Synology NAS besmet met ransomware synolocker

[tlpeter]

Als de eerste twee niet van buiten af berijkbaar zijn dan gebeurd het van binnen uit.

[JPtjeeNL]

DaaNium schreef op maandag 04 augustus 2014 @ 18:43:
Zal wel toeval zijn, maar ik lees veel over een infectie na reboot. Waarschijnlijk neemt de snelheid af door het versleutelen, waardoor de gebruiker zijn nas maar eens gaat rebooten of monitoren. bij inloggen zien ze de malware pagina ipv login pagina

Ja, wellicht dat een bepaalde beveiliging na het afsluiten pas uitgezet wordt en daardoor de injectie van de malwarepagina plaats kan vinden. Maar dit heeft wel een hoog speculatie-gehalte.

[maus]

Hoop het toch niet.. Vandaag nadat het artikel op t.net online kwam gelijk uit voorzorg FTP, SSH en Telnet uitgezet en firewall van Synology ingeschakeld (alleen eigen IP toestaan). Daarna toch maar via DSM uitgeschakeld, onder motto 'better safe than sorry'.
Tijdens afsluiten niks merkwaardigs opgemerkt, net vannochtend geupdate naar de laatste versie van DSM 5 (weet zo even niet exacte versie) op DS212+.
Iemand tips hoe ik hem het beste kan opstarten vanavond om even te kijken of alles nog werkt? Of beter wachten tot Synology met een fix komt?

[Verwijderd]

Goede reminder voor mijzelf / iedereen om alles even na te lopen. Bleek zelf toch wat zaken open te hebben staan op 1 van mijn synology's wat niet de bedoeling was en dat is gekomen door knutselwerk van mijn kant.

Gelijk maar even de foto's op mijn pc bijgewerkt (heb diverse backups waaronder amazon s3, maar toch even voor het gemak) en nu backup ik nog snel even de homevideo's dat ik steeds vergat.

Daarna gaan mijn synology's tot nadere order uit. Ik gebruik ze vooral voor films en series, dus dat wordt wat avonden netflix kijken.

Verder hier niks aan de hand, maar had het al redelijk goed dichtgetimmerd. Wilde toevallig vandaag een ftp server opzetten, dat gaan we dus niet meer doen de komende dagen.

[ Voor 14% gewijzigd door Verwijderd op 04-08-2014 18:57 ]

[Viper®]

Nou bij me ouders niks aan de hand (ds210j). Ooit waarschijnlijk een nieuwe upc docsis modem gehad waarbij ik de poorten nooit heb doorgeschakeld.
mijn ds412+ had ik toevallig dit weekend nog geupdate.
ik heb in ieder geval remote access uitgezet door de poorten dicht te gooien. De enkele keer dat ik er remote bij moet vind ik niet opwegen tegen het eventuele gezeur met dit.

[ZiSE]

NMe schreef op maandag 04 augustus 2014 @ 17:58:
Ik gok het er voor het gemak maar op dat mijn firewall alles tegenhoudt:

[afbeelding]

Knappe jongen die daar nog doorheen komt met alleen mijn interne IP's en mijn kantoor-IP op de whitelist.
[..]

In de 2de regel zet je toch een 'allow' voor alle IP's die niet in regel 1 staan? Of interpreteer ik dat verkeerd?

[NMe]

ZiSE schreef op maandag 04 augustus 2014 @ 19:05:
[...]

In de 2de regel zet je toch een 'allow' voor alle IP's die niet in regel 1 staan? Of interpreteer ik dat verkeerd?

In de tweede regel zie je dat ik de IP-range van mijn werkgever gecensureerd heb.

[Verwijderd]

NMe schreef op maandag 04 augustus 2014 @ 17:58:
Ik gok het er voor het gemak maar op dat mijn firewall alles tegenhoudt:

[afbeelding]

dat adres 192.168.0.0 , waar is dat van? Is dat het ip adres van je router?

Ik zou graag ook mijn nassen aanhouden en dan vanaf de mediaspelers en ipads er wel toegang toe hebben, alles heeft een fixed ip adres hier. Kan ik dan gewoon het router adres invoeren (net als jij vermoedelijk) of moet ik elk apparaat afzondelijk doen?

[CuBras]

Wat ik zelf nog anders heb gedaan dan jan-en-alleman;

Bij de firewall restricties ingesteld dat alleen NL ip adressen kunnen verbinden met mijn NAS. Zo voorkom je al gauw inlog verzoeken uit Oezbekistan, Rusland, China e.d.
(beveiliging -> Firewall -> "Maken" -> "Bron ip" -> Regio -> "Disable/weigeren")

Je kan maar 5 regio's per keer doen dacht ik, dus je ben wel even bezig ...
Misschien dat dit extra beveiligt?

[Orion84]

Verwijderd schreef op maandag 04 augustus 2014 @ 19:10:
[...]

dat adres 192.168.0.0 , waar is dat van? Is dat het ip adres van je router?

Ik zou graag ook mijn nassen aanhouden en dan vanaf de mediaspelers en ipads er wel toegang toe hebben, alles heeft een fixed ip adres hier. Kan ik dan gewoon het router adres invoeren (net als jij vermoedelijk) of moet ik elk apparaat afzondelijk doen?

Dat is geen adres, maar een netwerkrange

[markvl]

Ik heb in mijn router alleen poorten voor torrent en voor een VPN service open, met de VPN poort op een willekeurig nummer.
Alles wat ik remote moet kunnen doen kan ik door eerst een VPN op te zetten en dan (dus vanuit mijn eigen LAN) naar de DS te connecten.

Het enige risico dat ik nog loop is dat er een vulnerability in de VPN of Download package zit.

