Synology NAS besmet met ransomware synolocker

[Verwijderd]

DaaNium schreef op maandag 04 augustus 2014 @ 22:04:
is het inmiddels wel bevestigd dat je een werkende sleutel krijgt na betaling?
kan me voorstellen dat bedrijven die hun dagelijkse data op een synology hebben staan, dat er graag voor over hebben

Volgens mij nog niet.. Heb nog niemand gespot die weer blij is dat hij 0.6 bitcoins heeft afgetikt en alles weer ok is...

[Microkid]

HenkDePoema schreef op maandag 04 augustus 2014 @ 21:58:
[...]

Inderdaad, op dezelfde positie (offset 00000100) staat die tekst. De rest is volledig onleesbaar geworden, terwijl je in het origineel nog kunt lezen met welke camera de foto genomen is en met welke software het bestand gemaakt is.

En het bestand is 379 bytes groter geworden.

[Verwijderd]

via google kom ik ook gewoon op een nas waar FTP open staat... Via poort 5000 kom je op de SynoLockerTM pagina. Daar is te zien dat het feest al vanaf 02-08-2014 gaande is..

[Kapitein Iglo]

Technical details about the encryption process:

A unique RSA-2048 keypair is generated on a remote server and linked to this system.
The RSA-2048 public key is sent to this system while the private key stays in the remote server database.
A random 256-bit key is generated on this system when a new file needs to be encrypted.
This 256-bit key is then used to encrypt the file with AES-256 CBC symmetric cipher.
The 256-bit key is then encrypted with the RSA-2048 public key.
The resulting encrypted 256-bit key is then stored in the encrypted file and purged from system memory.
The original unencrypted file is then overwrited with random bits before being deleted from the hard drive.
The encrypted file is renamed to the original filename.
To decrypt the file, the software needs the RSA-2048 private key attributed to this system from the remote server.
Once a valid decryption key is provided, the software search each files for a specific string stored in all encrypted files.
When the string is found, the software extracts and decrypts the unique 256-bit AES key needed to restore that file.

Note: Without the decryption key, all encrypted files will be lost forever.

Google resultaten, eerste link aanklikken, vervang url door :5000 en je hebt de synolocker pagina inc log van wat die persoon op de syno heeft staan en nu geencrypt is Van de google resultaten iig al 2 die poort 5000 open hebben.

[Nivali]

Hoe herken je een encrypt bestand? Ik heb dus weer alles werkend en zie op het eerste gezicht niks vreemds. Wellicht ben ik er met geluk vanaf gekomen?

[HenkDePoema]

Nivali schreef op maandag 04 augustus 2014 @ 22:09:
Hoe herken je een encrypt bestand? Ik heb dus weer alles werkend en zie op het eerste gezicht niks vreemds. Wellicht ben ik er met geluk vanaf gekomen?

Het bestand is niet te openen wanneer het encrypted is. Afhankelijk van de software krijg je een melding met de strekking dat het bestand onleesbaar is of een ongeldige indeling heeft.

[Verwijderd]

Ik wil best wat bitcoins crowdfunden om te kunnen bevestigen of een decryption key werkt.

[RIVDSL]

Kapitein Iglo schreef op maandag 04 augustus 2014 @ 22:09:
[...]


Google resultaten, eerste link aanklikken, vervang url door :5000 en je hebt de synolocker pagina inc log van wat die persoon op de syno heeft staan en nu geencrypt is Van de google resultaten iig al 2 die poort 5000 open hebben.

Van alle hits die ik op google zie hebben de servers die nog up zijn allemaal de admin interface op poort 5000 open staan. Van degene waarbij je niets ziet op poort 5000 is de pagina waar google naar linkt ook down, dus die nassen zijn waarschijnlijk al uit gezet.

[AW_Bos]

Verwijderd schreef op maandag 04 augustus 2014 @ 22:13:
Ik wil best wat bitcoins crowdfunden om te kunnen bevestigen of een decryption key werkt.

Je moet die 'ratten' niet financieel beter maken. Kunnen ze nog wat bot-netjes mee opzetten straks...

[Qualixo]

alles is wel overigens port 5000. zie geen https sites staan.

[Verwijderd]

AW_Bos schreef op maandag 04 augustus 2014 @ 22:15:
[...]

Je moet die 'ratten' niet financieel beter maken. Kunnen ze nog wat bot-netjes mee opzetten straks...

Daarom kan er beter 1 iemand het wagen dan tientallen.. maargoed ik ben het met je eens.. elke dollar/euro die ze krijgen is er 1 te veel..

[Verwijderd]

.., dus die nassen zijn waarschijnlijk al uit gezet.

Die knakker uit TaiPei heeft kennelijk nog geen idee..

[Razr]

Er zal wel niemand zijn die wat verkeer heeft kunnen loggen van het encryptie moment? Ik bedoel, als de encryptie tool echt 'naar huis belt' om een key op te vragen dan zal dat snel duidelijk moeten worden. Anders wijst het al snel richting bluf..

