hij automatisch met een backup maken van de belangrijke bestanden, ik hoef er zelf niet meer naar omkijken. Dat schijfje bewaar ik dan offsite (ouders) en de andere schijf neem ik dan weer mee naar huis voor de volgende backup.

Bedankt allemaal voor de tip om de beveiliging van mijn NAS nog strakker te zetten.

[poehee]

Kunnen we die paniekdiscussie nu afsluiten?

Belerend. Je kunt ook gewoon andere dingen gaan doen als je hier klaar bent.

[Timmeah]

Heeft het overigens zin om je firewall in de DSM in te stellen, als je router(firewall) al niks doorlaat?

[beantherio]

Verwijderd schreef op woensdag 06 augustus 2014 @ 09:38:
[...]

Synology zegt: "In summary, DSM 5.0 is not vulnerable."

Wat moeten ze nog meer zeggen of doen? Moeten ze je kusjes op je hoofd geven of je auto wassen?

Die users met hun DMS 5.0: Synology heeft al gezegd dat die mensen geupgrade hebben NA de hack. Dat is hetzelfde als pillen tegen malaria gaan nemen terwijl je het al hebt. Je kan gevoegelijk aannemen dat als je nu nu DSM 5.0 update 3 hebt en geen problemen dat je veilig bent. Nooit 100%, maar dat was je voorheen niet en zal je nooit worden.

Kunnen we die paniekdiscussie nu afsluiten?

Nee, want de beschreven gevallen van geinfecteerde 5.0-systemen geven geen duidelijkheid over hoe ze geraakt zijn. Sowieso weten we nog steeds niet wat de precieze route is die men genomen heeft bij het hacken van 4.3-systemen: Synology verwijst enkel naar gedichte leaks zonder toe te lichten hoe daar bij deze hack gebruik van is gemaakt. Er ontbreekt nog heel veel informatie.

Ik snap de hele benadering van "move along nothing to see here" trouwens niet zo. Als je de veiligheid van je systemen hoog in het vaandel hebt staan dan moet je daar toch geen genoegen mee nemen? Zoals je zelf zegt is niets 100% veilig en dus moet je weten waar kwetsbaarheden liggen.

[emnich]

beantherio schreef op woensdag 06 augustus 2014 @ 09:58:
[...]

Nee, want de beschreven gevallen van geinfecteerde 5.0-systemen geven geen duidelijkheid over hoe ze geraakt zijn. Sowieso weten we nog steeds niet wat de precieze route is die men genomen heeft bij het hacken van 4.3-systemen: Synology verwijst enkel naar gedichte leaks zonder toe te lichten hoe daar bij deze hack gebruik van is gemaakt. Er ontbreekt nog heel veel informatie.

Als er gebruik is gemaakt van het in december gedichte lek dan weten we het wel. Er zat een lek in waardoor er code uitgevoerd kon worden vanaf het inlog scherm o.i.d. Als je het echt wil weten moet je even naar de change log kijken van dat lek.

Het enige interessante vindt ik nog de case van degene die hier claimde dat zijn DSM 5 ook gehackt was terwijl er nooit DSM 4.3 op gestaan had. Ik kan me haast niet voorstellen dat Synology met zo'n statement komt als ze dit niet zeker weten.

[Managelorian]

Tegenstellende berichtgeving: Synology zegt dat DSM 5.x veilig is, terwijl op dit forum er 1 gebruiker is die aangeeft besmet te zijn zonder ooit versie 4.x te hebben gedraaid. Ik heb de wijsheid niet in pacht, maar als ik er m'n geld op moest inzetten, dan zou ik er op vertrouwen dat Synology gelijk heeft. Het is een groot bedrijf met heel veel te verliezen en als zij zo'n boude stelling poneren ("In summary, DSM 5.0 is not vulnerable."), dan denk ik dat ze het zeker weten.

Ik ben nog steeds benieuwd of iemand mij van een link kan voorzien van een officiele Synology bron waarin bovenstaand statement staat.

[ Voor 12% gewijzigd door Managelorian op 06-08-2014 10:08 ]

[Verwijderd]

Speedfightserv schreef op woensdag 06 augustus 2014 @ 09:54:
[...]


Nee,

dat kunnen we helaas niet. Aangezien er hier iemand gemeld heeft die geen upgrade heeft uitgevoerd en van scratch af DSM 5.0 geïnstalleerd heeft.