Dit kun je in principe ook doen tussen 2 DSsen onderling, dus voor remote backup en zo.

[hhoekstra]

CuBras schreef op maandag 04 augustus 2014 @ 19:15:
Wat ik zelf nog anders heb gedaan dan jan-en-alleman;

Bij de firewall restricties ingesteld dat alleen NL ip adressen kunnen verbinden met mijn NAS. Zo voorkom je al gauw inlog verzoeken uit Oezbekistan, Rusland, China e.d.
(beveiliging -> Firewall -> "Maken" -> "Bron ip" -> Regio -> "Disable/weigeren")

Je kan maar 5 regio's per keer doen dacht ik, dus je ben wel even bezig ...
Misschien dat dit extra beveiligt?

Kan makkelijker toch ?
Allow Local Range
Allow regio Netherlands
Deny any any

[CuBras]

hhoekstra schreef op maandag 04 augustus 2014 @ 19:18:
[...]


Kan makkelijker toch ?
Allow Local Range
Allow regio Netherlands
Deny any any

Klopt, daar kwam ik een tijd later ook achter .. Alleen toen stond het al zo

[Verwijderd]

hhoekstra schreef op maandag 04 augustus 2014 @ 19:18:
Kan makkelijker toch ?
Allow Local Range
Allow regio Netherlands
Deny any any

Ok, ik ben er niet zo in thuis, maar heb het nu zo staan voor LAN:



Al mijn apparaten thuis hebben een ip die begint met 192.168.1.XXX (XXX is dan een nummer per device)
Is dat het meest veilige voor nu?

Ik heb naast lan ook PPPoe , daar staat helemaal geen firewall aan. Is dat ook nodig en moet ik die net zo instellen als die voor LAN ?

Op de router heb ik trouwens momenteel geen enkele poort geforward.

[ Voor 15% gewijzigd door Verwijderd op 04-08-2014 19:29 ]

[spartacusNLD]

CuBras schreef op maandag 04 augustus 2014 @ 19:15:
Wat ik zelf nog anders heb gedaan dan jan-en-alleman;

Bij de firewall restricties ingesteld dat alleen NL ip adressen kunnen verbinden met mijn NAS. Zo voorkom je al gauw inlog verzoeken uit Oezbekistan, Rusland, China e.d.
(beveiliging -> Firewall -> "Maken" -> "Bron ip" -> Regio -> "Disable/weigeren")

Je kan maar 5 regio's per keer doen dacht ik, dus je ben wel even bezig ...
Misschien dat dit extra beveiligt?

wie zegt dat dit niet iets is wat vanuit nederland komt?

[computerjunky]

Ik vraag me af hoe ze deze nas systemen vinden. is er ergens een database met alle geactiveerde devices gehackt ofzo.
Ik snap niet hoe je tussen 4 miljard ip adressen zoveel nas systemen kan vinden zonder een database.

Verder vraag ik me af of dit wel handmatig gebeurd of dat het automatisch gedaan word gezien hoeveel devices besmet zijn en hoe lang het zou duren dit te doen.

[ Voor 27% gewijzigd door computerjunky op 04-08-2014 19:37 ]

[CuBras]

spartacusNLD schreef op maandag 04 augustus 2014 @ 19:23:
[...]


wie zegt dat dit niet iets is wat vanuit nederland komt?

Niet

Maar je sluit wel uit dat een initiële besmetting voorkomen wordt indien deze uit het buitenland komt.
Als het via een (Nederlands) bot-net gaat .. Dan helpt het inderdaad niks

[markvl]

Verwijderd schreef op maandag 04 augustus 2014 @ 19:22:
[...]
Op de router heb ik trouwens momenteel geen enkele poort geforward.

Dat betekent dat niemand rechstreeks van buiten op je NAS kan komen, dus dat lijkt me inderdaad veilig.
Dan zijn de instellingen op je NAS firewall niet eens nodig.

[Verwijderd]

markvl schreef op maandag 04 augustus 2014 @ 19:27:
[...]


Dat betekent dat niemand rechstreeks van buiten op je NAS kan komen, dus dat lijkt me inderdaad veilig.
Dan zijn de instellingen op je NAS firewall niet eens nodig.

Weet ik, maar het is gelijk goed voor mijzelf om er even goed mee bezig te gaan. Dan ben ik ook voor de toekomst hopelijk beschermd.

[MuddyMagical]

Verwijderd schreef op maandag 04 augustus 2014 @ 19:22:
[...]

Ok, ik ben er niet zo in thuis, maar heb het nu zo staan voor LAN:

[afbeelding]

Al mijn apparaten thuis hebben een ip die begint met 192.168.1.XXX (XXX is dan een nummer per device)
Is dat het meest veilige voor nu?

Ik heb naast lan ook PPPoe , daar staat helemaal geen firewall aan. Is dat ook nodig en moet ik die net zo instellen als die voor LAN ?

Op de router heb ik trouwens momenteel geen enkele poort geforward.

Ben toch wel benieuwd of dit allemaal werkt. Als er een fout in de afhandeling van de firewall van de Synology zit heeft ook dit allemaal geen nut. Beste oplossing is idd geen enkele poort forwarden naar je NAS of hem gewoon even uitzetten. Mijn data is me te waardevol.

[Verwijderd]

Als je met die firewall bezig gaat, zet dan de allow regel voor je interne verkeer wel op de hoogste positie, anders krijg je dit probleempje:

[Dennisdn]

Mijn DS214 lijkt nog niet besmet. Voor zekerheid 2x opnieuw opgestart om te kijken of ik iets vreemds zag. Draai de laatste update al sinds hij uit is. En heb wel een standaard admin maar wel met een eigen wachtwoord. Maar omdat ik de nas nog niet zo lang heb, en niet zeker weet wat ik allemaal in de instellingen heb zitten spelen, heb ik hem voor de zekerheid maar uitgezet.