[ieperlingetje]

wel apart trouwens dat ze het invoeren van de RSA key enkel over SSL toestaan

nvm, ze gebruiken poort 443 maar wel geen versleutelde verbinding.

[ Voor 33% gewijzigd door ieperlingetje op 04-08-2014 22:22 ]

[Microkid]

Kapitein Iglo schreef op maandag 04 augustus 2014 @ 22:09:
[...]
The resulting encrypted 256-bit key is then stored in the encrypted file and purged from system memory.

Dat verklaart in elk geval waarom het bestand 379 bytes groter is. Ze slaan de versleutelde key in het bestand op. Dat zal dan wel vlak voor of na die signature zijn.

[plizz]

Verwijderd schreef op maandag 04 augustus 2014 @ 22:16:
[...]


Daarom kan er beter 1 iemand het wagen dan tientallen.. maargoed ik ben het met je eens.. elke dollar/euro die ze krijgen is er 1 te veel..

Kunnen we niet een honey pot inzet om inzicht te krijgen hoe die ransomware krijgt en werkt?

[Qualixo]

plizz schreef op maandag 04 augustus 2014 @ 22:19:
[...]


Kunnen we niet een honey pot inzet om inzicht te krijgen hoe die ransomware krijgt en werkt?

virtuele synology is zo opgezet in vmware. in dmz gooien en wachten maar.

[NiGeLaToR]

Qualixo schreef op maandag 04 augustus 2014 @ 22:20:
[...]

virtuele synology is zo opgezet in vmware. in dmz gooien en wachten maar.

Wat denk je dat Synology aan het doen is.

Er zijn niet alleen miljoenen kleine gebruikers, ook duizenden zakelijke. Dacht je dat die nog een Syno kopen ooit als dit niet wordt opgelost?

[Verwijderd]

ieperlingetje schreef op maandag 04 augustus 2014 @ 22:18:
wel apart trouwens dat ze het invoeren van de RSA key enkel over SSL toestaan.

Het bijzondere is wel dat het http blijft en geen https wordt.. ik was er al mee bezig om te inspecteren omdat de poort naar 443 wordt gezet.. Maar toch is het geen ssl..

[hans_lenze]

Qualixo schreef op maandag 04 augustus 2014 @ 22:20:
[...]

virtuele synology is zo opgezet in vmware. in dmz gooien en wachten maar.

Simpele taak aan een grenswaarde koppelen (maak snapshot indien %CPU > 75) en voila.

[Verwijderd]

<html><body>
<br><br><br><b><h3>If the following link does not work then check that Synology NAS port 443 is reachable from your browser.</h3><script>var redirect = "http://" + document.domain + ":443";document.write("<a href=\"" + redirect + "\">Continue to decryption page</a>") </script></body></html>

Yeah right.

[ieperlingetje]

Verwijderd schreef op maandag 04 augustus 2014 @ 22:23:
<html><body>
<br><br><br><b><h3>If the following link does not work then check that Synology NAS port 443 is reachable from your browser.</h3><script>var redirect = "http://" + document.domain + ":443";document.write("<a href=\"" + redirect + "\">Continue to decryption page</a>") </script></body></html>

Yeah right.

Dat is gewoon een redirect omdat ze niet kunnen bepalen wat het externe domein van een synology achter NAT of proxy is,dus laten ze de browser het afhandelen. Ik zie niet wat er hier speciaal aan is?

[Verwijderd]

ieperlingetje schreef op maandag 04 augustus 2014 @ 22:26:
[...]


Dat is gewoon een redirect omdat ze niet kunnen bepalen wat het externe domein van een synology achter NAT of proxy is,dus laten ze de browser het afhandelen. Ik zie niet wat er hier speciaal aan is?

http:// + 443

[Verwijderd]

Hier 212+ met laatste update en zowel poorten 5000 en 5001 stonden open (nu wel snel dicht gedaan). Heb afgesloten en reboot gedaan en blijkbaar niet geïnfecteerd. Nu systeem toch maar uitgezet en eventjes afwachten.

[PBX_g33k]

Hier een 211J en een 414, 212 heeft 8250 openstaan voor ZNC en beide NASsen zijn alleen achter een Reverse Proxy (NGINX) bereikbaar (op twee specifieke domeinnamen).
Gelukkig geen besmettingen waargenomen.

Vanmiddag ontdekt dat de Synology van een collega besmet is geraakt na een reboot dus durf niet te rebooten. Heb geen pieken gezien in top en totnogtoe geen opmerkelijke opstart scripts gezien.

Is het al duidelijk of de encryptie process gestart wordt door een door de gebruiker gestarte event? (http request, reboot, etc)

[gambieter]

Net de DS213j weer aangezet, geen encryptie. Ik heb poorten 443, 20/21 en 5000 vast dichtgezet.

Nog open staan 25, 80, 110, 143, 5001 en 5006. Mailserver... Misschien toch maar even 5001/5006/80 dichtdoen.

