Synology NAS besmet met ransomware synolocker

[DaaNium]

Fake pat inderdaad, sorry, dan heb ik het verkeerd begrepen.
Ik dacht dat de DSM versie geladen werd vanuit de HDD

[Verwijderd]

DaaNium schreef op woensdag 06 augustus 2014 @ 14:55:
Fake pat inderdaad, sorry, dan heb ik het verkeerd begrepen.
Ik dacht dat de DSM versie geladen werd vanuit de HDD

Ja, en daar staat nu een halfbakken fake versie op Ik vermoed dat de .pat die de geinfecteerde mensen moesten laden 3 dingen deed:
1. synosync stoppen en blokkeren
2. kwetsbaarheid dichten
3. toegang voor Synology openzetten

Denk niet dat je met deze .pat geinstalleerd veel kan verder, zal wel een uitgeklede versie zijn die ze in noodsituaties gebruiken bij niet meer werkende NAS'sen en toevaliggerwijs nu ook konden gebruiken. Het is ook een versie zonder update 3 zo te zien, waarschijnlijk snel van stal gehaald deze week

[Verwijderd]

Avenger 2.0 schreef op woensdag 06 augustus 2014 @ 14:43:
[...]

Je synology maakt een verbinding met de relay server. Er wordt dus aan jouw zijde toch geen inkomende poort geopend dan?

Jawel. Maar dat is vrij normaal. Een sessie die van binnenuit geopend wordt, maakt dataverkeer in 2 richtingen mogelijk. Anders zou een webserver zijn antwoord op jouw verzoek nooit naar jou terug kunnen sturen. Daar moet toch een poort voor open. Jouw router bekijkt source- en destination ports (en IP adressen) van alle uitgaande pakketjes en zorgt ervoor, dat verkeer in omgekeerde richting ook tijdelijk doorgelaten wordt.

Zoek maar eens op "hole punching", want dat is eigenlijk wat een relay service als Quick Connect doet.

[Verwijderd]

Verwijderd schreef op woensdag 06 augustus 2014 @ 14:58:
[...]

Jawel. Maar dat is vrij normaal. Een sessie die van binnenuit geopend wordt, maakt dataverkeer in 2 richtingen mogelijk. Anders zou een webserver zijn antwoord op jouw verzoek nooit naar jou terug kunnen sturen. Daar moet toch een poort voor open. Jouw router bekijkt source- en destination ports (en IP adressen) van alle uitgaande pakketjes en zorgt ervoor, dat verkeer in omgekeerde richting ook tijdelijk doorgelaten wordt.

Zoek maar eens op "hole punching", want dat is eigenlijk wat een relay service als Quick Connect doet.

Ik vind dat Quick Connect enger dan poort 5000 openzetten in je eigen router. Dan heb je tenminste zelf nog controle over het een of ander.

GC was (samen met de DDNS) ook opeens plat gistermorgen overigens

[Avenger 2.0]

Verwijderd schreef op woensdag 06 augustus 2014 @ 14:58:
[...]

Jawel. Maar dat is vrij normaal. Een sessie die van binnenuit geopend wordt, maakt dataverkeer in 2 richtingen mogelijk. Anders zou een webserver zijn antwoord op jouw verzoek nooit naar jou terug kunnen sturen. Daar moet toch een poort voor open. Jouw router bekijkt source- en destination ports (en IP adressen) van alle uitgaande pakketjes en zorgt ervoor, dat verkeer in omgekeerde richting ook tijdelijk doorgelaten wordt.

Zoek maar eens op "hole punching", want dat is eigenlijk wat een relay service als Quick Connect doet.

Wordt er dan niet eerst authenticatie gedaan voordat dit alles gebeurt? Dan heb ik de werking van Quick connect mis begrepen.

[Termin8r]

Leejow(saait) schreef op woensdag 06 augustus 2014 @ 14:30:
Wellicht een idee om een post te wijden aan tips tav de beveiliging van (synology) NAS'en?

Hoeveel verder moet zo'n post gaan dan dit?

http://www.synology.com/nl-nl/support/tutorials/478

[Tiestor]

Avenger 2.0 schreef op woensdag 06 augustus 2014 @ 15:03:
[...]


Wordt er dan niet eerst authenticatie gedaan voordat dit alles gebeurt? Dan heb ik de werking van Quick connect mis begrepen.

Jawel, maar als ze die gegevens ten tijden van heartbleed buit hebben gemaakt ben je via QC nogal snel het haasje volgens mij

[Goner]

DaaNium schreef op woensdag 06 augustus 2014 @ 14:19:
Als je de NAS gaat setuppen, download die toch standaard de laatste firmware?

Voor zover ik me kan herinneren, moet je zelf bij de 1e install aangeven waar de firmware staat, dus óf de op CD bijgeleverde versie óf een door jouzelf gedownloade versie.

[The Eagle]

Zojuist DSM 5.0 gedownload, vanavond even installeren.
Bron: http://www.synology.com/e...d/DS213#download_tabs_dsm (en dan de global uiteraard).

Eigenlijk wil ik de updates (http://ukdl.synology.com/...iticalupdate/update_pack/) ook offline doen. Moet ik dan de 3 updates los hebben (4493-1, 4493-2, 4493-3) allemaal los doen, of kan ik volstaan met alleen de laatste 4493-3?

[Verwijderd]

Avenger 2.0 schreef op woensdag 06 augustus 2014 @ 15:03:
[...]


Wordt er dan niet eerst authenticatie gedaan voordat dit alles gebeurt? Dan heb ik de werking van Quick connect mis begrepen.

Authenticatie gebeurt op je DS. Je krijgt via QuickConnect direct toegang tot DSM.

[Aardwolf]

Cyberpope schreef op woensdag 06 augustus 2014 @ 14:37:
[...]

een leuk topic met als inhoud "hoe beveilig ik mijn Synoglogy-nas zo maximaal mogelijk, zonder te veel comfort in te leveren" zou een leuke aanvulling zijn op de reeds bestaande topic's. Gezien mijn kennis kan ik er op dit moment niet te veel aan bijdragen

Daar ben ik het mee eens. Zou voor mij ook een waardevolle toevoeging zijn en ik denk wel voor velen. Niet iedereen op Tweakers is immers ook nog netwerkexpert. Tweakers is immers zoveel meer dan enkel hard- en software van pc's.