[JaHa]

Verwijderd schreef op maandag 04 augustus 2014 @ 19:22:
[...]

Ok, ik ben er niet zo in thuis, maar heb het nu zo staan voor LAN:

[afbeelding]

Al mijn apparaten thuis hebben een ip die begint met 192.168.1.XXX (XXX is dan een nummer per device)
Is dat het meest veilige voor nu?

Ik heb naast lan ook PPPoe , daar staat helemaal geen firewall aan. Is dat ook nodig en moet ik die net zo instellen als die voor LAN ?

Op de router heb ik trouwens momenteel geen enkele poort geforward.

255.255.0.0 geeft als netwerk mask toegang voor iedereen op de range 192.168.xxx.xxx en niet alleen 192.168.1.xxx range. Is nog steeds je thuis netwerk maar wel minder specifiek.

[Verwijderd]

JaHa schreef op maandag 04 augustus 2014 @ 19:33:
255.255.0.0 geeft als netwerk mask toegang voor iedereen op de range 192.168.xxx.xxx en niet alleen 192.168.1.xxx range. Is nog steeds je thuis netwerk maar wel minder specifiek.

Dank je. Ik heb het aangepast en nu als volgt:



Ik denk dat ik nu goed zit met alles. Ik houd het topic hier wel even in de gaten en hopende op een snelle fix van synology zelf.

[Joshuax8]

JaHa schreef op maandag 04 augustus 2014 @ 19:33:
[...]


255.255.0.0 geeft als netwerk mask toegang voor iedereen op de range 192.168.xxx.xxx en niet alleen 192.168.1.xxx range. Is nog steeds je thuis netwerk maar wel minder specifiek.

RFC1918 word toch niet gerouteerd over het internet

Heeft iemand al via ssh kunnen inloggen op een besmette nas en kunnen kijken of er bepaalde processen zijn welke bij het virus horen?

[ Voor 16% gewijzigd door Joshuax8 op 04-08-2014 19:42 ]

[technorabilia]

Wokschotel schreef op maandag 04 augustus 2014 @ 09:10:
Ik heb in ieder geval voorlopig alle remote access uitgeschakeld en alle port forwards in mijn router uitgezet, totdat duidelijk is wat er aan de hand is.

Port forwardings is denk ik genoeg. Toegang via je interne network zal geen probleem zijn lijkt mij.

[NMe]

Verwijderd schreef op maandag 04 augustus 2014 @ 19:37:
[...]

Dank je. Ik heb het aangepast en nu als volgt:

[afbeelding]

Ik denk dat ik nu goed zit met alles. Ik houd het topic hier wel even in de gaten en hopende op een snelle fix van synology zelf.

Kijk eens goed helemaal onderaan dat venster. Je hebt geen rule nodig voor "deny from all", je moet alleen die checkbox even omzetten.

[HKLM_]

computerjunky schreef op maandag 04 augustus 2014 @ 19:27:
Ik vraag me af hoe ze deze nas systemen vinden. is er ergens een database met alle geactiveerde devices gehackt ofzo.
Ik snap niet hoe je tussen 4 miljard ip adressen zoveel nas systemen kan vinden zonder een database.

Verder vraag ik me af of dit wel handmatig gebeurd of dat het automatisch gedaan word gezien hoeveel devices besmet zijn en hoe lang het zou duren dit te doen.

Typ in je browser maar eens een willekeurige naam in met de synology domain erachter (naam.myds.me)
grote kans dat je binnen een paar pogingen op een synology uit komt.

Zelf denk ik dat ze een database hebben met naam.myds.me of random IP adressen waarmee ze het proberen ? (Geen Idee of dit klopt en kan )

[DaaNium]

zou best kunnen, echter gebruiken ook veel mensen het 'connect.to' domein om op hun synology uit te komen. en de nas waar ik de boel van probeer te redden, was niet geregistreerd bij een 'handig' domein. de eigenaar gebruikte gewoon ouderwets zijn ip adres (84.xx.xx.xx)

[Orion84]

Gewoon IP's scannen op de poort waar de kwetsbaarheid voor is (waarschijnlijk 5000 dus, tenzij het via een andere service binnenkomt). Botnets zijn daar heel goed in en wellicht dat elke gehackte NAS ook meteen wordt ingezet om verder te zoeken.

[Verwijderd]

Ik heb de dsm inlogpagina ook van poort 5000 gehaald en na de 4000 poortrange gezet (willekeurig getal beginnende met een 4).

Kan je doen bij configuratiescherm en dan kiezen voor netwerk en dan dsm instellingen. Wel even goed noteren, anders heb je denk ik een probleempje

NMe schreef op maandag 04 augustus 2014 @ 20:01:
Kijk eens goed helemaal onderaan dat venster. Je hebt geen rule nodig voor "deny from all", je moet alleen die checkbox even omzetten.

Dank je, helemaal niet gezien.

[ Voor 34% gewijzigd door Verwijderd op 04-08-2014 20:15 ]

[Senaxx]

http://www.cvedetails.com/cve/CVE-2014-2264/ ook nog wel interessant voor 4.3 gebruikers.

[ieperlingetje]

Senaxx schreef op maandag 04 augustus 2014 @ 20:30:
http://www.cvedetails.com/cve/CVE-2014-2264/ ook nog wel interessant voor 4.3 gebruikers.

Heeft zo een bug ooit in de VPN package gezeten? Net bij een VPN toepassing zou je toch verwachten dat ze 2 keer controleren vooraleer ze de boel compileren.

[computerjunky]

Downloader_NL schreef op maandag 04 augustus 2014 @ 20:02:
[...]