[emnich]

Hier ook gewoon poorten 5000 en 5001 open gehad, standaard admin account stond nog enabled (had al wel een ander admin account aangemaakt maar de echte admin nog niet disabled...). Ik had hem vanmiddag uit voorzorg uit gezet. Net weer aan en hij leek nog gewoon te werken. Althans geen melding gezien.

Daarna weer snel uitgezet tot er info van Synology komt. Wil toch wel heel graag weten hoe ze geïnfecteerd zijn...

@gambieter: Ik zou hem persoonlijk toch even uit laten of in elk geval van het internet afkoppelen totdat bekent is waar het door komt.

[Hari-Bo]

Momenteel heb ik OpenVPN draaien op mijn nas dmv een plugin en alleen deze poort is geforward 1194 UDP, maar ik zit me nu af te vragen of het allemaal nog wel zo veilig is. Is het bijvoorbeeld veiliger om het op een router te draaien?

[Verwijderd]

De unlocker page lijkt niets te doen.. heb een RSA private key er in gepaste maar doet niets.. Ook bl44t teksten geven hetzelfde resultaat..

[NMe]

Verwijderd schreef op maandag 04 augustus 2014 @ 22:29:
[...]

http:// + 443

Waarom niet? Je kan een daemon laten luisteren op elke poort die je wil, zeker als je (blijkbaar) root access hebt. Dat het in de praktijk een slecht plan is wil niet zeggen dat zij het niet zo ingesteld hebben.

[TweakMDS]

Ik heb toevallig vanmorgen ge-update naar de laatste DSM op mijn 213j, en zojuist ook nog wat firewall regels toegevoegd (regio Nederland en mijn lokale netwerk). Morgen ook nog maar even alle IP adressen van mijn werk en mobiele netwerk specifiek whitelisten, regio NL eruit en dan zal het wel goed zijn. Alleen ssh staat open op poort 3022, de admin account is disabled.
Mocht het allemaal mis gaan, dan kan ik mijn disaster recovery scenario een keer testen. Heb niet zoveel behoefte om mijn gebruik van de nas te onderbreken voor dit soort digitale terreur.

[ Voor 6% gewijzigd door TweakMDS op 04-08-2014 22:46 ]

[HenkDePoema]

Verwijderd schreef op maandag 04 augustus 2014 @ 22:42:
De unlocker page lijkt niets te doen.. heb een RSA private key er in gepaste maar doet niets.. Ook bl44t teksten geven hetzelfde resultaat..

Heb je betaald voor die key?

[Verwijderd]

HenkDePoema schreef op maandag 04 augustus 2014 @ 22:43:
[...]

Heb je betaald voor die key?

Nee maar hij zou toch een validatie doen. Uiteraart vertrouw ik ze niet dat ze alleen geldige keys er door laten floepen maargoed..

[JdM]

Hier uit voorzorg ook maar alles uit gezet, ben te N00B om eigenwijs te zijn

[DaaNium]

op het synology forum is het maar stil vind ik. Waar halen jullie de meest recente informatie vandaan? (Ik hier van Tweakers )

[cooper87]

Communicatie is inderdaad bedroevend. Heb hem nu ook maar uit staan, al heel de avond geen zakelijke mail....

[beantherio]

DaaNium schreef op maandag 04 augustus 2014 @ 22:57:
op het synology forum is het maar stil vind ik. Waar halen jullie de meest recente informatie vandaan? (Ik hier van Tweakers )

Echt harde informatie lijkt nog nergens te vinden te zijn.

[HenkDePoema]

Ook Twitter is opmerkelijk rustig. #synolocker is nog niet echt trending ofzo

[DaaNium]

ja, balen, voor iedereen die een synology heeft.
is er inmiddels al bekend of je ook kwetsbaar bent met de laatste DSM 5.0.4493 update 3?

[maarten_v]

Als ik alles goed heb gevolgd ben je met DSM 5.0.4493 update 3 kwetsbaar icm met waarschijnlijk een open poort 5000

[cooper87]

Volgens mij is daarover nog niks bekend. Ik ga er nu vanuit dat je met álles kwetsbaar bent.

[ThinkPad]

FreshMaker schreef op maandag 04 augustus 2014 @ 22:03:
[...]


http://www.xpenology.nl/installatie-dsm-5-0-4493-update-3/

Handleiding om de update alsnog handmatig te doen.
Paar minuten werk, vanmorgen ( toevallig) nog gedaan

Super, bedankt! Ga er zoals eerder vermeld na m'n vakantie even naar kijken. Voor nu zet ik de NAS gewoon uit. Toch niet nodig

Die 5.0-4493 Update 3 is wel nice, dat is ook wat er op de 213j bij m'n ouders staat, nieuwste dus Nu maar hopen dat het ook stabiel is, de XPEnology versie die ik nu heb werkt uitermate goed, nooit rare vastlopers ofzo gehad.

Kende de site ook nog niet, zat eerder altijd op dat XPEnology forum maar dat was ook niet altijd even duidelijk uitgelegd.