Termin8r schreef op woensdag 06 augustus 2014 @ 15:07:
[...]

Hoeveel verder moet zo'n post gaan dan dit?

http://www.synology.com/nl-nl/support/tutorials/478

Dat is wel een duidelijke link inderdaad. Die was er nog niet toen ik er mee bezig was... pas in juni 2014 gepubliceerd blijkbaar.
Maar allicht kan er nog iets uitgebreider gaan over firewall en de regels die je daar kunt invoeren. Dat artikel is daarover nog redelijk oppervlakkig, zeg ik als noob.

[Tiestor]

Hier ThinkPadd in "Synology NAS besmet met ransomware synolocker" misschien iets aan?

[Aardwolf]

Die wel inderdaad, had ik ook gelezen, maar het is best handig als daar in een apart topic een soort samenvatting van komt. Niet dat iedereen alle reacties hier weer door moet gaan lezen. Jouw reactie zal ook vanzelf wel weer ondersneeuwen, net als iedereen die hier tips heeft gepost of daar naar heeft gelinkt.

[Avenger 2.0]

Verwijderd schreef op woensdag 06 augustus 2014 @ 15:26:
[...]

Authenticatie gebeurt op je DS. Je krijgt via QuickConnect direct toegang tot DSM.

Slechte zaak dus. Hoe zit dat met de Android apps met QuickConnect? Is dit ook directe toegang of gebeurt de authenticatie effectief via de relay server dan?

[stuffer]

marcel87 schreef op woensdag 06 augustus 2014 @ 15:29:
[...]

Daar ben ik het mee eens. Zou voor mij ook een waardevolle toevoeging zijn en ik denk wel voor velen. Niet iedereen op Tweakers is immers ook nog netwerkexpert. Tweakers is immers zoveel meer dan enkel hard- en software van pc's.


[...]

Dat is wel een duidelijke link inderdaad. Die was er nog niet toen ik er mee bezig was... pas in juni 2014 gepubliceerd blijkbaar.
Maar allicht kan er nog iets uitgebreider gaan over firewall en de regels die je daar kunt invoeren. Dat artikel is daarover nog redelijk oppervlakkig, zeg ik als noob.

Niet geheel een uitgebreide uitleg maar wel een interessant stuk. Niet alleen voor Syno's maar ook andere merken komen aan het bod (samen met de problemen die er per merk hebben gespeeld)

http://amigotechnotes.wor...d-how-to-harden-your-nas/

[Verwijderd]

Avenger 2.0 schreef op woensdag 06 augustus 2014 @ 15:39:
[...]


Slechte zaak dus. Hoe zit dat met de Android apps met QuickConnect? Is dit ook directe toegang of gebeurt dat effectief via de relay server?

QuickConnect gaat standaard via een relay server, Android app of browser maakt niet uit. Ik heb wel wat gelezen over verkeer, dat niet door de relay zou gaan als de poorten voor de applicaties op je router opengezet zijn naar je DS. Maar of dat dan automatisch gedetecteerd wordt, weet ik even niet uit mijn hoofd.

Belangrijkste punt is eigenlijk: remote toegang zonder poorten open te hoeven forwarden op je router is niet per definitie "goed". Iedereen zal voor zichzelf moeten afwegen, of hij (een deel van) de toegang tot zijn DS wil neerleggen bij een cloud service.

[Verwijderd]

Heeft iemand een idee hoe synology het mailen van de gedupeerden aanpakt?

Ik heb ook een ticket aangemaakt, maar nog geen mail, zoals Daanium. Beter maar even wachten op persoonlijke instructies?

[Tiestor]

marcel87 schreef op woensdag 06 augustus 2014 @ 15:37:
Die wel inderdaad, had ik ook gelezen, maar het is best handig als daar in een apart topic een soort samenvatting van komt. Niet dat iedereen alle reacties hier weer door moet gaan lezen. Jouw reactie zal ook vanzelf wel weer ondersneeuwen, net als iedereen die hier tips heeft gepost of daar naar heeft gelinkt.

Een apart topic lijkt me opzich zeker handig, wellicht dat hier ook overige systemen bij betrokken kunnen worden zodat iedereen hier profijt van kan hebben?

[Verwijderd]

Werkt deze bug alleen als je QC of doorstuur op port nummer aan hebt staan? Ik gebruik in principe mijn NAS alleen lokaal en heb niets in mijn router aangepast tov standaard instellingen van de router. Daarbij heb ik DSM 5.0 vanaf aankoop van het apparaat.

[PaT]

Verwijderd schreef op woensdag 06 augustus 2014 @ 16:12:
Werkt deze bug alleen als je QC of doorstuur op port nummer aan hebt staan? Ik gebruik in principe mijn NAS alleen lokaal en heb niets in mijn router aangepast tov standaard instellingen van de router. Daarbij heb ik DSM 5.0 vanaf aankoop van het apparaat.

/\ /\ benieuwd! Hier dezelfde situatie

[St@m]

Verwijderd schreef op woensdag 06 augustus 2014 @ 16:12:
Werkt deze bug alleen als je QC of doorstuur op port nummer aan hebt staan? Ik gebruik in principe mijn NAS alleen lokaal en heb niets in mijn router aangepast tov standaard instellingen van de router. Daarbij heb ik DSM 5.0 vanaf aankoop van het apparaat.

PaT schreef op woensdag 06 augustus 2014 @ 16:13:
[...]

/\ /\ benieuwd! Hier dezelfde situatie

nieuws: Synology: ransomware treft alleen ongepatchte systemen

[Verwijderd]

St@m schreef op woensdag 06 augustus 2014 @ 16:32:
[...]


[...]

nieuws: Synology: ransomware treft alleen ongepatchte systemen

Was eigenlijk meer benieuwd naar het begin van mij vraag dus aangaande besmetting zonder QC en poort opening op router.

[St@m]

Verwijderd schreef op woensdag 06 augustus 2014 @ 16:34:
[...]


