Synology NAS besmet met ransomware synolocker

[SpeedingWilly]

Poll: Poll m.b.t. Ransomware Synolocker
• Ik heb een Synology NAS en ben (waarschijnlijk) niet geinfecteerd
• Ik heb een Synology NAS en ik ben geinfecteerd!
• Ik heb geen Synology NAS

^{Ook een poll maken? Klik hier}

[KorneelB]

DaaNium schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


dat klopt niet, ik heb een DSM 5.0-4493 met synolock er op

kijk, hier hebben we wat aan. wanneer is die update naar 5 geinstalleerd? pas geleden?

[NiGeLaToR]

DaaNium schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


dat klopt niet, ik heb een DSM 5.0-4493 met synolock er op

Balen, wanneer ben je geupgrade naar 5?
Verder nog iets wijzer geworden over poorten etc die open staan / services die draaien?

[DaaNium]

xippie schreef op dinsdag 05 augustus 2014 @ 14:00:
[...]

Welke update? geen, 1, 2 of 3?

geen

en DSM 5 staat er al een poos op, denk 'n half jaar paar maanden ongeveer

[ Voor 20% gewijzigd door DaaNium op 05-08-2014 14:03 ]

[Robkazoe]

Wicked-Game schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


Gemakkelijk gezegd! Wat nou als je een oudere NAS hebt zoals ik met een DS209+II? Dus het zijn niet altijd de mensen/gebruikers die je de schuld kan geven.

Inderdaad makkelijk gezegd. Stel, je hebt een oude Windows XP machine thuis staan die niet compatibel is met Windows 7 of 8. En die persoon wordt gehackt. Is het dan de schuld van de PC fabrikant/Microsoft/alles behalve de eindgebruiker? Nee, tuurlijk niet. De eindgebruiker had dan eens een nieuwe PC moeten kopen die wel software ondersteund die up2date is. En datzelfde geldt voor een NAS.

[Razr]

DaaNium schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


dat klopt niet, ik heb een DSM 5.0-4493 met synolock er op

Heb je dit gemeld bij Synology? Blijkbaar zijn zij er niet van op de hoogte?

[Devster]

Zonder die update ben je kwetsbaar voor o.a. heartbleed.

[White_Collar]

Meld het aub aan Synology

[DaaNium]

White_Collar schreef op dinsdag 05 augustus 2014 @ 14:02:
Meld het aub aan Synology

Gisterochtend direct gedaan, heb inmiddels ook al mail terug

[White_Collar]

DaaNium schreef op dinsdag 05 augustus 2014 @ 14:03:
[...]

Gisterochtend direct gedaan, heb inmiddels ook al mail terug

thanks, sterkte!

[nooberke]

Devster schreef op dinsdag 05 augustus 2014 @ 14:02:
Zonder die update ben je kwetsbaar voor o.a. heartbleed.

Mijn gevoel zegt ook nog steeds dat het gewoon misbruik van Heartbleed is, zou ook relatief logisch zijn aangezien nog niemand gepost heeft besmet te zijn met de allernieuwste versie...terwijl je zou zou denken dat veel gebruikers de nieuwste versie gebruiken

[Speedfightserv]

freak1 schreef op dinsdag 05 augustus 2014 @ 13:57:
dus ik kom weer terug op mijn eerdere statement, voor zover het hier bekend is, en ook op het forum, is er NIEMAND met DSM 5.X besmet.

er werd mij hierboven gemeld dat ik maar even terug moest bladeren om iemand te vinden die besmet was met DSM 5.X.. ook na terugbladeren niets gevonden.

en de Synology post bevestigd het..

dus kan er een topic sticky gemaakt worden dat als je besmet bent, je je DSM versie moet posten?

DaaNium in "Synology NAS besmet met ransomware synolocker"

Edit:

ik zie net dat DaaNium zich al gemeld heeft hier

[ Voor 4% gewijzigd door Speedfightserv op 05-08-2014 14:07 ]

[BaRF]

In die officiele statement staat toch dat de infectie ook doet LIJKEN alsof er een nieuwere DSM is geinstalleerd? Dat kan ook verklaren waarom er infecties op 5 lijken te zijn?