[beantherio]

cooper87 schreef op maandag 04 augustus 2014 @ 23:03:
Volgens mij is daarover nog niks bekend. Ik ga er nu vanuit dat je met álles kwetsbaar bent.

Hier idem. Je leest allerlei dingen en niets eenduidigs. Ik wacht wel tot Synology met een echte verklaring komt en tot die tijd zet ik mijn NAS-en niet aan.

[Qualixo]

zijn er berichten dat usb disken aan syno ook worden encrypted?

[beantherio]

Qualixo schreef op maandag 04 augustus 2014 @ 23:13:
zijn er berichten dat usb disken aan syno ook worden encrypted?

Ik heb er nog niets over gelezen maar daar zou ik geen zekerheid uit halen.

[xippie]

Qualixo schreef op maandag 04 augustus 2014 @ 23:13:
zijn er berichten dat usb disken aan syno ook worden encrypted?

Synology ziet ze als een aparte schijf, dus die zijn volgens mij ook niet veilig.

[gambieter]

emnich schreef op maandag 04 augustus 2014 @ 22:40:
@gambieter: Ik zou hem persoonlijk toch even uit laten of in elk geval van het internet afkoppelen totdat bekent is waar het door komt.

Ik heb de poorten toch maar even dichtgegooid, en zo de mailapp even afsluiten

[PBX_g33k]

xippie schreef op maandag 04 augustus 2014 @ 23:15:
[...]

Synology ziet ze als een aparte schijf, dus die zijn volgens mij ook niet veilig.

Synology laat ze zien als aparte schijven in de web interface . Via SSH zijn het gewone (linux) mounts.

[Compizfox]

roland83 schreef op maandag 04 augustus 2014 @ 16:23:
Ja, dat is Firefox. Moet nog steeds.

Alleen als de site de Strict-Transport header doorgeeft zal Firefox toegang tot de site over HTTP nooit toestaan, maar dat is juist de bedoeling van Strict-Transport. Hoe andere browsers hiermee omgaan weet ik niet.

In andere gevallen kun je er (toegegeven, pas na een aantal klikken) gewoon op.

[maus]

"SynoLocker Message Issue — If NAS is not infected: First, close all open ports for external access for now. Backup the data on the DiskStation and update DSM to the latest version. Synology will provide further information as soon as possible if you are vulnerable. If NAS is infected, first do not trust (and ignore) any unauthorized, non-Synology messages or emails. Hard shut down the DiskStation to prevent any further issues. Contact Synology support as soon as possible by submitting a form below or email us at [e-mail]. We apologize for any issue this has created, we will keep you updated with latest information as we address this issue."

https://myds.synology.com/support/support_form.php?lang=us

Advies vanuit Synology nu dus ook om alle poorten dicht te gooien..

[Verwijderd]

gambieter schreef op maandag 04 augustus 2014 @ 23:16:
[...]

Ik heb de poorten toch maar even dichtgegooid, en zo de mailapp even afsluiten

Ik las net op twitter dat synology oproept iedereen die niet besmet is om alle poorten dicht te gooien.

Edit: lol, zie hierboven, tegelijk met mijn bericht gepost

[ Voor 9% gewijzigd door Verwijderd op 04-08-2014 23:20 ]

[gekkie]

Hmm ondanks een Qnap .. toch ook wel benieuwd wat het is .. weet maar nooit of het toch wat universeler blijkt.

[Brons]

Is al bekend of de NAS besmet kan zijn zonder dat je de waarschuwing te zien krijgt? Ik krijg het reguliere inlogscherm te zien en ik wil mijn NAS eigenlijk niet uitzetten of rebooten (zeker niet als een reboot een trigger kan zijn voor de encryptie). Mijn NAT heb ik gesloten en tenzij een paar maande oude versies van sickbeard of NZBget besmet zijn verwacht ik dan mijn synology veilig is.

[DaaNium]

indien je nas nog gewoon werkt, zou ik voor een reboot eerst een backup maken

[Yucko]

Mijn DS412+ weer opgestart nadat alle port forwards op router ongedaan gemaakt zijn (niets was via de standaard poort bereikbaar) en alles lijkt het nog te doen.

Geen SynoLocker scherm, geen verhoogde disk activiteit of cpu belasting.

* Yucko is blij

[HenkDePoema]

Brons schreef op maandag 04 augustus 2014 @ 23:21:
Is al bekend of de NAS besmet kan zijn zonder dat je de waarschuwing te zien krijgt?

Voor zover bekend krijgt iedereen met een besmette NAS in plaats van het inlogscherm de inmiddels bekende Synolocker melding. Bestanden en mappen blijven zichtbaar in file browsers, maar zijn dus niet te gebruiken.

[ Voor 53% gewijzigd door HenkDePoema op 04-08-2014 23:27 ]

[Timmeah]

HenkDePoema schreef op maandag 04 augustus 2014 @ 23:23:
Voor zover bekend krijgt iedereen met een besmette NAS in plaats van het inlogscherm de inmiddels bekende Synolocker melding.