Was eigenlijk meer benieuwd naar het begin van mij vraag dus aangaande besmetting zonder QC en poort opening op router.

Je hebt toch DSM 5? Dan heb je toch een antwoord?
Hoe de besmetting tot stand is gekomen is niet bekend..

[JanPedaal]

stuffer schreef op woensdag 06 augustus 2014 @ 15:42:
[...]
Niet geheel een uitgebreide uitleg maar wel een interessant stuk. Niet alleen voor Syno's maar ook andere merken komen aan het bod (samen met de problemen die er per merk hebben gespeeld)

http://amigotechnotes.wor...d-how-to-harden-your-nas/

Leest wel vermoeiend, dat Chinglish..

[Thijs B]

wat veel mensen volgens mij ook niet weten is dat de default admin account ook een default root account aanmaakt met hetzelfde password.
als je vervolgens de admin account uitzet en een eigen admin account aanmaakt ben je er nog niet helemaal.
Die die root account blijft namelijk gewoon actief.

En wanneer je dus zoals in mijn geval ssh hebt aanstaan kan je van buitenaf nog steeds inloggen met de root account.

dus zelfs als je de default admin uit zet zou ik daar nog een heel sterk pasword opzetten.

[Stranger__NL]

Thijs B schreef op woensdag 06 augustus 2014 @ 16:43:
wat veel mensen volgens mij ook niet weten is dat de default admin account ook een default root account aanmaakt met hetzelfde password.

_DAT_ is interessant.. want de eerste keer heb ik als test denk ik admin/admin gebruikt...
Hoe kun je die ROOT-user wijzigen? Gewoon Admin user wijzigen? Of heb je een linkje naar een instructie?

[ Voor 33% gewijzigd door Stranger__NL op 06-08-2014 16:46 ]

[Tiestor]

Daar ben ik ook nieuwsgierig naar, is voor het eerst dat ik dit hier lees en heb hier zelf totaal niet bij stil gestaan

[DarkKnight]

Als je admin wachtwoord aanpast, dan wordt ook gelijk het root wachtwoord aangepast.

[Smultie]

DarkKnight schreef op woensdag 06 augustus 2014 @ 16:48:
Als je admin wachtwoord aanpast, dan wordt ook gelijk het root wachtwoord aangepast.

Maar de user niet.

[Tiestor]

Maar hoe disable je de root admin?

[jeroen3]

root disablen... Kan dat wel?
Ook zijn er nog veel meer accounts...
dovecot, ftp, anonymous, guest, http, mysql, postfix, postgres, smmsp, spamfilter, synobox, sickbeard, couchpotatoserver en niet te vergeten: nobody.
En natuurlijk alle aangemaakte gebruikers.

[_Mitchie_]

Maak een nieuwe account van systeembeheerder aan en schakel de standaard admin-account op DiskStation uit.
http://www.synology.com/nl-nl/support/tutorials/478

[Smultie]

_Mitchie_ schreef op woensdag 06 augustus 2014 @ 16:56:
Maak een nieuwe account van systeembeheerder aan en schakel de standaard admin-account op DiskStation uit.
http://www.synology.com/nl-nl/support/tutorials/478

Dan log je nog steeds in onder username "root".

Volgens mij moet het volgende gebeuren: http://www.chainsawonatir...s-a-user-other-than-root/
Lijkt me geen doen voor de gemiddelde gebruiker.

[ Voor 24% gewijzigd door Smultie op 06-08-2014 16:59 ]

[Thijs B]

Het lijkt mij dat er een stap tussen moet.
kies een superwachtwoord voor de default admin zodat er automatisch een sterk wachtwoord op je root account zit
schakel daarna je admin account uit
En weet dat als je ssh gebruikt er default 2 accounts via ssh toegang krijgen root en admin
root kan je volgens mij nooit uitzetten op een linux systeem

[Farmerwood]

Je kunt standaard in SSH configureren dat je niet met de account root in mag loggen.
Idee erbij is dat je eerst als een andere gebruiker inlogt en daarna via sudo alsnog root kan worden. Dat geeft meteen een extra laag beveiliging. 2 wachtwoorden nodig + een extra niet standaard gebruikersnaam.

Mijn NAS staat momenteel ook nog uit, dus kan het niet daarop nakijken. Standaard in Linux is het:
File: /etc/ssh/sshd_config
Regel: PermitRootLogin: yes/no

[ Voor 21% gewijzigd door Farmerwood op 06-08-2014 17:06 . Reden: Info toegevoegd ]

[Kefke]

jeroen3 schreef op woensdag 06 augustus 2014 @ 16:55:
root disablen... Kan dat wel?
Ook zijn er nog veel meer accounts...
dovecot, ftp, anonymous, guest, http, mysql, postfix, postgres, smmsp, spamfilter, synobox, sickbeard, couchpotatoserver en niet te vergeten: nobody.
En natuurlijk alle aangemaakte gebruikers.

Yikes, daar heb ik helemaal niet aan gedacht dat die programma's ook nog eens hun eigen users hebben.

Kan ik die users hun passwoord zomaar wijzigen (ik neem aan dat het wijzigen van mijn couchpotatoserver user passwoord dan ook ergens in die app moet aangepast worden)?

[ Voor 15% gewijzigd door Kefke op 06-08-2014 17:32 ]

[JT]

Farmerwood schreef op woensdag 06 augustus 2014 @ 17:04:
Je kunt standaard in SSH configureren dat je niet met de account root in mag loggen.
Idee erbij is dat je eerst als een andere gebruiker inlogt en daarna via sudo alsnog root kan worden. Dat geeft meteen een extra laag beveiliging. 2 wachtwoorden nodig + een extra niet standaard gebruikersnaam.

Mijn NAS staat momenteel ook nog uit, dus kan het niet daarop nakijken. Standaard in Linux is het:
File: /etc/ssh/sshd_config
Regel: PermitRootLogin: yes/no

Alleen op syno's werkt sudo niet.

[u_nix_we_all]

Kefke schreef op woensdag 06 augustus 2014 @ 17:30:
[...]