Typ in je browser maar eens een willekeurige naam in met de synology domain erachter (naam.myds.me)
grote kans dat je binnen een paar pogingen op een synology uit komt.

Zelf denk ik dat ze een database hebben met naam.myds.me of random IP adressen waarmee ze het proberen ? (Geen Idee of dit klopt en kan )

Dus als je geen domein zou gebruiken is de kans veel kleiner dat je gevonden word.

[Senaxx]

ieperlingetje schreef op maandag 04 augustus 2014 @ 20:33:
[...]


Heeft zo een bug ooit in de VPN package gezeten? Net bij een VPN toepassing zou je toch verwachten dat ze 2 keer controleren vooraleer ze de boel compileren.

Denk niet dat het een bug is maar meer, voor support mogelijkheden.

[Nivali]

Zo, ondertussen is mijn NAS weer virus vrij en up and running.
Heb nu alles wel goed ingesteld en voorlopig in de router alle poorten dicht gegooid, dus ik denk dat ik nu weer veilig ben.

Ik heb deze stappen gevolgd. Ik heb nu zoon 20 verschillende series / films geprobeerd af te spelen en deze pakt hij allemaal. Ik werd pas geinfecteerd bij het afsluiten van mijn Synology, dus wellicht heb ik geluk gehad en is er niks encrypted.

Mijn instellingen van sickbeard, nzbget enz. stonden hierna ook nog goed! Ik ben weer blij

[Verwijderd]

Nivali schreef op maandag 04 augustus 2014 @ 20:38:
Heb nu alles wel goed ingesteld en voorlopig in de router alle poorten dicht gegooid, dus ik denk dat ik nu weer veilig ben.

welke poorten had je open?

[Amelandbor]

Amelandbor schreef op maandag 04 augustus 2014 @ 17:37:
Hier voor zover geen problemen op 2 systemen. 1 daarvan sws geen poorten naartoe geopend en bij die andere 1 voor Transmission, die ik nu maar even in de router uit heb gezet.
Nou vraag ik me eigenlijk af of het ook gevaarlijk is om die open te hebben staan. Kunnen ze door middel van die open poort ook andere services benaderen of alleen werkelijk Transmission?

Weet iemand hoe dit zit voordat de vraag ondergesneeuwd is onder de nieuwe replies?

[xippie]

Amelandbor schreef op maandag 04 augustus 2014 @ 20:46:
[...]

Weet iemand hoe dit zit voordat de vraag ondergesneeuwd is onder de nieuwe replies?

Alleen Transmission

[Microkid]

Het belangrijkste is natuurlijk ook: hoe kan je ontdekken of je NAS geinfecteerd is zonder een reboot? Ik hoop dat e.e.a. straks eenvoudig via een SSH sessie te ontdekken is. Ergens zal er wel een bestandje ofzo moeten staan dat verantwoordelijk is voor deze Synolocker. Er is natuurlijk wel ergens een proces ofzo voor nodig.

[Amelandbor]

xippie schreef op maandag 04 augustus 2014 @ 20:49:
[...]

Alleen Transmission

Ok thanks, voor de zekerheid wacht ik nog even met de poort open te zetten, maar is handig om het voor de toekomst te weten.

[Qualixo]

Transmission kun je ook beveiligen met username en password. Alle download Apps zoals sab/sick/transmission heb ik een login en password op staan. Sab en sick ook met ssl certificaat. Helaas kan dit niet met transmission:)

[ Voor 3% gewijzigd door Qualixo op 04-08-2014 20:58 ]

[Kwastie]

Is er al iets bekend over de manier waarop het virus binnen is gekomen?

Er zijn 3 soorten bronnen:

Van binnenuit (dus via windows als een soort proxy)
- nieuws: Bug in Samba maakt uitvoeren root-code op afstand mogelijk
- anderere protocollen die alleen 'intern' beschikbaar zijn

Buitenaf:
- OpenVPN
- Webinterface (bruteforce)
- SSH
- etc.

Geïnstalleerde software
- Bijv. lek in systeem software zoals php, mariadb
- of externe software Sickbeard, Sabnzbd, etc.


Voor de zekerheid de portforwarding naar mijn nas uitgeschakeld, maar ik vraag me af of dit gaat helpen.

[Nivali]

Verwijderd schreef op maandag 04 augustus 2014 @ 20:41:
[...]

welke poorten had je open?

4171, 5000, 5050, 5150, 6789,8083, 8080

Sommige poorten is me een raadsel waarom ik die open had staan. Maar ik had bewust poorten open voor webinterface, sickbeard, autosub, nzbget.

[Amelandbor]

Qualixo schreef op maandag 04 augustus 2014 @ 20:57:
Transmission kun je ook beveiligen met username en password. Alle downloadversie zoals sab/sick/transmission heb ik een login en password op gezet. Sab en sick ook met ssl certificaat. Helaas kan dit niet met transmission:)

Maar de poort die ik open heb gezet is alleen voor de daemon, niet voor de webclient. Dus alleen om een actieve connectie te hebben en zo met meer peers te kunnen connecten.

[The Eagle]

Kon daarnet pas checken. Syno 213 hier, met DSM 4.2 nog
Heb vooralsnog alleen range 16881-16889 en 6881 (DHT) voor torrents open staan. Syno was nog niet geinfecteerd en staat nu uit, maar ik vraag me af of ik die poorten even dicht moet gooien of niet. Any comments?

Voorlopig ga ik het ding maar even niet updaten voordat ik zeker weet dat daar geen ellende van komt.

[hans_lenze]

Ik zie poort 5000 het vaakste langskomen bij mensen die geïnfecteerd zijn.
Zegt natuurlijk niets tot Synology het allemaal heeft uitgezocht...