[beantherio]

freak1 schreef op dinsdag 05 augustus 2014 @ 13:57:
dus ik kom weer terug op mijn eerdere statement, voor zover het hier bekend is, en ook op het forum, is er NIEMAND met DSM 5.X besmet.

Eerder uit dit topic:

DaaNium schreef op maandag 04 augustus 2014 @ 17:08:
mijn buurman heeft een DS214play en draait op DSM 5.0-4493, en heeft sinds vanmorgen ook de synolocker op zijn nas

En van http://www.synology-forum...tief/msg119634/#msg119634 :

Voorlopig is hij uit en blijft hij uit.
De mijne is wel geinfecteerd DSM 5.0 Update 3

Ik ben er nog niet zo zeker van dat 5.0 veilig is.

[ Voor 21% gewijzigd door beantherio op 05-08-2014 14:08 ]

[Razr]

nooberke schreef op dinsdag 05 augustus 2014 @ 14:05:
[...]


Mijn gevoel zegt ook nog steeds dat het gewoon misbruik van Heartbleed is, zou ook relatief logisch zijn aangezien nog niemand gepost heeft besmet te zijn met de allernieuwste versie...terwijl je zou zou denken dat veel gebruikers de nieuwste versie gebruiken

Zou kunnen inderdaad:

Kort gezegd maakt deze bug het mogelijk om een speciaal geconstrueerd verzoek naar een 'beveiligde' server te sturen, zodanig dat die server een min of meer willekeurig deel van zijn geheugen terugstuurt, ter grootte van maximaal 64 kB. Dit geheugen kan gebruikersnamen en wachtwoorden bevatten, maar ook private keys van beveiligingscertificaten.

Bron: Wikipedia

[Cardinal]

DaaNium schreef op dinsdag 05 augustus 2014 @ 14:03:
[...]

Gisterochtend direct gedaan, heb inmiddels ook al mail terug

Werken de instructies die zijn verstrekt door Synology?

[Speedfightserv]

DaaNium schreef op dinsdag 05 augustus 2014 @ 14:03:
[...]

Gisterochtend direct gedaan, heb inmiddels ook al mail terug

Wat was hun reactie dat DSM 5 besmet was?

[Joarie]

BaRF schreef op dinsdag 05 augustus 2014 @ 14:06:
In die officiele statement staat toch dat de infectie ook doet LIJKEN alsof er een nieuwere DSM is geinstalleerd? Dat kan ook verklaren waarom er infecties op 5 lijken te zijn?

Hmm inderdaad:

-DSM 4.3-3810 or earlier is installed, but the system says the latest version is installed at Control Panel > DSM Update.

[ralphsensei]

BaRF schreef op dinsdag 05 augustus 2014 @ 14:06:
In die officiele statement staat toch dat de infectie ook doet LIJKEN alsof er een nieuwere DSM is geinstalleerd? Dat kan ook verklaren waarom er infecties op 5 lijken te zijn?

De infectie maakt je Syno ontoegankelijk. Het is niet te zien welke versie DSM je gebruikt

[DaaNium]

Speedfightserv schreef op dinsdag 05 augustus 2014 @ 14:07:
[...]

Wat was hun reactie dat DSM 5 besmet was?

Hun reactie was dat ik een 'fake' firmware moest uploaden (die ik kon downloaden via een ftp site van synology).
Daardoor valt de nas in een soort van storing. Deze 'storing' zet wél telnet open.
Synology vroeg of ik poort 23 wilde open zetten naar de nas, waardoor zij in konden loggen.
Dat heb ik gedaan en via mail laten weten aan synology.
Daarna niets meer vernomen.
Zodra ik meer weet, weten jullie het ook

[beantherio]

DaaNium schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


dat klopt niet, ik heb een DSM 5.0-4493 met synolock er op

Heeft je buurman het ook nog steeds?

[Ibidem]

ralphsensei schreef op dinsdag 05 augustus 2014 @ 14:09:
[...]

De infectie maakt je Syno ontoegankelijk. Het is niet te zien welke versie DSM je gebruikt

Je weet toch welke versie je draait?

[DaaNium]

beantherio schreef op dinsdag 05 augustus 2014 @ 14:10:
[...]

Heeft je buurman het ook nog steeds?