Yikes, daar heb ik helemaal niet aan gedacht dat die programma's ook nog eens hun eigen users hebben.

Kan ik die users hun passwoord zomaar wijzigen (ik neem aan dat het wijzigen van mijn couchpotatoserver user passwoord dan ook ergens in die app moet aangepast worden)?

Voordat je dat gaat doen zou ik me eens verdiepen in wat die accounts doen. Op linux is het vaak zo dat er users zijn die gebruikt worden om applicaties te draaien (zodat ze niet met de rechten van root hoeven te draaien) , en de accounts voor deze user geen shell te geven maar op "/sbin/nologin" te zetten. Zo kunnen ze niet remote inloggen.

Verder op ssh PermitRootLogin op no zetten, is ook een goed idee Vervolgens kun je de user waarmee je inlogt zo configureren dat je met sudo root rechten verkrijgt, daarvoor hoef je dan geen root wachtwoord meer te gebruiken. met "su -" root wordt. Behalve dat je zo scriptkiddies die over ssh proberen je root-account te brute-forcen buiten de deur houdt, wordt dit in bedrijfsomgevingen vaak gedaan om te kunnen zie wie wanneer het root account heeft gebruikt.


Edit: geen sudo op syno ?

[Orion84]

En sowieso zijn dat dus users in het onderliggende OS, het zijn geen DSM users, toch?. Volgens mij is PermitRootLogin by default uitgeschakeld (kan iemand dat verifiëren?). En ik mag hopen (maar het kan geen kwaad dat te checken) dat de overige technische accounts inderdaad geen shell hebben en sowieso in een specifieke groep zitten die enkel rechten heeft op wat de applicatie nodig heeft.

Persoonlijk heb ik SSH gewoon uit staan. Tot nu toe ben ik niks tegengekomen wat ik niet via DSM kan regelen. Maar er zitten hier ongetwijfeld de nodige power users voor wie dat anders is.

[Kefke]

u_nix_we_all schreef op woensdag 06 augustus 2014 @ 17:44:
[...]

Voordat je dat gaat doen zou ik me eens verdiepen in wat die accounts doen. Op linux is het vaak zo dat er users zijn die gebruikt worden om applicaties te draaien (zodat ze niet met de rechten van root hoeven te draaien) , en de accounts voor deze user geen shell te geven maar op "/sbin/nologin" te zetten. Zo kunnen ze niet remote inloggen.

Verder op ssh PermitRootLogin op no zetten, is ook een goed idee Vervolgens kun je de user waarmee je inlogt zo configureren dat je met sudo root rechten verkrijgt, daarvoor hoef je dan geen root wachtwoord meer te gebruiken. met "su -" root wordt. Behalve dat je zo scriptkiddies die over ssh proberen je root-account te brute-forcen buiten de deur houdt, wordt dit in bedrijfsomgevingen vaak gedaan om te kunnen zie wie wanneer het root account heeft gebruikt.


Edit: geen sudo op syno ?

Ik heb bijvoorbeeld ook Plex draaien, en die heeft ook een eigen user. Heb die user gisteren in DSM gedisabled, en Plex blijft gewoon werken. Wil dit dus zeggen dat het disablen van een user in DSM ervoor zorgt dat die user niet meer mag inloggen, maar wel nog gebruikt kan worden om processen te starten? Dan zou het dus voldoende zijn om die couchpotato en andere users gewoon te disablelen + ook in ssh hun logon te disabelen.

[JT]

Orion84 schreef op woensdag 06 augustus 2014 @ 17:50:
En sowieso zijn dat dus users in het onderliggende OS, het zijn geen DSM users, toch?. Volgens mij is PermitRootLogin by default uitgeschakeld (kan iemand dat verifiëren?). En ik mag hopen (maar het kan geen kwaad dat te checken) dat de overige technische accounts inderdaad geen shell hebben en sowieso in een specifieke groep zitten die enkel rechten heeft op wat de applicatie nodig heeft.

Persoonlijk heb ik SSH gewoon uit staan. Tot nu toe ben ik niks tegengekomen wat ik niet via DSM kan regelen. Maar er zitten hier ongetwijfeld de nodige power users voor wie dat anders is.

Root kon ik gebruiken via SSH zonder dat ik ergens handmatig dingen aan moest gaan zetten, behalve dan natuurlijk SSH access.

[u_nix_we_all]

Kefke schreef op woensdag 06 augustus 2014 @ 17:52:
[...]


Ik heb bijvoorbeeld ook Plex draaien, en die heeft ook een eigen user. Heb die user gisteren in DSM gedisabled, en Plex blijft gewoon werken. Wil dit dus zeggen dat het disablen van een user in DSM ervoor zorgt dat die user niet meer mag inloggen, maar wel nog gebruikt kan worden om processen te starten? Dan zou het dus voldoende zijn om die couchpotato en andere users gewoon te disablelen + ook in ssh hun logon te disabelen.

Ssh logon voor die users kun je volgens mij rustig uitzetten. Wat disablen in DSM precies doet weet ik niet, maar dat de processen blijven draaien wil nog niet zeggen dat alles nog OK is. De echte test is het stoppen en starten van die betreffende service denk ik, als je echt zeker wil weten dat het nog werkt de hele NAS even rebooten.

[jeroen3]

Vergeet niet dat veel van die extra applicaties het wachtwoord van eventuele interfaces plaintext in hun config hebben staan.

[Moby]

Nog een vraagje over de firewall. Alles heb ik weer terug gezet zoals het was, niets aan de hand.

Ik heb onder andere 3 extra firewall regels toegevoegt.10.0.0.0 tot 10.255.255.255 en 192.168.0.0 tot 192.168.255.255. Als laatste heb ik regio nederland toegevoegd. alle poorten, protocollen en acties zijn toegestaan bij deze drie regels.

Nu kan ik er alleen niet meer met mijn telefoon bij. SFTP, SABnzb etc werk niet. Wel via wifi thuis maar niet via 3g. Wat doe ik nog verkeerd? Is de mobiele range (van Vodafone in dit geval) niet iets wat binnen de regio nederland valt?