[guz]

verdorie.... ik heb hem (ds214) net een week, geen tijd gehad me er echt in te verdiepen en nu is hij onbereikbaar... valt synologie niks te verwijten?

[DaaNium]

denk het niet, eindgebruiker is ten alle tijde zelf verantwoordelijk voor zijn/haar data (of backup)
want de NAS zelf is niet stuk ofzo, zet je er een nieuwe hdd in, en zet er de nieuwe DSM op, dan werkt gewoon weer alles prima

[Erulezz]

Als ik alle reacties op het forum heb gelezen is het volgens mij duidelijk dat alle getroffen Syno's bereikbaar waren op port 5000&5001. De devices die dat niet zijn zijn (nog) niet getroffen. Of heb ik het mis?

[Microkid]

hans_lenze schreef op maandag 04 augustus 2014 @ 21:02:
Ik zie poort 5000 het vaakste langskomen bij mensen die geïnfecteerd zijn.
Zegt natuurlijk niets tot Synology het allemaal heeft uitgezocht...

Je bent me net voor. Ik zit al even wat buitenlandse fora te lezen en daar wordt 5000 inderdaad vaak genoemd. Blijkbaar zit er een soort lek achter die admin pagina wat ze misbruiken. Ben erg benieuwd hoe en wat en of Synology snel met een patch of workaround komt.

[xippie]

Vanuit het Synology forum

EDIT... Changed monitoring port to 22 (SSH/Netbackup) as I just read about one affected user who only had port 22 set public in firewall.

[Qualixo]

Begint de locker pas met crypten na reboot of al tijdens infectie? Want dan moet je in de resource manager al veel disk activiteit zien lijkt mij.

[Kwastie]

Microkid schreef op maandag 04 augustus 2014 @ 21:07:
[...]

Je bent me net voor. Ik zit al even wat buitenlandse fora te lezen en daar wordt 5000 inderdaad vaak genoemd. Blijkbaar zit er een soort lek achter die admin pagina wat ze misbruiken. Ben erg benieuwd hoe en wat en of Synology snel met een patch of workaround komt.

5000 is de meeste logische poort om te forwarden, omdat het de standaard admin port is van iedere Synology. Dit geeft geen zekerheid over de bron van de infectie. Natuurlijk kun je voor de zekerheid poort 5000 dicht zetten.

[HenkDePoema]

Ook hier een geïnfecteerde DS214. Niet van mezelf, maar met bedrijfsdata die ongeveer een jaar geleden voor het laatst geback-upt is
Is het zelfs in de verte mogelijk om te denken aan reverse enginering van de encrypted bestanden?

For the record: ook met poort 5000 open.

[NiGeLaToR]

Ben even avondje goed door het systeem aan het spitten en er vallen me wel wat dingetjes op:

- plex user is lid van de groep 'admins'
- plex user heeft toegang tot de applicatie 'surveillance station'

Meer Plex server gebruikers die dit zien?

Verder 2step authenticatie aan, filterregels op de firewall, terwijl die al achter een apart firewall zit (zo kan ik evt op poortniveau nog dingen blokkeren/open zetten, voor specifieke regio's).

Enfin, timmerdetimmer, we timmeren het weer wat dichter.

[guz]

zeer frustrerend... vorige week een crash van mijn oude nas met een zelfvernietigende wd schijf, dus ik dacht safe te zitten met een synology nas met puike schijven... kan ik na een week weer opnieuw beginnen.
nieuwe schijven... die (2x4TB) zijn een week oud!
zijn de schijven echt niet meer bruikbaar (te maken)?
ik heb werkelijk geen idee waar te beginnen, kheb hem net en is nu al onbruikbaar.

[Robkazoe]

Niet panieken. Miscchien is alles wel te fixen. Je kunt nu wel gaan formateren maar dan ben je het zeker weten kwijt. Als de hacker een generieke key gebruikt heeft kunnen ze die bij Synology misschien wel snel achterhalen.

Net even ingelogd op mijn NAS. Ik kon nog inloggen en heb maar snel even patch 3 geinstalleerd. Zover ik kon zien, zag ik niet veel schrijfactiviteit en deed alles het nog. Maar ga hem inderdaad ook maar verder dicht timmeren.

[Kwastie]

guz schreef op maandag 04 augustus 2014 @ 21:13:
zeer frustrerend... vorige week een crash van mijn oude nas met een zelfvernietigende wd schijf, dus ik dacht safe te zitten met een synology nas met puike schijven... kan ik na een week weer opnieuw beginnen.
nieuwe schijven... die (2x4TB) zijn een week oud!
zijn de schijven echt niet meer bruikbaar (te maken)?
ik heb werkelijk geen idee waar te beginnen, kheb hem net en is nu al onbruikbaar.

Met de schijven is niets mis, alleen mogelijk de gegevens..

Er zijn gebruikers die zeggen dat de data niet (of niet volledig) wordt encrypt, dus mogelijk dat de gegevens ook te redden zijn.

[NiGeLaToR]

Tips voor de slachtoffers:
- noteer snel wat er open staat/draait; voor stap 3 en om anderen te helpen dit te voorkomen
- zet je syno uit
- maak ticket aan bij synology support
Ga duimen dat ze een oplossing vinden.

Aangezien de encryptie verbazingwekkend snel wordt uitgevoerd zou het kunnen dat het helemaal niet zo speciale encryptie is als beweert wordt. Wellicht passen ze random wat aan en verminken zo bestanden, terwijl ze feitelijk niet encrypted zijn, maar verminkt. Dat zijn dingen die soms ongedaan gemaakt kunnen worden, maar soms niet. Garantie dat dit omgekeerd kan worden is er niet - beste kans is Synology en helaas niet de hackers betalen

[Robkazoe]

Wat ik mij afvraag, wat is het percentage wat nu besmet is?