Jep, die geïnfecteerde wat ik hier heb staan, is van mijn buurman

[Edmin]

Robkazoe schreef op dinsdag 05 augustus 2014 @ 14:02:
[...]

Inderdaad makkelijk gezegd. Stel, je hebt een oude Windows XP machine thuis staan die niet compatibel is met Windows 7 of 8. En die persoon wordt gehackt. Is het dan de schuld van de PC fabrikant/Microsoft/alles behalve de eindgebruiker? Nee, tuurlijk niet. De eindgebruiker had dan eens een nieuwe PC moeten kopen die wel software ondersteund die up2date is. En datzelfde geldt voor een NAS.

Een 209-II vergelijken met XP is wel behoorlijk appels en peren... Van een systeem dat je in 2010 hebt gekocht, mag je best verwachten dat het nog veilig te gebruiken is in 2014.

[beantherio]

DaaNium schreef op dinsdag 05 augustus 2014 @ 14:11:
[...]

Jep, die geïnfecteerde wat ik hier heb staan, is van mijn buurman

Weet je wel zeker dat er 5 op staat of beweerd je buurman dat?

[HenkDePoema]

Cardinal schreef op dinsdag 05 augustus 2014 @ 14:07:
[...]

Werken de instructies die zijn verstrekt door Synology?

Hier ben ik ook erg benieuwd naar. Ik vraag me af of ze iedereen, die de mail van Synology support heeft gekregen, op afstand gaan monitoren. Zo ja, dan ga ik me opmaken voor een tripje naar Groningen om de schijven uit de betreffende DS214 te halen.

[ Voor 14% gewijzigd door HenkDePoema op 05-08-2014 14:18 ]

[Viper®]

je zou bijna een test willen doen.

Router met netwerk logging optie, clean DSM installatie en via EZ toegankelijk maken, dan wachten wat er gebeurt.

[DaaNium]

beantherio schreef op dinsdag 05 augustus 2014 @ 14:12:
[...]

Weet je wel zeker dat er 5 op staat of beweerd je buurman dat?

Ja, weet ik zeker.
De NAS heeft hij nog maar enkele maanden, die heb ik voor hem ingericht.
Dat wil zeggen schijven in MIRROR RAID, admin wachtwoord aangepast, software geupdate
(toen was er dus nog geen update op de DSM5.0-4493)

[ThinkPad]

Viper® schreef op dinsdag 05 augustus 2014 @ 14:16:
je zou bijna een test willen doen.

Router met netwerk logging optie, clean DSM installatie en via EZ toegankelijk maken, dan wachten wat er gebeurt.

Dat werd eerder in dit topic al geopperd 'honeypot' maken door XPEnology in een virtual machine te draaien

[ralphsensei]

Ibidem schreef op dinsdag 05 augustus 2014 @ 14:10:
[...]


Je weet toch welke versie je draait?

Ja IK wel. Maar als je Syno ontoegankelijk is, hoe kan het LIJKEN alsof je versie 5 hebt?

[Cyberpope]

DaaNium schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


dat klopt niet, ik heb een DSM 5.0-4493 met synolock er op

Ook al gemeld bij Synology?

[Cardinal]

Cyberpope schreef op dinsdag 05 augustus 2014 @ 14:18:
[...]

Ook al gemeld bij Synology?

yep, zie hierboven.

[Tiestor]

Cyberpope schreef op dinsdag 05 augustus 2014 @ 14:18:
[...]

Ook al gemeld bij Synology?

Ja, zie een paar posts terug

[Viper®]

ThinkPadd schreef op dinsdag 05 augustus 2014 @ 14:17:
[...]

Dat werd eerder in dit topic al geopperd 'honeypot' maken door XPEnology in een virtual machine te draaien

In principe kan je een fysieke synology pakken, zolang er geen spannende data op staat. Mogelijk is Synology dat zelf nu ook aan het doen, om te kijken wat ze precies op de nas uitvoeren.

[beantherio]

DaaNium schreef op dinsdag 05 augustus 2014 @ 14:17:
[...]

Ja, weet ik zeker.
De NAS heeft hij nog maar enkele maanden, die heb ik voor hem ingericht.
Dat wil zeggen schijven in MIRROR RAID, admin wachtwoord aangepast, software geupdate
(toen was er dus nog geen update op de DSM5.0-4493)

Ok dan.