[elsinga]

Zou zomaar kunnen. Surf maar eens naar whatsmyip.net en kijk welk externe IP adres je hebt.

[Moby]

213.52.176.31 en die zit inderdaad gedeeltelijk in de UK als ik het goed zie.

Is er nog een trucje om dit ook voor goed te krijgen?

[Razr]

Moby schreef op woensdag 06 augustus 2014 @ 18:59:
213.52.176.31 en die zit inderdaad gedeeltelijk in de UK als ik het goed zie.

Is er nog een trucje om dit ook voor goed te krijgen?

Lijkt wel Nederlands, linkje. Staat je router / NAT wel goed ingesteld?

[jeroen3]

Carrier grade NAT van Vodafone kan gebruik maken van een ip uit een blok gekocht in de UK.

[Moby]

Razr schreef op woensdag 06 augustus 2014 @ 19:03:
[...]


Lijkt wel Nederlands, linkje. Staat je router / NAT wel goed ingesteld?

Ik denk het wel. (Assumption.... ik weet het). Hiervoor heeft het ook gewerkt namelijk en ik heb niets aan deze instellingen verander in mijn NAS.

Maar ik ga nogal offtopic. Ik ga het even uitzoeken en wellicht open ik een ander topic

[Qualixo]

Ik block geen landen. Blog word veel vanuit het buitenland gelezen.
Autoblock doet het prima voor nu. 3x foute inlog in 1 minuut is gewoon permanent ban.
Staan nu 234 up adressen mijn mijn autoblock lijst.
Autoblock kun je ook ip adressen whitelisten dus minimaliseer mijzelf blocked

two factor inlog op dsm pagina werkt ook prima en alles achter https met geldig certificaat.
Alle default non ssl poorten heb ik met de firewall dicht gegooit.

Daarnaast is het gewoon jezelf voor de gek houden dat alles 100% safe is:) Wat je aan het internet knoopt is gewoon een risico.

[technorabilia]

Ik heb de DS211 met de laatste DSM versie maar weer aan het internet geknoopt...

[TweakMDS]

Qualixo schreef op woensdag 06 augustus 2014 @ 20:02:
Ik block geen landen. Blog word veel vanuit het buitenland gelezen.
Autoblock doet het prima voor nu. 3x foute inlog in 1 minuut is gewoon permanent ban.
Staan nu 234 up adressen mijn mijn autoblock lijst.
Autoblock kun je ook ip adressen whitelisten dus minimaliseer mijzelf blocked

two factor inlog op dsm pagina werkt ook prima en alles achter https met geldig certificaat.
Alle default non ssl poorten heb ik met de firewall dicht gegooit.

Daarnaast is het gewoon jezelf voor de gek houden dat alles 100% safe is:) Wat je aan het internet knoopt is gewoon een risico.

Dan zet je je blog (op een eigen poort) open voor overal, maar nog altijd de rest van de poorten dicht?

[hars73]

Zo, hier m'n 210j ook weer opgestart. Netjes het inlogscherm van DSM 5, CPU doet niet gek en geen synosync proces.

SSH stond uit, Telnet stond wel aan, die heb ik ook maar uitgevinkt.

Ik had deze maandagavond trouwens geupdate van 4.3 naar versie 5, vanuit de update mogelijkheid in DSM. Echter zag ik net dat er 5.0-4493 op stond en niet de allerlaatste versie! De OpenSSL bugfix zit in 5.0-4493 Update 1 en daarna zijn Update 2 en 3 nog uitgekomen. Waarom de upgrade niet direct naar Update 3 is gegaan weet ik niet, maar op dit moment is ie aan het updaten naar 5.0-4493 Update 3

Ik wil straks de firewall instellen dat alleen lokaal netwerk toegang heeft, dus 192.168.1.x en de overige IP adressen niet. Nu las ik ergens dat je de router niet in deze reeks op moet nemen. Mijn router heeft 192.168.1.1 en de NAS 192.168.1.2. Moet ik nu een firewall regel opnemen die 192.168.1.3 t/m 192.168.1.255 toestaat? Of moet de NAS en/of de router er toch bij?

[ Voor 43% gewijzigd door hars73 op 06-08-2014 21:07 ]

[Verwijderd]

JT schreef op woensdag 06 augustus 2014 @ 17:58:
[...]

Root kon ik gebruiken via SSH zonder dat ik ergens handmatig dingen aan moest gaan zetten, behalve dan natuurlijk SSH access.

O..... da's eigenlijk helemaal niet zo mooi. Ik gebruik zelf geen SSH op mijn Synology, maar dit is wel iets om even in je achterhoofd te houden.

[Verwijderd]

kan ik misschien iemand hier hulp vragen om mijn synology te unlocken?

ik wil graag de procedure volgen om te unlocken want de data die erop staat is echt ONMISBAAR.

[St@m]

Hmm.. das klote.

Ik heb gehoord dat de hackers erg goede service verlenen
Heb je al betaald? Ik denk dat je een stap voor stap instructie zult krijgen.

[Timmeah]

Verwijderd schreef op woensdag 06 augustus 2014 @ 21:11:
kan ik misschien iemand hier hulp vragen om mijn synology te unlocken?

ik wil graag de procedure volgen om te unlocken want de data die erop staat is echt ONMISBAAR.

Als ik voor deze keuze zou staan, zou ik die 0,6 bitcoins gewoon betalen hoe zuur dat ook is, en hoe erg ik tegen het feit ben dat criminelen hun zin krijgen. Gelukkig zelf niet in de situatie geweest nog. (beheerder van 5 syno's DSM5, waarvan 4 in orde bevonden, laatste ga ik morgen heen *duimduim)

[Verwijderd]

ik ben ook bereid om te betalen, maar wat ik heb begrepen is dat je via tor browser een url moet raadplegen. jammer genoeg doet die website het niet. ik vroeg me dus af of iemand dit kan bevestigen die al deze stappen heeft gevolgd.

daarnaast moet je ook een identificatie code hebben, maar ook die weet ik niet en zie ik nergens.

enig idee hoe ik in "aanmerking" kan komen met de service?