DaaNium in "Synology NAS besmet met ransomware synolocker"

1 user. Niet dat ik twijfel aan DaaNium zijn woorden, maar dit betreft blijkbaar 1 user op het hele totaal. En daar moet ik dan meer op bouwen dan op wat Synology met miljoenen users zegt? Sorry, maar dan kies ik in dit geval voor Synology.

[Viper®]

Synology is nog met een onderzoek bezig, zonder extra informatie is hier gewoon niks over te zeggen.

Wij weten namelijk niet wanneer mensen geïnfecteerd zijn, hoe en wanneer ze geupgrade hebben naar 5.0. Zonder dat soort gegevens is gewoon niet te zeggen, met DSM5 zit je veilig.
We kunnen alleen zeggen dat je veilig bent als hij niet verbonden is met internet of uit staat. Zolang je niet al geïnfecteerd bent that is.

[Verwijderd]

beantherio schreef op woensdag 06 augustus 2014 @ 09:58:
[...]

Nee, want de beschreven gevallen van geinfecteerde 5.0-systemen geven geen duidelijkheid over hoe ze geraakt zijn. Sowieso weten we nog steeds niet wat de precieze route is die men genomen heeft bij het hacken van 4.3-systemen: Synology verwijst enkel naar gedichte leaks zonder toe te lichten hoe daar bij deze hack gebruik van is gemaakt. Er ontbreekt nog heel veel informatie.

Nee hoor, er is meer dan voldoende informatie. Het is gebeurd met een lek wat in december 2013 gedicht is.

Ik snap de hele benadering van "move along nothing to see here" trouwens niet zo. Als je de veiligheid van je systemen hoog in het vaandel hebt staan dan moet je daar toch geen genoegen mee nemen? Zoals je zelf zegt is niets 100% veilig en dus moet je weten waar kwetsbaarheden liggen.

Omdat er een groot verschil is tussen veiligheid en paranoia. In het tweede geval moet je gewoon je NAS uitzetten en nooit meer aan, dan is de data behoorlijk veilig (nog steeds niet 100%, denk aan brand).

Je kan je NAS veilig aanzetten in mijn ogen als aan de volgende voorwaarden voldoet:
A) DSM 5.0 Update 3 hebt
Zoveel mogelijk poorten dicht voor buiten, maar in ieder geval 5000 dicht. Ideaal is enkel VPN open.
C) Op regelmatige basis checken of je up to date bent (zowel via software als op de Synology site)

Hoewel je dat geen garantie voor de toekomst geeft is het in ieder geval mbt de huidige situatie afdoende en veilig.

---

poehee schreef op woensdag 06 augustus 2014 @ 09:58:
[...]


Belerend. Je kunt ook gewoon andere dingen gaan doen als je hier klaar bent.

Bedankt voor je inhoudelijke reactie. Daar hebben we allemaal wat aan

[ Voor 13% gewijzigd door Verwijderd op 06-08-2014 10:20 ]

[Hari-Bo]

Even een vraag over de Synology firewall ivm security, als ik een deny all ports en all sources rule toevoeg en een regel met alleen allow van het locale subnet. Overruled deny alles (zoals Windows rechten) of overrulled en specifieke regel deze?

[Speedfightserv]

Verwijderd schreef op woensdag 06 augustus 2014 @ 10:12:
[...]

1 user. Niet dat ik twijfel aan DaaNium zijn woorden, maar dit betreft blijkbaar 1 user op het hele totaal. En daar moet ik dan meer op bouwen dan op wat Synology met miljoenen users zegt? Sorry, maar dan kies ik in dit geval voor Synology.

Dit is 1 user die we hier op tweakers zijn tegengekomen.

De rest zal je niet snel horen...(wereldwijd gezien)

Synology heeft zelf aangegeven dat mensen die op DSM 5.0 zitten zich direct moeten melden als het van scratch af geïnstalleerd is . Dit doen ze niet voor niets...

[Verwijderd]

Speedfightserv schreef op woensdag 06 augustus 2014 @ 10:20:
[...]


Dit is 1 user die we hier op tweakers zijn tegengekomen.

De rest zal je niet snel horen...(wereldwijd gezien)

Synology heeft zelf aangegeven dat mensen die op DSM 5.0 zitten zich direct moeten melden als het van scratch af geïnstalleerd is . Dit doen ze niet voor niets...

[afbeelding]

Als Synology zoveel users had gehad met geinfecteerde 5.0 (dus niet via eerdere versies) dan hadden ze een ander advies uitgegeven. Je kan er vanuit gaan dat het dus niet het geval is. Anders zouden ze hun eigen graf graven als ze bewust zouden liegen.