[St@m]

Pff.. nou ik geloof het allemaal wel hoor. Vooralsnog (na 2 dagen) geen meldingen van besmettingen met de laatste FW. Ik heb er drie te beheren, alledrie up-to-date en niets aan het handje

Daarbij de mededeling van Synology.. en ik zit wel safe imo.

[ Voor 14% gewijzigd door St@m op 05-08-2014 14:26 ]

[Videopac]

M.b.t. die DSM 5 update 3 geinfecteerde systemen: kan het zijn dat de malware al voor update 3 geinstalleerd is en dat de "incubatietijd" dus niet heel erg kort hoeft te zijn? Of dat de hackers het pas geactiveerd hebben nadat het lek gedicht werd en ze dus niet nog meer systemen konden infecteren?

[Tiestor]

Dat weet vooralsnog niemand..

Heb zelf gelukkig mijn oude server nog draaien met dezelfde data als op mijn DS414 die overigens de meest recente software draait. Maar wacht nog even met het volledig overstappen op de DS414.

[ Voor 77% gewijzigd door Tiestor op 05-08-2014 14:28 ]

[Dutch_guy]

Dit wordt net gepost door iemand die geinfecteerd is:

"I'm glad to know that I wasn't just imagining this. I check for updates occasionally, but it's always said it was up-to-date, even though I was running an old version of DSM 4.3."

Zou dus betekenen dat je al langer geïnfecteerd kan zijn en iets de boel nu heeft getriggerd?

[Viper®]

Dutch_guy schreef op dinsdag 05 augustus 2014 @ 14:27:
Dit wordt net gepost door iemand die geinfecteerd is:

"I'm glad to know that I wasn't just imagining this. I check for updates occasionally, but it's always said it was up-to-date, even though I was running an old version of DSM 4.3."

Zou dus betekenen dat je al langer geïnfecteerd kan zijn en iets de boel nu heeft getriggerd?

Die bitcoin miner hack had hetzelfde toch, die blokkeerde de updates en dsm zei altijd de laatste versie te hebben.

[Herman]

DaaNium schreef op dinsdag 05 augustus 2014 @ 13:59:
[...]


dat klopt niet, ik heb een DSM 5.0-4493 met synolock er op

Dat is toch wel opmerkelijk want het vermoeden was dat het met heartbleed te maken heeft, terwijl die al in versie 4458-2 opgelost zou moeten zijn.

[tinzarian]

Dutch_guy schreef op dinsdag 05 augustus 2014 @ 14:27:
Dit wordt net gepost door iemand die geinfecteerd is:

"I'm glad to know that I wasn't just imagining this. I check for updates occasionally, but it's always said it was up-to-date, even though I was running an old version of DSM 4.3."

Zou dus betekenen dat je al langer geïnfecteerd kan zijn en iets de boel nu heeft getriggerd?

Dat zegt nog niks zolang je niet weet wat voor een DS hij heeft. Niet alle modellen worden nog geupdated

[Razr]

Herman schreef op dinsdag 05 augustus 2014 @ 14:31:
[...]

Dat is toch wel opmerkelijk want het vermoeden was dat het met heartbleed te maken heeft, terwijl die al in versie 4458-2 opgelost zou moeten zijn.

Of ze hebben de heartbleed-bug misbruikt om een lijst van IP's met inlognamen en wachtwoorden op te bouwen maar niet gelijk te infecteren. Ondertussen hebben 'x' personen hun NAS bijgewerkt naar een nieuwe versie maar de inloggegevens zijn hetzelfde gebleven..

Iemand geïnfecteerd met two-way authenticatie? Dat zou mijn theorie ontkrachten

[gekkie]

Herman schreef op dinsdag 05 augustus 2014 @ 14:31:
[...]

Dat is toch wel opmerkelijk want het vermoeden was dat het met heartbleed te maken heeft, terwijl die al in versie 4458-2 opgelost zou moeten zijn.

Het zou natuurlijk kunnen dat bijvb de admin wachtwoorden al eerder zijn buitgemaakt in een scan en pas later de infectie en encryptie heeft plaats gevonden met gebruik van die wachtwoorden ?