[HenkDePoema]

Verwijderd schreef op woensdag 06 augustus 2014 @ 21:19:
ik ben ook bereid om te betalen, maar wat ik heb begrepen is dat je via tor browser een url moet raadplegen. jammer genoeg doet die website het niet.

Wat precies doet het niet? Klopt de link niet of is de website onbereikbaar?

ik vroeg me dus af of iemand dit kan bevestigen die al deze stappen heeft gevolgd.
daarnaast moet je ook een identificatie code hebben, maar ook die weet ik niet en zie ik nergens.
enig idee hoe ik in "aanmerking" kan komen met de service?

Die identificatiecode wordt gegeven bij punt 4 in de tekst die op de plaats van de inlogpagina te zien is

[NiGeLaToR]

Dit hielp niet, of alleen voor andere hacks?

https://www.fox-it.com/nl...lachtoffers-cryptolocker/

[St@m]

NiGeLaToR schreef op woensdag 06 augustus 2014 @ 21:25:
Dit hielp niet, of alleen voor andere hacks?

https://www.fox-it.com/nl...lachtoffers-cryptolocker/

Dat is niet voor dit

[Timmeah]

NiGeLaToR schreef op woensdag 06 augustus 2014 @ 21:25:
Dit hielp niet, of alleen voor andere hacks?

https://www.fox-it.com/nl...lachtoffers-cryptolocker/

is ook al langsgekomen, helaas gaat dat om een andere hack. Deze synolock is nog niet met zo'n website te recoveren, en ik heb er een hard hoofd in dat dit ooit gaat gebeuren....

[NiGeLaToR]

Ai, dan heeft veel media het vanmiddag niet goed begrepen helaas
Had het even niet gevolgd en hoorde het op de radio geloof ik, lekker handig.
Enfin, ga maar wat meer investeren in een goede back-up. Je zal geen geweten hebben en in staat zijn tot dit soort dingen.

[Verwijderd]

dus als ik het goed begrijp krijg die die identificatie code via die tor browser op die url?

[Timmeah]

Verwijderd schreef op woensdag 06 augustus 2014 @ 21:37:
dus als ik het goed begrijp krijg die die identificatie code via die tor browser op die url?

Als je daar de stappen volgt, zou je de decryptiesleutel moeten ontvangen, en zou het proces van decryptie moeten beginnen. Ik heb begrepen dat mensen zo wel hun data terug hebben gekregen... (maar zekerheid heb je nooit)

[St@m]

Verwijderd schreef op woensdag 06 augustus 2014 @ 21:37:
dus als ik het goed begrijp krijg die die identificatie code via die tor browser op die url?

Vertel even precies wat je doet, waar het foutgaat en welke foutmeldingen je krijgt.

[Verwijderd]

Vandaag om 16.00 de 0,6 Bitcoin betaald. Na een paar uur kwam de decriptie instructie.
Het decriptie proces loopt nu. Er is nu (een paar uur later) 0,8 % vande files gedecrypt, en de decripted files zijn inderdaad leesbaar.
Ziet er goed uit zo ver.

[HenkDePoema]

Verwijderd schreef op woensdag 06 augustus 2014 @ 21:41:
Vandaag om 16.00 de 0,6 Bitcoin betaald. Na een paar uur kwam de decriptie instructie.
Het decriptie proces loopt nu. Er is nu (een paar uur later) 0,8 % vande files gedecrypt, en de decripted files zijn inderdaad leesbaar.
Ziet er goed uit zo ver.

Kijk, dit zijn berichten waar getroffen gebruikers wat aan hebben. Tnx.

[GrasshopperNL]

Verwijderd schreef op woensdag 06 augustus 2014 @ 21:41:
Vandaag om 16.00 de 0,6 Bitcoin betaald. Na een paar uur kwam de decriptie instructie.
Het decriptie proces loopt nu. Er is nu (een paar uur later) 0,8 % vande files gedecrypt, en de decripted files zijn inderdaad leesbaar.
Ziet er goed uit zo ver.

Is het een instructie waar andere gebruikers wat aan hebben? Zo ja, dan lijkt het me een mooie aanvulling op het 1e bericht van het forum of iets dergelijks

[Timmeah]

Ik zie trouwens dat http://cypherxffttr7hho.onion/ niet meer bereikbaar is via de Tor-browser. Jullie krijgen hem nog wel ?

[Brons]

maniak schreef op woensdag 06 augustus 2014 @ 13:12:
[...]


Sorry hoor, maar consumenten moet zelf maar eens bewust worden van de risico's. Wie gaat in vredesnaam zijn admin console naar buiten propageren? Dat is vragen om problemen. Of wat te denken van je shares. Als je een NAS gebruikt voor je backup dan zorg je ervoor dat die zo veilig mogelijk is, dus geen vreemde dingen zoals externe toegang. Wat mij wel verbaast is de hoeveelheid Tweakers die dit ook is overkomen, ze zouden beter moeten weten.

Gemiddeld gezien ben ik het met je eens maar Synology heeft toch een aantal eigenaardigheden ingebouwd die er voor zorgen dat je wel heel veel moeite moet om de boel veilig te maken.

Zo kwam ik een aantal maanden geleden op het briljante idee om mijn NAS open te zetten voor DS audio, ik had al bedacht dat ik een speciale user zou maken die read-only toegang had tot mijn muziek en nergens anders toegang toe heeft. Na het forwarden van mijn poorten kwam ik er achter dat ik mijn NAS niet alleen had opengezet voor DS Audio maar dat het volledige admin panel online was gezet. Blijkt dat de audio (en andere) app(s) gewoon een schil over de DSM interface zijn. Wat mij betreft een slecht idee is. Standaard kan je dit ook niet aanpassen en ik ben een avond met SSH en regels in mijn router bezig geweest om het voor mij acceptabel te maken.

Na dit incident heb ik toch maar besloten om mijn NAS weer volledig ontoegankelijk te maken.

[NiGeLaToR]

Klopt Brons, dat heb ik met de camera-opname apps en diensten gehad. Uiteindelijk een VPN constructie gemaakt en de Syno van 'het net' gehaald. Risico werd me toch te groot. Overigens is het 'geruststellend' dat dit niet met een 0-day is gedaan, anders hadden er geen honderden maar duizenden slachtoffers geweest.