De vraag is een beetje of dat na een reboot is, of daarvoor al...

Heb 5 servertjes in beheer, heb ze allemaal maar uitgezet, maar 3 daarvan waren via poortjes 5001 bereikbaar... Ik start ze pas weer op als Synology een patch klaar heeft... Neem aan dat ze daar nu als bezetene aan het werk zijn, heel kwalijk ook voor Synology als bedrijf dit.

[Puc van S.]

Yucko schreef op maandag 04 augustus 2014 @ 23:22:
Mijn DS412+ weer opgestart nadat alle port forwards op router ongedaan gemaakt zijn (niets was via de standaard poort bereikbaar) en alles lijkt het nog te doen.

Geen SynoLocker scherm, geen verhoogde disk activiteit of cpu belasting.

* Yucko is blij

Same hier, maar voor de zekerheid toch maar alle zekerheid al het extra spul uitgezet (ssh/packages/web station/ddns/services) en de synology firewall alleen maar toegestaan op mijn interne netwerk..

[hars73]

Ik had geen portforwarding op m'n router meer ingesteld. Laatst een keer een firmware update op m'n router geinstalleerd en daarna was alles weer op fabrieksinstellingen. Heb dat maar zo gelaten toen (gelukkig!), want die 3x die ik mijn Syno van buitenaf benaderd heb, was alleen maar voor 'de leuk'.

Had DSM 4.3 als actieve versie. Net een update gedaan naar de laatste 5 versie. Na het updaten volgde uiteraard ook een reboot. Kreeg gewoon het nieuwe inlogscherm van versie 5. Ingelogd, daarna ook geen issues gezien. EZ connect heb ik niet aanstaan. DDNS heb ik in de router maar even uitgeschakeld, die liep via MyDS, maar aangezien de poorten niet open stonden, kreeg ik op de pagina van MyDS ook te zien dat er geen verbinding was met mijn NAS. Ook via het MyDS hostadres kon ik extern mijn NAS niet benaderen.

Heb via DSM mijn Synology maar uitgeschakeld. Even voor de zekerheid. Maar volgens mij zit het bij mij nog wel goed?

[ Voor 23% gewijzigd door hars73 op 04-08-2014 23:37 ]

[ThinkPad]

Als ik trouwens SSH maar vanaf 1 IP-adres van buiten toe wil staan, hoe zet ik dat in de firewall?

Allow 22 from <ip>
Deny 22 from all

Of is alleen de eerste regel genoeg? En ik neem aan dat als ik inkomende SSH verbindingen wil blokkeren, ik in de rule moet instellen dat hij voor 'Source' geldig is? Destination is als de Syno zelf wat wil opvragen toch?

[SpoekGTi]

Zojuist mijn DS412+ eens een schop gegeven en niets aan de zeis, afsluiten duurde wel wat langer, dus * SpoekGTi begon hem wel even te knijpen.

Heb momenteel de volgende stappen maar ondernomen:

admin account gedisabled
Guest account stond al uit
alle portforwardings naar de nas maar uit mijn modem gehaald (dag cloudstation)

Wat ik me afvraag dat encrypten dat moet toch veel langer duren dan een paar minuten, ik bedoel ik heb 11TB aan ruimte waarvan 6TB gevuld.....dat doe je niet in een paar tellen. Wat je wel in een paar tellen kan is gewoon de rechten aanpassen of dingen hidden maken, dat is ook vaak een werkwijze van de windows ransomware....

En pakt hij de hele disks/raid of doet hij specifieke mappen zoals de standaard shares (music/video/photo)

[HenkDePoema]

Timmeah schreef op maandag 04 augustus 2014 @ 23:25:
Neem aan dat ze daar nu als bezetene aan het werk zijn, heel kwalijk ook voor Synology als bedrijf dit.

Dat neem ik ook aan, maar het is toch vreemd dat ze hier geen updates over geven, al was het alleen maar om het idee te geven dat ze er bovenop zitten, of om extra input te krijgen. De laatste tweet is zeker 4 uur oud.

[Puc van S.]

ThinkPadd schreef op maandag 04 augustus 2014 @ 23:32:
Als ik trouwens SSH maar vanaf 1 IP-adres van buiten toe wil staan, hoe zet ik dat in de firewall?

Allow 22 from <ip>
Deny 22 from all

Of is alleen de eerste regel genoeg? En ik neem aan dat als ik inkomende SSH verbindingen wil blokkeren, ik in de rule moet instellen dat hij voor 'Source' geldig is? Destination is als de Syno zelf wat wil opvragen toch?

de eerste regel is alleen genoeg indien je onder in het scherm aangezet hebt dat je alle overige verbindingen wilt blokkeren. Source is idd het IP adres waarvandaan je wilt connecten.