[Qualixo]

NiGeLaToR schreef op maandag 04 augustus 2014 @ 21:13:
Ben even avondje goed door het systeem aan het spitten en er vallen me wel wat dingetjes op:

- plex user is lid van de groep 'admins'
- plex user heeft toegang tot de applicatie 'surveillance station'

Meer Plex server gebruikers die dit zien?

Verder 2step authenticatie aan, filterregels op de firewall, terwijl die al achter een apart firewall zit (zo kan ik evt op poortniveau nog dingen blokkeren/open zetten, voor specifieke regio's).

Enfin, timmerdetimmer, we timmeren het weer wat dichter.

Plexuser disabled en alles werkt nog:)

[HenkDePoema]

NiGeLaToR schreef op maandag 04 augustus 2014 @ 21:15:
Aangezien de encryptie verbazingwekkend snel wordt uitgevoerd zou het kunnen dat het helemaal niet zo speciale encryptie is als beweert wordt. Wellicht passen ze random wat aan en verminken zo bestanden, terwijl ze feitelijk niet encrypted zijn, maar verminkt.

Als ik een van de geïnfecteerde bestanden open met een hex editor, zie ik vanaf offset 00000100 dit tussen verder onleesbare tekst staan:
THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_
Googelen levert vooralsnog geen verdere aanwijzingen op.

[H!GHGuY]

Ik heb toch mijn externe USB backup disk losgekoppeld en nog wat externe services disabled.
So far geen meldingen (DCM 4.2 trouwens op DS209).

[MuddyMagical]

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:19:
[...]

Als ik een van de geïnfecteerde bestanden open met een hex edititor, zie ik vanaf offset 00000100 dit tussen verder onleesbare tekst staan:
THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_
Googelen levert vooralsnog geen verdere aanwijzingen op.

En als je in een kopie van dat bestand dit verwijderd? Krijg je dan niet gewoon je originele bestand terug? Gezien de snelheid waarmee alles gaat vermoed ik niet dat er echt iets encrypted wordt.

[TweakMDS]

Ik heb een ds213j staan met van buitenaf alleen ssh open op een alternatieve poort, maar wel eentje die te gokken zou kunnen zijn. Admin en guest zijn disabled en mijn nas staat op de laatste versie (4493-3).
Het liefste zou ik alles blokkeren of dat ding uitzetten tot hier alle details van bekend zijn, maar ik gebruik de ssh toegang dagelijks om vanuit mijn werk een tunnel op te zetten zodat ik bij mijn VM's kan.

Poort 5000 en quick connect en verder alles staan uit of zijn tenminste niet vanuit buiten te benaderen. Zouden jullie hem uit zetten, of zal ik de gok maar wagen dat hij hiermee de nacht doorkomt en ik morgen de juiste IP restricties kan instellen?

[ieperlingetje]

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:19:
[...]

Als ik een van de geïnfecteerde bestanden open met een hex editor, zie ik vanaf offset 00000100 dit tussen verder onleesbare tekst staan:
THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_
Googelen levert vooralsnog geen verdere aanwijzingen op.

Heb je nog andere bestanden/ processen gevonden die verandert zijn?

[HKLM_]

NiGeLaToR schreef op maandag 04 augustus 2014 @ 21:13:
Ben even avondje goed door het systeem aan het spitten en er vallen me wel wat dingetjes op:

- plex user is lid van de groep 'admins'
- plex user heeft toegang tot de applicatie 'surveillance station'

Meer Plex server gebruikers die dit zien?

Verder 2step authenticatie aan, filterregels op de firewall, terwijl die al achter een apart firewall zit (zo kan ik evt op poortniveau nog dingen blokkeren/open zetten, voor specifieke regio's).

Enfin, timmerdetimmer, we timmeren het weer wat dichter.

http://www.synology-forum...rechten-heeft-deze-nodig/
Plex maakt inderdaad een user aan met admin rechten:

[HenkDePoema]

MuddyMagical schreef op maandag 04 augustus 2014 @ 21:21:
[...]

En als je in een kopie van dat bestand dit verwijderd? Krijg je dan niet gewoon je originele bestand terug? Gezien de snelheid waarmee alles gaat vermoed ik niet dat er echt iets encrypted wordt.

Ik heb zojuist geprobeerd of dit helpt, maar helaas. Overigens is niet duidelijk of de tekens die vlak voor of na deze tekst staan, bij de wijziging horen.
@ieperlingetje: nee, ik heb inmiddels geen toegang meer tot de NAS (for obvious reasons ). Dit is het enige bestand waar ik tot nu toe de hand op heb kunnen leggen.

[NiGeLaToR]

Qualixo schreef op maandag 04 augustus 2014 @ 21:18:
[...]

Plexuser disabled en alles werkt nog:)

Thx ga ik gewoon doen/proberen.

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:19:
[...]

Als ik een van de geïnfecteerde bestanden open met een hex editor, zie ik vanaf offset 00000100 dit tussen verder onleesbare tekst staan:
THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_
Googelen levert vooralsnog geen verdere aanwijzingen op.

Nou, duimen maar. Enige wat je kunt doen is wat kopietjes maken en erbij proberen om te kijken of het werkt. Maar, als het zo makkelijk was, had iemand het toch wel gefixed?
Enfin, wellicht denkt iedereen - zo simpel zal het toch niet zijn?

[Nonstop365]

Misschien een idee dat iemand waarvan de bestand zijn aangetast een klein onschuldig (tekst) bestandje deelt zodat er meer mensen naar kunnen kijken?