[HenkDePoema]

Timmeah schreef op woensdag 06 augustus 2014 @ 21:47:
Ik zie trouwens dat http://cypherxffttr7hho.onion/ niet meer bereikbaar is via de Tor-browser. Jullie krijgen hem nog wel ?

Nope. En da's niet zo mooi.

[Timmeah]

HenkDePoema schreef op woensdag 06 augustus 2014 @ 21:55:
[...]

Nope. En da's niet zo mooi.

Oef, dat is zeker niet zo mooi.

Dan is de enige resort nog de support van Synology, en hopen dat de schade niet te groot is... De eerste optie gaf tenminste nog al je bestanden terug tegen betaling.

[Verwijderd]

Dat is dus mooi k dat jullie bevestigen dat de website het niet doet..

En is je synology niet gekoppeld met een bepaalde id? Want dan kan ik toch net zo goed een decrypted code gebruiken van iemand anders?

[Timmeah]

Verwijderd schreef op woensdag 06 augustus 2014 @ 22:19:
Dat is dus mooi k dat jullie bevestigen dat de website het niet doet..

En is je synology niet gekoppeld met een bepaalde id? Want dan kan ik toch net zo goed een decrypted code gebruiken van iemand anders?

De sleutel zal wel anders zijn per Syno.. dikke pech

[Bigs]

Timmeah schreef op woensdag 06 augustus 2014 @ 21:47:
Ik zie trouwens dat http://cypherxffttr7hho.onion/ niet meer bereikbaar is via de Tor-browser. Jullie krijgen hem nog wel ?

Komt denk ik wel terug, aangezien het erop lijkt dat er behoorlijk wat mensen bereid zijn om te betalen. Ik verwacht niet dat dit zo hoog op de prioriteitenlijst van de FBI of wie dan ook staat dat ze de bende nu al hebben opgerold.

[Verwijderd]

Ik denk zelf dat het iemand intern is bij synology die dit heeft geflikt..

Modbreak:

Dit soort berichten voegen niets toe aan de discussie, bij deze het verzoek je hiervan te onthouden.

[ Voor 45% gewijzigd door Verwijderd op 07-08-2014 07:42 ]

[Verwijderd]

http://www.wegotserved.co...lable-synolocker-victims/

Betalen voorlopig de snelste optie dus..

[Timmeah]

Verwijderd schreef op woensdag 06 augustus 2014 @ 22:50:
Ik denk zelf dat het iemand intern is bij synology die dit heeft geflikt..

Het zou wat zijn, hij heeft het in ieder geval verdomde professioneel aangepakt!

[Verwijderd]

Timmeah schreef op woensdag 06 augustus 2014 @ 22:51:
Het zou wat zijn, hij heeft het in ieder geval verdomde professioneel aangepakt!

Ik weet het niet, als die website niet meer in de lucht is...

[pacificocean]

Verwijderd schreef op woensdag 06 augustus 2014 @ 22:50:
Ik denk zelf dat het iemand intern is bij synology die dit heeft geflikt..

Waarom? Synolocker kan best bijvoorbeeld hieruit zijn voortgekomen.
http://amigotechnotes.wor...d-how-to-harden-your-nas/

[RobV]

Een beetje offtopic, maar is de hacker ueberhaupt te traceren?

[xippie]

Timmeah schreef op woensdag 06 augustus 2014 @ 21:47:
Ik zie trouwens dat http://cypherxffttr7hho.onion/ niet meer bereikbaar is via de Tor-browser. Jullie krijgen hem nog wel ?

Net gechecked, maar hij is weer in de lucht.

[ZFLaSH]

2 kennissen van mij zijn ook gepakt en hebben ook 0,6 BTC betaald. Netjes de decryptie keys gekregen en de data was helemaal hersteld (duurde op een 211j wel een eeuwigheid). Vervolgens alle data gebackupd en de DSM opnieuw ingericht. De criminelen houden, zoals verwacht, wel woord.

[HvB83]

Nou dat is dan in ieder geval iets. Het blijft zuur voor de getroffenen, maar als je zakelijke documenten of je foto's erop staan zonder goede backup ben je mooi klaar. En ja, tuurlijk moet je goede backups maken, maar ik verwacht niet dat mensen die ruim een half jaar hun DSM niet bijwerken wel serieus met backups omgaan.

[xippie]

Van het belangrijkste, foto's, documenten en muziek, heb ik een offline backup bij anderen, en van de films en series alleen de heel moeilijk verkrijgbare. Voor de rest als ik mijn series en films kwijt raak, 80% van mijn NAS, is het vervelend, maar daar is nog overheen te komen. Net nog wel even van alle ondertitels een backup gemaakt, de oude NL subs zijn tegenwoordig moeilijk verkrijgbaar, of er gaat heel veel handwerk in zitten.

[ZFLaSH]

Nou, gezien hun backup frequentie hoefden ze niet lang na te denken over het betalen van die 0,6BTC. Een schijntje gezien het belang. Ze namen het verlies, hebben er van geleerd en hopen dat ze nu beter beschermd zijn. Ja, ik vind ook dat we de criminelen niet moeten betalen, maar principes worden snel opzij gezet als het data is die enorm belangrijk is.

[Verwijderd]

ZFLaSH schreef op donderdag 07 augustus 2014 @ 07:19:
Nou, gezien hun backup frequentie hoefden ze niet lang na te denken over het betalen van die 0,6BTC. Een schijntje gezien het belang. Ze namen het verlies, hebben er van geleerd en hopen dat ze nu beter beschermd zijn. Ja, ik vind ook dat we de criminelen niet moeten betalen, maar principes worden snel opzij gezet als het data is die enorm belangrijk is.

Mensen moeten vaak eerst 1 keer goed op hun bek gaan, voor ze maatregelen gaan nemen. Vorige week nog een laptop van een buitenlandse studente met een defecte harddisk gerepareerd. Als je dan verteld, dat je - waarschijnlijk - alle data er nog wel af kunt krijgen en de Windows installatie op een nieuwe harddisk - waarschijnlijk - ook wel weer aan de praat kunt krijgen, krijg je bijna standaard een reactie in de richting van "I hope so. My whole life is on that laptop!".