Uiteraard vragen ze of users zich dan willen melden, mochten ze onverhoopt iets over het hoofd hebben gezien dan is het belangrijk dat ze op de hoogte gebracht worden. Net als van elk ander lek.

Ik begrijp niet dat je zo bang bent als je paranoia bent, ik mag toch hopen dat je alle poorten dan al dicht had staan en volledig dichtgetimmerd was?

[ Voor 18% gewijzigd door Verwijderd op 06-08-2014 10:22 ]

[Orion84]

Speedfightserv schreef op woensdag 06 augustus 2014 @ 09:54:
[...]
Nee,

dat kunnen we helaas niet. Aangezien er hier iemand gemeld heeft die geen upgrade heeft uitgevoerd en van scratch af DSM 5.0 geïnstalleerd heeft.

DaaNium in "Synology NAS besmet met ransomware synolocker"

Ik vraag me af hoe iemand zo stellig kan zijn over de versie, als synolocker je totaal de toegang tot DSM ontzegt.

Maar ik ben er ook nog niet bepaald gerust op dat DSM 5 inderdaad niet getroffen is.

[Speedfightserv]

Verwijderd schreef op woensdag 06 augustus 2014 @ 10:21:
[...]

Als Synology zoveel users had gehad met geinfecteerde 5.0 (dus niet via eerdere versies) dan hadden ze een ander advies uitgegeven. Je kan er vanuit gaan dat het dus niet het geval is. Anders zouden ze hun eigen graf graven als ze bewust zouden liegen.

Uiteraard vragen ze of users zich dan willen melden, mochten ze onverhoopt iets over het hoofd hebben gezien dan is het belangrijk dat ze op de hoogte gebracht worden. Net als van elk ander lek.

Ik begrijp niet dat je zo bang bent als je paranoia bent, ik mag toch hopen dat je alle poorten dan al dicht had staan en volledig dichtgetimmerd was?

ik kan me voorstellen dat ze daar niet snel de resources voor hebben om alle gevallen te onderzoeken. Daarin tegen heb je nog 90 % van de users die totaal geen kaas hebben gegeten van IT.


Reactie van Synology:

So far, we have several DSM 5.0 cases diagnosed. They actually upgraded to DSM 5.0 RECENTLY after it was infected. We can tell that because we know when it's upgraded, and we know when the SynoLocker software was inserted into their system.

But still, it has chance that we missed some special issues in DSM 5.0. So please please strongly encouraged those DSM 5.0 users to send the ticket to our support.

[ Voor 85% gewijzigd door Speedfightserv op 06-08-2014 10:26 ]

[Puc van S.]

Hari-Bo schreef op woensdag 06 augustus 2014 @ 10:19:
Even een vraag over de Synology firewall ivm security, als ik een deny all ports en all sources rule toevoeg en een regel met alleen allow van het locale subnet. Overruled deny alles (zoals Windows rechten) of overrulled en specifieke regel deze?

Specifieke regels met allow overrulen inderdaad de deny regels.

Overigens kan je beter alleen de allow toevoegen en onderin het firewall scherm van de synology de radiobutton op deny all non matched rules zetten.

Wat je echter bedoeld met windows rechten zou ik zo niet weten? het gaat namelijk over de synology firewall?

[beantherio]

Verwijderd schreef op woensdag 06 augustus 2014 @ 10:17:
[...]

Nee hoor, er is meer dan voldoende informatie. Het is gebeurd met een lek wat in december 2013 gedicht is.

Nee, er is niet voldoende informatie: het feit dat ik het zeg maakt dat al duidelijk. En in mijn vorige reactie heb ik al aangegeven waarom het puur verwijzen naar die eerdere gaten niet voldoende is.

Omdat er een groot verschil is tussen veiligheid en paranoia. In het tweede geval moet je gewoon je NAS uitzetten en nooit meer aan, dan is de data behoorlijk veilig (nog steeds niet 100%, denk aan brand).

Waarom wil je niet serieus discussieren? Ik begrijp wel dat m.b.t. veiligheid niet iedereen er op dezelfde manier in zit, maar dan hoef je anderen toch niet te kleineren? Heeft het ermee te maken dat men aan je favoriete merk komt of zo?

[Verwijderd]

Puc van S. schreef op woensdag 06 augustus 2014 @ 10:24:
[...]
Wat je echter bedoeld met windows rechten zou ik zo niet weten? het gaat namelijk over de synology firewall?