Als je eenmaal het wachtwoord of een ssh key hebt aangemaakt, kan je er ook prima na een firmware update nog in natuurlijk

[SpeedingWilly]

Het lijkt me niet waarschijnlijk, maar speelt de processor architectuur (PPC/ARM/x86) eventueel nog een rol bij de besmetting?

[ Voor 3% gewijzigd door SpeedingWilly op 05-08-2014 14:42 ]

[ProudElm]

Dutch_guy schreef op dinsdag 05 augustus 2014 @ 14:27:
Dit wordt net gepost door iemand die geinfecteerd is:

"I'm glad to know that I wasn't just imagining this. I check for updates occasionally, but it's always said it was up-to-date, even though I was running an old version of DSM 4.3."

Zou dus betekenen dat je al langer geïnfecteerd kan zijn en iets de boel nu heeft getriggerd?

Mijne zei dit al zolang DSM 5 uit was.. Dacht altijd dus naief dat mijn NAS niet meer geschikt wat voor DSM5.. Draai dus nog steeds 4.3...

DS211J hier staan

[beantherio]

SpeedingWilly schreef op dinsdag 05 augustus 2014 @ 14:36:
Het lijkt me niet waarschijnlijk, maar speelt de processor architectuur (ARM of x86) eventueel nog een rol bij de besmetting?

Dat vroeg ik me ook af. 1 van mijn 2 Syno's is een DS213+ met PPC-processor.

[Paulus07]

Is het trouwens nog model afhankelijk of gewoon voor alle modellen die er zijn?

[HenkDePoema]

SpeedingWilly schreef op dinsdag 05 augustus 2014 @ 14:36:
Het lijkt me niet waarschijnlijk, maar speelt de processor architectuur (ARM of x86) eventueel nog een rol bij de besmetting?

Niemand die dit nog weet. De meest recente update van Synology zelf kun je hier vinden. De rest is speculatie.

[Tronic]

tinzarian schreef op dinsdag 05 augustus 2014 @ 14:32:
[...]


Dat zegt nog niks zolang je niet weet wat voor een DS hij heeft. Niet alle modellen worden nog geupdated

Ik had op mij DS109 ook nog een oude versie draaien (nov 2013), terwijl DSM zei dat hij up-to-date was. Heb nu maar met de hand DSM 4.2-3250 geïnstalleerd en hem weer uitgeschakeld. Tot nu toe nog niets te zien qua infectie zowel op deze oudere als mijn DS211 met 5.0 update 3.

[Siluro]

Tronic schreef op dinsdag 05 augustus 2014 @ 14:39:
[...]


Ik had op mij DS109 ook nog een oude versie draaien (nov 2013), terwijl DSM zei dat hij up-to-date was. Heb nu maar met de hand DSM 4.2-3250 geïnstalleerd en hem weer uitgeschakeld. Tot nu toe nog niets te zien qua infectie zowel op deze oudere als mijn DS211 met 5.0 update 3.

Wat had je open staan aan poorten?

[Viper®]

Over het algemeen is de DSM ondersteuning voor oude modellen redelijk goed. modellen uit 2009/2010 kunnen vaak nog gewoon DSM5 draaien.

Wel kan ik me herinneren dat ik ook ooit eens handmatig heb moeten updaten omdat het leek alsof de dsm bijwerken functie bugged was.

[Mr_gadget]

Misschien handig om even een tabelletje te maken met wie geïnfecteerd is en welke versie hij draait? Dan is er misschien wat overzicht

User	Model	DSM versie	EZ tool gebruikt?
DaaNium		DSM 5.0-4493

[ Voor 7% gewijzigd door Mr_gadget op 05-08-2014 14:44 ]

[beantherio]

Ik begin toch meer en meer te denken dat het heartbleed-gerelateerd is. En ik begin nu toch ook te denken dat 4.3 echt kwetsbaar is en dat 5.0 enkel in speciale gevallen kwetsbaar is.

[St@m]

Mr_gadget schreef op dinsdag 05 augustus 2014 @ 14:43:
Misschien handig om even een tabelletje te maken met wie geïnfecteerd is en welke versie hij draait? Dan is er misschien wat overzicht

User	DSM versie	EZ tool gebruikt?
DaaNium	DSM 5.0-4493 Geen update

[Robkazoe]

Je zou eigen een soort enquête moeten maken. Want alleen DSM versie is niet voldoende. En daarnaast lijkt het erop dat sommige NAS systemen een versie draaien die lager is dan aangegeven is op de informatiepagina.