[Moby]

Vanavond voor her eerst sinds lange tijd een inlogpoging gehad via ssh. Mislukt want 3x verkeerd binnen 1 minuut. IP 116.10.191.179. Waarschijnlijk is het niets maar wou het toch even melden

[Paulus07]

hmmm toch maar voor de zekerheid de poorten uit de router verwijderd en de nas uitgezet. ben zelf niet technisch genoeg om andere instellingen etc te checken

[Verwijderd]

HenkDePoema schreef op maandag 04 augustus 2014 @ 23:34:
[...]

Dat neem ik ook aan, maar het is toch vreemd dat ze hier geen updates over geven, al was het alleen maar om het idee te geven dat ze er bovenop zitten, of om extra input te krijgen. De laatste tweet is zeker 4 uur oud.

Schandalig, niks meer en niks minder, ronduit schandalig hoe dit bedrijf hiermee omgaat. Niet eens een mail of wat dan ook. Ze hebben toch onze gegevens? Ze mailen mij in iedergeval wel af en toe.

Je kan nu nog de schade inperken, zet dan de communicatiekanalen in om je klanten te bereiken.

[ Voor 7% gewijzigd door Verwijderd op 04-08-2014 23:52 ]

[mydogisgone]

poeh heb vakantie. Heb toch voor de zekerheid mijn collega's op de hoogte gesteld om bij onze zakelijke klanten alles dicht te zetten! Hier ben ik nu backup aan het draaien om daarna de nas eens te herstarten. Tevens alle poorten dicht gezet.

[maniak]

Ik draai zelf FreeNAS en ik had SSH aangezet zodat ik vanuit mijn werk bij mijn NAS kon komen. FreeNAS stuurt elke dag een security log en daarin zag ik honderden attempts op mijn SSH port, allemaal vanuit China. Heb na een dag rap SSH maar weer dicht gezet...

Ik vraag me wel af hoe veilig de Jails in FreeNAS zijn. Er draait een Minecraft server en een Teamspeak server op voor de kids welke wel vanuit buiten benaderbaar zijn.

[Dutch_guy]

Moby schreef op maandag 04 augustus 2014 @ 23:39:
Vanavond voor her eerst sinds lange tijd een inlogpoging gehad via ssh. Mislukt want 3x verkeerd binnen 1 minuut. IP 116.10.191.179. Waarschijnlijk is het niets maar wou het toch even melden

Dat lijkt wel heel veel op wat ik eerder plaatste...

User [admin] from [116.10.191.167] failed to log in via [SSH] due to authorization failure

[Qualixo]

beide uit china

[Verwijderd]

Qualixo schreef op maandag 04 augustus 2014 @ 23:55:
beide uit china

Verklaart ook het "lage" bedrag dat ze vragen.

[ChangeLife4Ever]

Qualixo schreef op maandag 04 augustus 2014 @ 23:55:
beide uit china

En als de firewall ingesteld staat op "alleen Nederland"?

[ThinkPad]

Die SSH inlogpogingen zeggen niet zoveel. Die krijgt elke box die luistert op poort 22 dagelijks vele keren. Is niet meer dan normaal. Puur een poging om 'aan te kloppen' of er iemand thuis is.

Kijk ook maar naar de usernames die ze proberen: 'root', 'admin', 'joomla', 'default' etc Ze kijken gewoon of een van de 'sleutels' past in jouw 'slot'

[ Voor 29% gewijzigd door ThinkPad op 05-08-2014 00:05 ]

[Dutch_guy]

Dat denk ik ook ja, gebeurt wel extreem veel, iedere seconde, maar lijkt mij niet dat er dan opeens zoveel mensen problemen zouden ondervinden.

[Timmeah]

SynoLocker Message Issue — If NAS is not infected: First, close all open ports for external access for now. Backup the data on the DiskStation and update DSM to the latest version. Synology will provide further information as soon as possible if you are vulnerable. If NAS is infected, first do not trust (and ignore) any unauthorized, non-Synology messages or emails. Hard shut down the DiskStation to prevent any further issues. Contact Synology support as soon as possible by submitting a form below or email us at [e-mail]. We apologize for any issue this has created, we will keep you updated with latest information as we address this issue.

Wat ik hieruit opmaak, is dat je backups moet maken met je Synology als je niet geinfecteerd bent. Maar als je dat op een externe harde schijf doet gekoppeld aan je synology, en die wordt dan alsnog geinfecteerd, ben je alsnog het zaadje toch? Backuppen naar een externe schijf gekoppeld aan een computer kost verder ook wel erg lang als je meerdere TB's hebt staan, dus ook niet echt een optie.

[Killerbert]

Timmeah schreef op dinsdag 05 augustus 2014 @ 00:16:
......
Wat ik hieruit opmaak, is dat je backups moet maken met je Synology als je niet geinfecteerd bent. Maar als je dat op een externe harde schijf doet gekoppeld aan je synology, en die wordt dan alsnog geinfecteerd, ben je alsnog het zaadje toch? Backuppen naar een externe schijf gekoppeld aan een computer kost verder ook wel erg lang als je meerdere TB's hebt staan, dus ook niet echt een optie.

backup maken naar je externe hdd en als deze klaar is hdd fysiek ontkoppelen

[mydogisgone]

Zo ik heb gelukkig geen problemen. Backup is gemaakt en compleet. Verder heb ik na herstart geen rare meldingen kunnen zien in het inlogscherm. Alles nog leesbaar. Gelukkig.