Hij bedoeld dat in Windows een deny altijd voorrang heeft op een allow.

[NiGeLaToR]

DSM update notificaties zie ik niet bij e-mail of push alerts staan - is er een mogelijkheid dat ik een berichtje krijg als ik moet updaten?

[Hari-Bo]

Puc van S. schreef op woensdag 06 augustus 2014 @ 10:24:
[...]


Specifieke regels met allow overrulen inderdaad de deny regels.

Overigens kan je beter alleen de allow toevoegen en onderin het firewall scherm van de synology de radiobutton op deny all non matched rules zetten.

Wat je echter bedoeld met windows rechten zou ik zo niet weten? het gaat namelijk over de synology firewall?

Dan ga ik deze doorvoeren, waarom ik het Windows voorbeeld erbij haal is dat daar deny altijd allow overruled en niet de specifieke rule ik wil geen risico lopen dat ik mezelf uitsluit vandaar dat ik deze vraag voor de zekerheid stel.

Puc van S. schreef op woensdag 06 augustus 2014 @ 10:29:
[...]


Ah ok, ik dacht dat je bedoelde of windows instellingen de synology instellingen konden overrulen.

Zolang je sowiezo zorgt dat je allow regel bovenaan in de lijst staat maakt het niet uit of je een deny all regel toevoegt of de radiobutton onderaan op deny all zet.

Sowiezo geeft DSM als het goed is een melding als je jezelf buiten zou sluiten.

Die optie is inderdaad ideaal heb nu een allow all op het locale subnet en if no rule matched op deny staan, nu staat deze dicht voor de rest van de wereld tenzij ik specifieke rules toevoeg.

[ Voor 32% gewijzigd door Hari-Bo op 06-08-2014 10:30 ]

[Speedfightserv]

nog een keer de reactie van Synology uit dit forum topic:

So far, we have several DSM 5.0 cases diagnosed. They actually upgraded to DSM 5.0 RECENTLY after it was infected. We can tell that because we know when it's upgraded, and we know when the SynoLocker software was inserted into their system.

But still, it has chance that we missed some special issues in DSM 5.0. So please please strongly encouraged those DSM 5.0 users to send the ticket to our support.

[Puc van S.]

Hari-Bo schreef op woensdag 06 augustus 2014 @ 10:27:
[...]


Dan ga ik deze doorvoeren, waarom ik het Windows voorbeeld erbij haal is dat daar deny altijd allow overruled en niet de specifieke rule ik wil geen risico lopen dat ik mezelf uitsluit vandaar dat ik deze vraag voor de zekerheid stel.

Ah ok, ik dacht dat je bedoelde of windows instellingen de synology instellingen konden overrulen.

Zolang je sowiezo zorgt dat je allow regel bovenaan in de lijst staat maakt het niet uit of je een deny all regel toevoegt of de radiobutton onderaan op deny all zet.

Sowieso geeft DSM als het goed is een melding als je jezelf buiten zou sluiten.

[BaRF]

beantherio schreef op woensdag 06 augustus 2014 @ 10:25:
[...]

Nee, er is niet voldoende informatie: het feit dat ik het zeg maakt dat al duidelijk.

[...]

Dat komt wel een beetje arrogant over hoor, als JIJ het niet weet, dan zal het wel niet duidelijk gemaakt zijn?

Als ik niet weet hoe ik het beste bijen kan houden, wil dat nog niet zeggen dat die info niet beschikbaar is

[emnich]

Speedfightserv schreef op woensdag 06 augustus 2014 @ 10:20:
[...]


Dit is 1 user die we hier op tweakers zijn tegengekomen.

De rest zal je niet snel horen...(wereldwijd gezien)

Synology heeft zelf aangegeven dat mensen die op DSM 5.0 zitten zich direct moeten melden als het van scratch af geïnstalleerd is . Dit doen ze niet voor niets...

Natuurlijk doen ze dat niet voor niets omdat ze niets willen uitsluiten. Je kan ook niet 100% uitsluiten dat DSM 5 veilig is maar Synology zal een beter inzicht hebben in de getroffen systemen dan wij. Zij claimen dat DSM 5 vooralsnog niet kwetsbaar is, waarom zouden we daar aan moeten twijfelen? Wat zou de reden voor Synology zijn om dit te beweren terwijl ze zouden weten dat het niet waar is?

[DukeBox]

NiGeLaToR schreef op woensdag 06 augustus 2014 @ 10:26:
DSM update notificaties zie ik niet bij e-mail of push alerts staan - is er een mogelijkheid dat ik een berichtje krijg als ik moet updaten?