Denk aan zaken als: Welke programma's draaien er, welke poorten staan er open, welke versie had je op welk moment draaien, heb je SSH open staan enz.

[ Voor 26% gewijzigd door Robkazoe op 05-08-2014 14:45 ]

[Viper®]

op het syno forum had iemand ook al een poll gemaakt: http://forum.synology.com/enu/viewtopic.php?f=4&t=88795

[ionicdog]

Ik heb ook alle forwards even gedisabled, niet geinfecteerd.
Maar ga denk ik wel alle passwords aanpassen, je weet idd niet of ze een lijst hebben en of je nog aan de beurt bent..

[NiGeLaToR]

2 factor authenticatie. Inloggen, rechtsboven opties kiezen en de instructies volgen.

[beantherio]

Viper® schreef op dinsdag 05 augustus 2014 @ 14:45:
op het syno forum had iemand ook al een poll gemaakt: http://forum.synology.com/enu/viewtopic.php?f=4&t=88795

Het forum is nog steeds traag als stroop

[SpeedingWilly]

Een eerst voorzichtige uitslag van de poll:
- Zo'n 9% van de bezitters van een Syno NAS zijn geinfecteerd.

Dit geldt (uiteraard) alleen voor bezoekers van deze thread. Hoeveel Noobs zouden er zijn die er (op het momen) geen weet van hebben dat hun NAS geinfecteerd is?

[Qaatloz]

ProudElm schreef op dinsdag 05 augustus 2014 @ 14:36:
[...]


Mijne zei dit al zolang DSM 5 uit was.. Dacht altijd dus naief dat mijn NAS niet meer geschikt wat voor DSM5.. Draai dus nog steeds 4.3...

DS211J hier staan

Mijn DS211J heb ik gewoon nog geupdated naar DSM 5. Download handmatig het .pat file van de synology website en updaten maar zou ik zeggen.

[Speedfightserv]

van 4 naar 5 moest volgens mij sowieso handmatig?

[Stranger__NL]

Ik beheer 3 synologie-NAS-en, RAID1, allemaal met poort 5000 open(en cloudstation, FTP, SFTP) , allemaal DMS 5.2 of nieuwer erop.

Op 2 NAS-sen krijg ik geen meldingen binnen van foutieve inlogpogingen; maar eentje is het elk uur raak. In de firewall kun je enkele landen uitsluiten. Dat gedaan (Rusland, Amerika etc) maar dan komt er daarna gewoon eentje uit Duitsland.

Natuurlijk hebben we moeilijke wachtwoorden, maar ik ben er niet echt gerust op nee. Advies is nu: 1 van de 2 schijven eruit halen --> wegleggen als backup.

Nieuwe procedure: wekelijks die disk wissellen en max 1 maand bewaren. Kost 12 disks (4x3), maar geeft redelijk veilige backup. --> grootste zorg. De NAS encrypt eerst de oudste touched files (zodat je het pas HEEL laat merkt dat er iets mis is).... en dat alle bestanden in je backups toch encrypted zijn...

[tinzarian]

Viper® schreef op dinsdag 05 augustus 2014 @ 14:42:
Over het algemeen is de DSM ondersteuning voor oude modellen redelijk goed. modellen uit 2009/2010 kunnen vaak nog gewoon DSM5 draaien.

Niet helemaal, 5.0 is niet (officieel) ondersteund op de 09 modellen. Maar ik moet wel terug komen op mijn eerdere post, als een nas 4.3 draait dan zou 5.0 ook altijd mogelijk moeten zijn.

[Theebag]

Ter informatie, hier een DS214+. Draaide tot eergisteren DSM 5.0-4493 Update 2, toevalliger wijs Update 3 eergisteren geïnstalleerd. Lijkt niet geïnfecteerd te zijn. Nooit gebruik gemaakt van EZ tool, ook geen port forwarding ingesteld op de router (Asus N66).

[don_jorg]

Stel je voor dat mijn NAS geïnfecteerd is, maar (nog) niet geblokkeerd. Kan ik dan nog snel de gegevens overzetten naar een ander apparaat of kan ik er beter helemaal niet meer aankomen?