[ieperlingetje]

Nonstop365 schreef op maandag 04 augustus 2014 @ 21:34:
Misschien een idee dat iemand waarvan de bestand zijn aangetast een klein onschuldig (tekst) bestandje deelt zodat er meer mensen naar kunnen kijken?

Een verminkt bestand bekijken heeft niet veel zin, veel interessanter is welke services er draaiden of wat er in de logs voor de infectie terecht kwam.

[HenkDePoema]

ieperlingetje schreef op maandag 04 augustus 2014 @ 21:37:
[...]


Een verminkt bestand bekijken heeft niet veel zin, veel interessanter is welke services er waren of wat er in de logs voor de infectie terecht kwam.

Wel als mensen de mate van encryptie kunnen achterhalen.

[Nonstop365]

ieperlingetje schreef op maandag 04 augustus 2014 @ 21:37:
[...]


Een verminkt bestand bekijken heeft niet veel zin, veel interessanter is welke services er waren of wat er in de logs voor de infectie terecht kwam.

Als het een simpele verminking betreft kan het misschien ook ongedaan gemaakt worden?

Edit: of wat HenkDePoema zegt..

[ Voor 5% gewijzigd door Nonstop365 op 04-08-2014 21:39 ]

[Timmeah]

Als je Synology geinfecteerd is, krijg je dan meteen het Synolocker scherm als je naar de webadmin gaat, of moet je hem dan eerst rebooten?

Ik heb 5 synology's (in beheer), en kon ze allemaal via de webadmin uitschakelen, maar ben nu een beetje bang dat ik dit misschien beter niet had kunnen doen?

[beantherio]

Timmeah schreef op maandag 04 augustus 2014 @ 21:40:
Als je Synology geinfecteerd is, krijg je dan meteen het Synolocker scherm als je naar de webadmin gaat, of moet je hem dan eerst rebooten?

Ik heb 5 synology's (in beheer), en kon ze allemaal via de webadmin uitschakelen, maar ben nu een beetje bang dat ik dit misschien beter niet had kunnen doen?

Over de gevallen die ik lees gebeurd het tijdens of na het rebooten.

[HenkDePoema]

Hier het bestandje waar ik het net over had.
Ik heb alleen de bestandsnaam gewijzigd. Het origineel is vanmiddag om 13.34 uur encrypted.

[Theebag]

Timmeah schreef op maandag 04 augustus 2014 @ 21:40:
Als je Synology geinfecteerd is, krijg je dan meteen het Synolocker scherm als je naar de webadmin gaat, of moet je hem dan eerst rebooten?

Ik heb 5 synology's (in beheer), en kon ze allemaal via de webadmin uitschakelen, maar ben nu een beetje bang dat ik dit misschien beter niet had kunnen doen?

Dit, ook hier gelijk uitgezet nadat het bekend werd gemaakt. Gelukkig geen remote services of iets dergelijks ingesteld...

[sypie]

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:42:
Hier het bestandje waar ik het net over had.
Ik heb alleen de bestandsnaam gewijzigd. Het origineel is vanmiddag om 13.34 uur encrypted.

Heb je ook het origineel van dat bestand? Dan kan men bekijken wat de verschillen zijn.

[ Voor 65% gewijzigd door sypie op 04-08-2014 21:44 ]

[HenkDePoema]

sypie schreef op maandag 04 augustus 2014 @ 21:43:
Heb je ook het origineel van dat bestand? Dan kan men bekijken wat de verschillen zijn.

Helaas, ik was er te laat bij.

[maarten_v]

Die 1337 op het eind zal er ook wel bij horen lijkt me (Wikipedia: Leet)
Dus dan is de overschreven of ingevoegde code:
THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_1337

Maar als je het weg haalt is hij nog niet leesbaar.

[Microkid]

Dat bestand is echt wel versleuteld. In een PDF zijn het begin en eind nog altijd wel redelijk te lezen met een viewer. In het bestand hierboven is totaal niets meer te lezen.

[Verwijderd]

1337 viel ook meteen op.. scriptkiddie die vakantie heeft ofzo..

[maarten_v]

en daar is ook wat via Google op te vinden: https://www.google.nl/sea...d=opera&ie=UTF-8&oe=UTF-8

[HenkDePoema]

@maarten_v: Inderdaad, die conclusie had ik ook getrokken, omdat het niet gebruikelijk lijkt te zijn dat er meerdere nummerieke tekens achter elkaar staan. Maar hoe zit het met die punten ervoor en erna.

[HenkDePoema]

maarten_v schreef op maandag 04 augustus 2014 @ 21:48:
en daar is ook wat via Google op te vinden: https://www.google.nl/sea...d=opera&ie=UTF-8&oe=UTF-8

Ah, dat had ik nog niet gevonden!

[Jaapmans]

Als je nu googlet op deze string "THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_1337" dan komt er een aardige lijst met zooi voorbij. Google is snel met indexeren van geinfecteerde systemen. Grote vraag is of het allemaal synology systemen zijn.

Edit: te laat, dubbelpost.

[ Voor 5% gewijzigd door Jaapmans op 04-08-2014 21:49 ]

[maarten_v]

Al die php bestanden zijn normaal gesproken ook leesbare tekst, dus lijkt er inderdaad op dat er echt iets wordt versleuteld helaas

[NiGeLaToR]

De ellende met encryptie is dat het ook in de meest basale vorm knap lastig is te doorgronden. Zomaar wat tekststrings wijzigen zou te makkelijk zijn; maar kan wel begin van het ontrafelproces zijn. Iets zegt me dat het niet klopt dat de bestanden zo snel zijn aangepast, dat lukt nooit als er echt xxxbits encryptie overheen geramd is en anders hebben ze 's werelds meest efficiënte encryptieprotocol in handen. Is meer waard dan het gijzelen van wat vakantiefotos.