Out of the box krijg je na het instellen van je smtp server automatisch mail wanneer de update beschikbaar is voor downloaden én wanneer deze klaar staat om te installeren.

[Verwijderd]

beantherio schreef op woensdag 06 augustus 2014 @ 10:25:
[...]

Nee, er is niet voldoende informatie: het feit dat ik het zeg maakt dat al duidelijk. En in mijn vorige reactie heb ik al aangegeven waarom het puur verwijzen naar die eerdere gaten niet voldoende is.

En waarom zou jij de maatstaf zijn? Omdat jij blijft herhalen is het ineens feit?

Waarom wil je niet serieus discussieren? Ik begrijp wel dat m.b.t. veiligheid niet iedereen er op dezelfde manier in zit, maar dan hoef je anderen toch niet te kleineren? Heeft het ermee te maken dat men aan je favoriete merk komt of zo?

Er valt niks te discusseren. Jij blijft op de repeat stand staan terwijl je al talloze keren gewezen bent op het statement van Synology waarin staat dat alles na december 2013 veilig is en dat het komt door een bug die toen opgelost is. Meer informatie is er niet en zal er wat dat betreft ook nooit komen. Enige wat je misschien nog zal horen is over een paar dagen/weken dat het via een bepaald stukje software gekomen is.

Of het een favoriet merk is doet niet ter zake, ik vind Synology overigens een prima merk als je dat graag wil weten.

Maar je kan wel blijven doorhameren over je informatie, je schiet er niets mee op. Koop dan lekker een QNAP en kom over een paar maanden melden dat daar QNAPLocker op draait. En dan koop je dan lekker een WD en kom je over een jaar melden over WDLocker.

Je schiet, in mijn ogen, tever door. En je blijft herhalen en paniek zaaien. En dat is nergens voor nodig en nergens op gebaseerd. Zeker niet omdat je met geen enkel nieuw feit komt. Ik heb, op 1 user hier na, niemand gehoord met DSM 5 die geinfecteerd is geraakt. Niet alleen hier niet, helemaal nergens. Enige wat ik gehoord heb ik een statement van Synology dat DSM 5.0 veilig is voor wat betreft dit lek.

---

emnich schreef op woensdag 06 augustus 2014 @ 10:33:
Wat zou de reden voor Synology zijn om dit te beweren terwijl ze zouden weten dat het niet waar is?

Is er niet, daarom is het herhalen en blijven hameren op zoiets compleet zinloos.

---

Orion84 schreef op woensdag 06 augustus 2014 @ 10:22:
Maar ik ben er ook nog niet bepaald gerust op dat DSM 5 inderdaad niet getroffen is.

En waarom niet? Welk bewijs heb je dat DSM 5.0 kwetsbaar zou zijn voor dit lek? Enkel mensen die te laat hebben geupdate zijn getroffen volgens de berichtgeving. En ik heb nergens bewijs gezien nog dat dat niet zo is (ene user hier daargelaten).

[ Voor 23% gewijzigd door Verwijderd op 06-08-2014 10:39 ]

[NiGeLaToR]

DukeBox schreef op woensdag 06 augustus 2014 @ 10:33:
[...]

Out of the box krijg je na het instellen van je smtp server automatisch mail wanneer de update beschikbaar is voor downloaden én wanneer deze klaar staat om te installeren.

Top, dank je. Dat had ik inmiddels weer geïnstalleerd etc, dus dan krijg ik die van zelf.

Ben ook tevreden over het Syno info app'je, die stuurt netjes pushmeldingen naar mijn telefoon.

[DaaNium]

Orion84 schreef op woensdag 06 augustus 2014 @ 10:22:
[...]
Ik vraag me af hoe iemand zo stellig kan zijn over de versie, als synolocker je totaal de toegang tot DSM ontzegt.

Maar ik ben er ook nog niet bepaald gerust op dat DSM 5 inderdaad niet getroffen is.

Nou, ik kan nogal stellig zijn hierover.
Ik zal ook uitleggen waarom.
De NAS is gekocht door mijn buurman, bij mij.
Ik heb hem toen geholpen om de NAS gebruiksklaar te maken.
Er kwamen verse schijven in de nieuwe NAS, dus er zat nog geen DSM op.
Toen we 'm gingen installeren, was DSM 5 beschikbaar, dus die hebben we er toen ook op gezet.