Een gecrashte Spaanse Windows 7 weer oplappen is soms trouwens best een leuke uitdaging, vooral als je geen Spaans spreekt.

Ik denk, dat de betalende slachtoffers goed wegkomen op deze manier. Er kunnen ook onomkeerbare dingen met je data gebeuren en dan ben je niet klaar met 0,6 Bitcoin. Principieel is het natuurlijk verkeerd om toe te geven aan criminelen, maar ik kan het me goed voorstellen gezien de situatie waarin de slachtoffers zich bevinden.

[Audi-RS4]

ZFLaSH schreef op donderdag 07 augustus 2014 @ 07:19:
Nou, gezien hun backup frequentie hoefden ze niet lang na te denken over het betalen van die 0,6BTC. Een schijntje gezien het belang. Ze namen het verlies, hebben er van geleerd en hopen dat ze nu beter beschermd zijn. Ja, ik vind ook dat we de criminelen niet moeten betalen, maar principes worden snel opzij gezet als het data is die enorm belangrijk is.

enig idee hoe je de betaling hebt gedaan?
kan je gewoon met een willekeurig site waar je bitcoins kan kopen?

ik begrijp dat je via de tor browser een ID krijgt, maar hoe weet de browser welke decrypt code ik nodig heb voor de synology? want waar zit de link met de identificatie code?

[ Voor 4% gewijzigd door Audi-RS4 op 07-08-2014 08:03 ]

[Sponz]

Toch wel handig dat bitcoin om mensen anoniem geld af te troggelen, ik ga me dr ook es in verdiepen.


Mijn DS209 was gelukkig up-to-date, maar ik maak wel wel zorgen omdat ie geen laatste DSM meer krijgt, hoelang kan ik dat ding nog vertrouwen, want anders dan met een niet meer bijgwerkte windows XP kan ik de DS209 niet zelf even voorzien van een ander OS.

[jdkjr]

Voor de mensen die getroffen zijn, weet niet of het al gepost was, maar Fox-IT heeft mogelijk een oplossing:

https://www.fox-it.com/en...elp-cryptolocker-victims/

[stuffer]

Sponz schreef op donderdag 07 augustus 2014 @ 08:12:
Toch wel handig dat bitcoin om mensen anoniem geld af te troggelen, ik ga me dr ook es in verdiepen.


Mijn DS209 was gelukkig op-to-date, maar ik maak wel wel zorgen omdat ie geen laatste DSM meer krijgt, hoelang kan ik dat ding nog vertrouwen, want anders dan met een niet meer bijgwerkte windows XP kan ik de DS209 niet zelf even voorzien van een ander OS.

Ik denk dat je het zelfde er mee om moet gaan. Niet aan het internet hangen als je geen updates meer krijgt. Genoeg xp machines die wel kunnen draaien zonder internet (bv in ziekenhuizen aan dure medische apparatuur)

[Verwijderd]

De sitehttp://cypherxffttr7hho.onion lijkt nu weer bereikbaar. Op de supportpagina is de volgende melding geplaatst.
08/06/2014
Bitmessage is now the fastest method to reach support at that address: BM-NB7q5qALg1C9EjJM5ThpdxwL6QNbqLQH Unique identifier is mandatory in the first ticket to receive support.

Mocht de site weer down gaan dan kan je waarschijnlijk via deze manier nog contact zoeken met de synolocker vrienden. De unieke indentifier vind je op de Synolocker pagina op je eigen NAS.

[Avenger 2.0]

Sponz schreef op donderdag 07 augustus 2014 @ 08:12:
Toch wel handig dat bitcoin om mensen anoniem geld af te troggelen, ik ga me dr ook es in verdiepen.


Mijn DS209 was gelukkig op-to-date, maar ik maak wel wel zorgen omdat ie geen laatste DSM meer krijgt, hoelang kan ik dat ding nog vertrouwen, want anders dan met een niet meer bijgwerkte windows XP kan ik de DS209 niet zelf even voorzien van een ander OS.

Inderdaad, lijkt me maar kwestie van tijd voordat er een malware aangepast wordt om alle oude (niet up-te-daten) NASen gaat infecteren. Enigste wat je kan doen is ofwel op firewall strenge IP blokkades voorzien of gebruik maken van VPN.

Lijkt me trouwens ook beter om dit laatste te doen met up-to-date NASen. Vroeg of laat gaat er gewoon iemand een 0day exploit gebruiken...

[Jason X]

jdkjr schreef op donderdag 07 augustus 2014 @ 08:16:
Voor de mensen die getroffen zijn, weet niet of het al gepost was, maar Fox-IT heeft mogelijk een oplossing:

https://www.fox-it.com/en...elp-cryptolocker-victims/

Ja het is al 3 x gepost en dat betreft CryptoLocker, niet SynoLocker. Helaas voor de slachtoffers dus geen optie.

[Avenger 2.0]

jdkjr schreef op donderdag 07 augustus 2014 @ 08:16:
Voor de mensen die getroffen zijn, weet niet of het al gepost was, maar Fox-IT heeft mogelijk een oplossing:

https://www.fox-it.com/en...elp-cryptolocker-victims/

Crypolocker =/= Synolocker

[Audi-RS4]

Verwijderd schreef op donderdag 07 augustus 2014 @ 08:17:
De unieke indentifier vind je op de Synolocker pagina op je eigen NAS.

Dat is dus mijn probleem, die zie ik dus niet en kan het niet vinden.

enige wat ik zie is dit:

[DutchKel]

Audi-RS4 schreef op donderdag 07 augustus 2014 @ 08:25:
[...]


Dat is dus mijn probleem, die zie ik dus niet en kan het niet vinden.

enige wat ik zie is dit:
[afbeelding]

Ga eens naar http://10.0.0.2:5000 daar staat ook informatie

[Audi-RS4]

daar zie ik dus alleen een inlog scherm en voor de rest niks.
het inloggen lukt ook niet maar dat was al bekend