Maar zeker weten we nog helemaal nax. Ook op FB krijg ik veel bijval om een vraag om IETS meer info aan Synologie, maar vooral geen reactie.

[Microkid]

maarten_v schreef op maandag 04 augustus 2014 @ 21:45:
Die 1337 op het eind zal er ook wel bij horen lijkt me (Wikipedia: Leet)
Dus dan is de overschreven of ingevoegde code:
THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_1337

Maar als je het weg haalt is hij nog niet leesbaar.

Ik zou dat in elk geval ook even op het Synology forum delen. Volgens mij ben je de eerste met zulke info.

[Mavericky]

Vanuit een tweet-conversatie van vandaag (kan de tweet met de links niet meer terugvinden) heb ik deze link vandaag bekeken:
http://t.co/2tpNGeifaD --> http://fpoirot.net/synologyhack/

Hier staan twee plaatjes, de orignele en de encrypte versie ervan door de hack.

In de tweet waar deze link in stond stond toegelicht dat het enige leesbare verschil "THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_1337" zou zijn.

[ Voor 17% gewijzigd door Mavericky op 04-08-2014 21:56 ]

[HenkDePoema]

Ik weet vrijwel niets van encryptie / decryptie, maar is het met behulp van Rainbow tables mogelijk om hier zonder decription key nog wat van te maken? Of denk ik nu te makkelijk?

[AW_Bos]

Mavericky schreef op maandag 04 augustus 2014 @ 21:54:
Vanuit een tweet-conversatie van vandaag (kan de tweet met de links niet meer terugvinden) heb ik deze link vandaag bekeken:
http://t.co/2tpNGeifaD --> http://fpoirot.net/synologyhack/

Hier staan twee plaatjes, de orignele en de encrypte versie ervan door de hack.

In de tweet waar deze link in stond stond toegelicht dat het enige leesbare verschil "THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_1337" zou zijn.

De bestandgrootte is niet veel groter, dus het zou in mijn ogen zomaar kunnen dat de schade minder groter kan zijn dan het is. Maar dan heb ik nog geen analyses gedaan met HEX en de inhoud van het bestand enzo..

[ieperlingetje]

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:54:
Ik weet vrijwel niets van encryptie / decryptie, maar is het met behulp van Rainbow tables mogelijk om hier zonder decription key nog wat van te maken? Of denk ik nu te makkelijk?

Rainbow tables versnellen een kraakproces, maar wees er zeker van als ze in staat zijn zoiets te schrijven, het geen extra moeite kost om een uniek wachtwoord per Diskstation aan te maken. Dan kun je wel een paar uur of een paar dagen zitten rammelen op een bestand, maar dan heb je welgeteld 1 gebruiker geholpen.

[HenkDePoema]

Mavericky schreef op maandag 04 augustus 2014 @ 21:54:
Vanuit een tweet-conversatie van vandaag (kan de tweet met de links niet meer terugvinden) heb ik deze link vandaag bekeken:
http://t.co/2tpNGeifaD --> http://fpoirot.net/synologyhack/

Hier staan twee plaatjes, de orignele en de encrypte versie ervan door de hack.

In de tweet waar deze link in stond stond toegelicht dat het enige leesbare verschil "THE_REAL_PWNED_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX_1337" zou zijn.

Inderdaad, op dezelfde positie (offset 00000100) staat die tekst. De rest is volledig onleesbaar geworden, terwijl je in het origineel nog kunt lezen met welke camera de foto genomen is en met welke software het bestand gemaakt is.

[maarten_v]

Al die php bestanden op Google die zijn gewijzigd beginnen met andere tekens. In de praktijk beginnen ze vaak met "<?php" en dus dezelfde tekens.
Dat zou er op wijzen dat de encryptie altijd met een andere sleutel is gedaan, of dat er gewoon random karakters staan wat kan verklaren dat het zo snel gaat.

[FreshMaker]

ThinkPadd schreef op maandag 04 augustus 2014 @ 16:16:
What about XPEnology? Dat heb ik op m'n zelfbouw NAS draaien (4.2-3211).
Even updaten is daar ook niet zomaar bij, is allemaal custom made releases.

Heb alleen 873 (NetBackup), 22 (SSH, met sterk password), 1723 (PPTP VPN), en nog 2 random hoge poorten voor Download Station (Torrent).

http://www.xpenology.nl/installatie-dsm-5-0-4493-update-3/

Handleiding om de update alsnog handmatig te doen.
Paar minuten werk, vanmorgen ( toevallig) nog gedaan

[_Mitchie_]

Bij thuis komst gelijk een backup van mijn belangerijk bestanden gemaakt (foto's etc.)
De synology ds214play daarna uitgezet en weer aangezet om te zien of de ransomware synolocker na inloggen te zien krijg.

Op het eerste gezicht geen vreemde dingen (geen ransomware synolocker melding)

Nas gelijk weer uitgezet en zien morgen wel verder of er oplossing is

[ieperlingetje]

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:58:
[...]

Inderdaad, op dezelfde positie (offset 00000100) staat die tekst. De rest is volledig onleesbaar geworden, terwijl je in het origineel nog kunt lezen met welke camera de foto genomen is en met welke software het bestand gemaakt is.

Waarschijnlijk gebruiken ze die string om de bestanden die moeten ontsleuteld worden (na het betalen van het bedrag) snel terug te vinden.

[DaaNium]

is het inmiddels wel bevestigd dat je een werkende sleutel krijgt na betaling?
kan me voorstellen dat bedrijven die hun dagelijkse data op een synology hebben staan, dat er graag voor over hebben