Kleine, maar wellicht belangrijke kanttekening:
We hadden géén update achter de 4493 versie (inmiddels zitten we op update 3)

[robertwebbe]

Heb je wellicht nog package geïnstalleerd die niet van Synology zelf zijn? Zo ja, welke?

[Verwijderd]

Mijn relatie heeft enige tijd geleden een DS212, met DSM 4.0-2219 geinstalleerd. Verder geen back-up systeem, en geen system updates. Afgelopen week heeft Synolocker 3 dagen de tijd gehad om de files te encrypten.

Kan iemand ons adviseren over het volgende :

1. Betalen lijkt me volledig zinloos. Ik heb nog nergens een bericht gezien dat dit een oplossing is. Juist ?
2. Zou Synology mogelijk binnen een afzienbare termijn nog met een oplossing kunnen komen, of moeten we maar een project opstarten om te proberen alle data opnieuw weer op te bouwen ?
3. Nog verdere tips (naast uiteraard een nieuw degelijk file storage- en back-up systeem) ?

[NiGeLaToR]

Overigens is het ook een aanname dat het alleen een bug uit een oudere versie is - wellicht was je wachtwoord tijdelijk 1234 en kostte het een rondbrowsende bot ongeveer 0,3 seconden om dat te raden. Het een heeft niet per se met het ander te maken en het is ook niet uitgesloten dat zo'n auto-hacking bot niet op meer dan 1 manier tracht binnen te komen. Ook daarin is het speculeren. Wat zegt Synology er van? Ik neem aan dat die inmiddels toegang tot je systeem hebben (gevraagd) en aan het analyseren zijn?

[beantherio]

Verwijderd schreef op woensdag 06 augustus 2014 @ 10:33:
[...]

En waarom zou jij de maatstaf zijn? Omdat jij blijft herhalen is het ineens feit?


[...]

Er valt niks te discusseren. Jij blijft op de repeat stand staan terwijl je al talloze keren gewezen bent op het statement van Synology waarin staat dat alles na december 2013 veilig is en dat het komt door een bug die toen opgelost is. Meer informatie is er niet en zal er wat dat betreft ook nooit komen. Enige wat je misschien nog zal horen is over een paar dagen/weken dat het via een bepaald stukje software gekomen is.

Of het een favoriet merk is doet niet ter zake, ik vind Synology overigens een prima merk als je dat graag wil weten.

Maar je kan wel blijven doorhameren over je informatie, je schiet er niets mee op. Koop dan lekker een QNAP en kom over een paar maanden melden dat daar QNAPLocker op draait. En dan koop je dan lekker een WD en kom je over een jaar melden over WDLocker.

Je schiet, in mijn ogen, tever door. En je blijft herhalen en paniek zaaien. En dat is nergens voor nodig en nergens op gebaseerd. Zeker niet omdat je met geen enkel nieuw feit komt. Ik heb, op 1 user hier na, niemand gehoord met DSM 5 die geinfecteerd is geraakt. Niet alleen hier niet, helemaal nergens. Enige wat ik gehoord heb ik een statement van Synology dat DSM 5.0 veilig is voor wat betreft dit lek.

Het is me inmiddels wel duidelijk wat jouw benadering is: "denk maar niet na want Synology zegt dat het goed is". Je bent duidelijk een soort "Synology-fanboy" (nooit geweten dat dit bestond) en daarmee is je mening niet serieus te nemen. Maar als je op een meer professioneel niveau bezig bent met veiligheid dan kom je met die benadering niet weg.

[Viper®]

DaaNium schreef op woensdag 06 augustus 2014 @ 10:43:
[...]

Nou, ik kan nogal stellig zijn hierover.
Ik zal ook uitleggen waarom.
De NAS is gekocht door mijn buurman, bij mij.
Ik heb hem toen geholpen om de NAS gebruiksklaar te maken.
Er kwamen verse schijven in de nieuwe NAS, dus er zat nog geen DSM op.
Toen we 'm gingen installeren, was DSM 5 beschikbaar, dus die hebben we er toen ook op gezet.

Kleine, maar wellicht belangrijke kanttekening:
We hadden géén update achter de 4493 versie (inmiddels zitten we op update 3)

Dan mis je iig deze

Version: 5.0-4493 Update 1

(2014/06/11)

Fixed Issues
1.Upgraded OpenSSL to Version 1.0.1h to fix several security issues. (CVE-2014-0224, CVE-2014-0221, CVE-2014-0195, CVE-2014-0198, CVE-2010-5298, and CVE-2014-3470)