[ThinkPad]

Net even de boel wat strakker gezet in de firewall. NetBackup + SSH mag alleen nog vanaf één bepaald IP-adres. Voor de rest staat alleen VPN nog open naar de buitenwereld toe.

Bij het instellen van de regels kies je als type voor 'Destination' (of 'Doel' als je Syno op NL hebt ingesteld)

De regels heb ik als volgt gezet:

• Alle poorten + alle protocollen van 192.168.1.0 - 192.168.1.255 toestaan, anders sluit je jezelf buiten
• Alle poorten + alle protocollen van 10.2.0.0 - 10.2.0.255 toestaan, anders sluit je jezelf buiten als je via L2TP VPN bent ingelogd.
• Applicatie 'VPN' server alles toestaan op IP-adressen afkomstig uit Nederland, Frankrijk, Duitsland, Europa etc (alleen locaties waar je zelf komt) (ik log vaak in via WiFi hotspot of via m'n telefoon, dus wisselend IP helaas)
• Poort 22 en 873 alleen toestaan op <ip_adres_locatie_andere_synology> ivm NetBackup

En onderaan klik je dan op "If no rules are matched: Deny access"

Daarmee heb je de boel dan behoorlijk op slot staan. Daarmee krijg je ook geen SSH inlogpogingen meer, je kunt er immers alleen vanaf het eigen ingestelde IP-adres bij

Ik wil de backups tussen twee locaties wel door laten gaan, dus de NAS helemaal uitzetten is dan wat rigoreus, dit voldoet m.i. ook goed. Enige lek wat er nog is is VPN, maar daar kan ik niet zonder.

Via www.canyouseeme.org kun je checken of je NAS op slot staat

[ Voor 13% gewijzigd door ThinkPad op 05-08-2014 11:21 ]

[Aardwolf]

Netwerken is mn ding niet echt, maar even ter check in dit topic.

Ik log alleen lokaal in op de 5000 poort en heb geen port forwards in de router staan, loop ik dan alsnog risico? Kan ik de NAS prima lokaal gebruiken via IP:5000 (intern netwerk+poort)? Of is het sowieso maar beter om hem even uit te laten?

Bedankt alvast.

[MuddyMagical]

Vind het nog steeds een schijnveiligheid om de Synology firewall te vertrouwen terwijl we nog niet weten waar de vulnerability zit.

Mijn advies blijft toch echt om even de access vanaf buiten uit te zetten door in de firewall van je router alle forwards te verwijderen of te deactiveren. Anders blijft het gokken met je data.

[itsgreen]

Ik laat hem zelf maar even geforceerd uit.

Net even met internet uit de router de boel gecheckt, paar keer gereboot of er iets raars gebeurde. Alles leek ok. Even alle instellingen extra scherp gezet. En weer uit gezet.

Geen zin in problemen. In de praktijk zal je waarschijnlijk geen grote problemen tegen komen als je je poorten in je router niet forward...

[Dutch_guy]

Net geantwoord op Twitter door Synology op de vraag of dsm 5 vatbaar is:

@Kristofferabild this is not clear yet. We will release more information as soon as we can.

Kortom die weten nog weinig...

[ZaZ]

Het lijkt erop dat dsm 5 wel vatbaar is

[ Voor 3% gewijzigd door ZaZ op 05-08-2014 02:29 ]

[NiGeLaToR]

Timmeah schreef op dinsdag 05 augustus 2014 @ 00:16:

Wat ik hieruit opmaak, is dat je backups moet maken met je Synology als je niet geinfecteerd bent. Maar als je dat op een externe harde schijf doet gekoppeld aan je synology, en die wordt dan alsnog geinfecteerd, ben je alsnog het zaadje toch? Backuppen naar een externe schijf gekoppeld aan een computer kost verder ook wel erg lang als je meerdere TB's hebt staan, dus ook niet echt een optie.

Backups maak je op het moment dat er geen problemen zijn, als je er aan begint als je vermoed dat er iets mis is - ben je te laat. Dit is de ellende - RAID beschermt je hier dus niet tegen. Heb gelukkig al tijdje een offsite kopie van belangrijkste data, het is het echt waard, koop een usb disk, kopieer hier gewoon je data heen, zet 'm elders en klaar. Eens per kwartaal maak je nieuwe kopie, er naast of erover, et voila.

Zo kun je RAID gewoon niet doen, als je al een kopie hebt. Stel:
- 1 kopie op je host
- 1 kopie op je NAS
- 1 offsite backup

RAID totaal nutteloos, tenzij je nog een soort extra beschikbaarheid wilt garanderen.

Hou je het origineel op je NAS, dan zou ik een USB disk overwegen aan de NAS en daar periodiek op backuppen. Stel elke nacht, dan kun je die nog ontkoppelen als je twijfelt. Offsite backups echt gebruiken voor het geval je online backup of je RAID kopie verdacht zijn.

Dus, voor beschikbaarheid RAID overwegen, maar als backup.. een backup.

[xippie]

Een scan op poort 5000 of 5001 is niet eens nodig, als je google'd op inurl:webman/index.cgi krijg je een hele lijst DSen ook met niet standaard poorten. Dus een andere poort dan 5000 en/of 5001 is ook maar schijnveiligheid. Beste is dus alles blocken in je router.

[tlpeter]

Moby schreef op maandag 04 augustus 2014 @ 23:39:
Vanavond voor her eerst sinds lange tijd een inlogpoging gehad via ssh. Mislukt want 3x verkeerd binnen 1 minuut. IP 116.10.191.179. Waarschijnlijk is het niets maar wou het toch even melden

Niet niks is een understatement:

https://www.badips.com/info/116.10.191.179

[NiGeLaToR]

Dit bewijst maar weer dat we inmiddels in een tijdperk leven waarin je geen enkel device 1:1 aan internet kan hangen. Je zult dus ook thuis een gelaagd beveiligingsmodel moeten introduceren en zelfs als je portforwards gebruikt is het beperken van scope voor toegang etc ook belangrijk.

Synology diskwalificeert zichzelf als router in die redenatie.

[Orion84]

xippie schreef op dinsdag 05 augustus 2014 @ 07:13:
Een scan op poort 5000 of 5001 is niet eens nodig, als je google'd op inurl:webman/index.cgi krijg je een hele lijst DSen ook met niet standaard poorten. Dus een andere poort dan 5000 en/of 5001 is ook maar schijnveiligheid. Beste is dus alles blocken in je router.

Maar je komt niet zomaar in de indexen van Google terecht, daarvoor moet die link naar je admin pagina toch echt ergens op een pagina staan die al door Google geïndexeerd wordt. Dus iedereen die daar in die zoekresultaten staat heeft de url naar zijn NAS ergens publiekelijk gepost. Of zie ik nu iets over het hoofd?

* Orion84 heeft de portforwards in elk geval maar even beperkt tot VPN, zodat er in elk geval geen directe toegang is. Vooralsnog in elk geval geen tekenen van besmetting (laatste versie van DSM5 in gebruik). In elk geval wel een goede trigger om wat meer vaart te zetten achter het plan om alle belangrijke data via Amazon Glacier te back-uppen.

[Ryceck]

Heb flink wat gezocht bij Synology net maar kan achter 1 ding maar niet komen: als ik alles dicht heb maar mijn router wel expose via Quickconnect; ben ik dan kwetsbaar?
Ik heb geen enkele poort geforward staan maar heb wel Cloudstation via Quickconnect draaien zodat ik toch remote bij mijn bestanden kan. Ik zie nog geen gekke Ransomware schermen e.d. maar vraag me wel af wat voor risico ik nu loop...

Just to be sure alles maar even uitgezet maar volgens mij ben ik vrij safe.

[Njay]

Kom maar op met een patch synology ..... duurt wel lang zo

[cheiron]

Toevallig dit weekend een reset van m'n router moeten doen waardoor alle poortforwarding weg was. Een geluk bij een ongeluk achteraf. Gisteravond gechecked; geen gekke zaken op de NAS, en daarna meteen uitgezet. Buiten het serie-seizoen kan hij best een paar dagen offline

[Kavaa]

Klopt het nu zoals @Ryceck al aangeeft dat als je via quickconnect werkt je ook een risico loopt?

[BlackBurn]

djkavaa schreef op dinsdag 05 augustus 2014 @ 07:56:
Klopt het nu zoals @Ryceck al aangeeft dat als je via quickconnect werkt je ook een risico loopt?

Voor zover nu bekend is (als ik niks gemist heb) is het nog niet duidelijk welk lek of lekken er gebruikt worden. Dus op dit moment loop je dan ook risico.

Het advies is alles dichtzetten, tot dat er meer duidelijkheid is.

[Kavaa]

Thanks

[Herman]

Item op Anandtech: http://www.anandtech.com/...-of-synolocker-ransomware

Hopen dat er vandaag een oplossing komt!

[Kavaa]

Zo, heb ook maar even alles dicht gezet.
Alleen de SABNZBd poort niet. Maar die staat op een alternatieve poort

[Ryceck]

djkavaa schreef op dinsdag 05 augustus 2014 @ 08:06:
Zo, heb ook maar even alles dicht gezet.
Alleen de SABNZBd poort niet. Maar die staat op een alternatieve poort

En wat als het lek nu via SABNZBD komt?

[Kavaa]

Zet hem straks dicht ben nog even wat dingen aan het downloaden remote.

[SaphuA]

.

[ Voor 98% gewijzigd door SaphuA op 31-01-2022 14:56 ]

[Kavaa]

Zo SABNZBD staat nu ook dicht, en heb ook even bij alle klanten waar we synology's neer hebben gezet alles dicht gezet of uit gezet.