[ProudElm]

Qaatloz schreef op dinsdag 05 augustus 2014 @ 14:47:
[...]


Mijn DS211J heb ik gewoon nog geupdated naar DSM 5. Download handmatig het .pat file van de synology website en updaten maar zou ik zeggen.

Tja, handmatig.. Nooit naar gekeken.. Zelf gaf die steeds aan up-to-date.. Dus dan prima toch?

[HenkDePoema]

don_jorg schreef op dinsdag 05 augustus 2014 @ 14:50:
Stel je voor dat mijn NAS geïnfecteerd is, maar (nog) niet geblokkeerd. Kan ik dan nog snel de gegevens overzetten naar een ander apparaat of kan ik er beter helemaal niet meer aankomen?

Hij wordt sowieso niet geblokkeerd, je bestanden worden versleuteld en daarmee onleesbaar. Zolang dat nog niet het geval is, heeft het zin om de schijven eruit te halen en via een ander systeem te back-uppen. Vervolgens wachten tot Synology met een patch komt.

[Verwijderd]

Het moet zowat wel een voorbereide actie zijn, normaal spreiden dit soort zaken als een soort van olievlek uit. Nu lijkt het wel BAM kapot.

Heb nog 1 NAS op 4.3 staan (4.3-3827) welke veilig moet zijn. Andere NAS'en op de 5.0 update 3. Enkel nog VPN open rest alles dichtgegooid.

[St@m]

HenkDePoema schreef op dinsdag 05 augustus 2014 @ 14:53:
[...]

Hij wordt sowieso niet geblokkeerd, je bestanden worden versleuteld en daarmee onleesbaar. Zolang dat nog niet het geval is, heeft het zin om de schijven eruit te halen en via een ander systeem te back-uppen. Vervolgens wachten tot Synology met een patch komt.

Tja, die patch was er al een tijdje Maar als men niet update..
Maar goed, ik denk niet dat Synology met een decryptiesleutel gaat komen.

[don_jorg]

Dank je voor je reactie, Henk! Er is dus geen mogelijkheid dat mijn PC geïnfecteerd wordt, mooi!

[Jason X]

don_jorg schreef op dinsdag 05 augustus 2014 @ 14:50:
Stel je voor dat mijn NAS geïnfecteerd is, maar (nog) niet geblokkeerd. Kan ik dan nog snel de gegevens overzetten naar een ander apparaat of kan ik er beter helemaal niet meer aankomen?

Iemand correct me if I am wrong, maar versleuteld het niet eerst en als het gelukt is, komt de ransom blokkering? Want dat zou betekenen dat ongemerkt de helft van je gegevens al onbruikbaar is voordat je het weet.

[Wokschotel]

ProudElm schreef op dinsdag 05 augustus 2014 @ 14:51:
[...]


Tja, handmatig.. Nooit naar gekeken.. Zelf gaf die steeds aan up-to-date.. Dus dan prima toch?

Ik kreeg gewoon een melding in mijn DS211j dat ik kon updaten naar DSM5. Ik heb niets handmatig hoeven te installeren.

[matraz]

dit lijkt me ook niet best?

[HenkDePoema]

don_jorg schreef op dinsdag 05 augustus 2014 @ 14:54:
Dank je voor je reactie, Henk! Er is dus geen mogelijkheid dat mijn PC geïnfecteerd wordt, mooi!

Daar lijkt het wel op, al is de precieze werking van de aanval nog niet helder. Ik zou het zekere voor het onzekere nemen.

Jason X schreef op dinsdag 05 augustus 2014 @ 14:54:
[...]


Iemand correct me if I am wrong, maar versleuteld het niet eerst en als het gelukt is, komt de ransom blokkering? Want dat zou betekenen dat ongemerkt de helft van je gegevens al onbruikbaar is voordat je het weet.

Nee, terwijl de melding er staat, worden de bestanden on the fly versleuteld, zolang de NAS aanstaat.

[Razr]

wpelleboer schreef op dinsdag 05 augustus 2014 @ 14:56:
[afbeelding]


dit lijkt me ook niet best?

Dat staat los van dit probleem, elke SSH-service op poort 22 wordt gegarandeerd ooit een keer 'bezocht' Of automatisch na 'x' pogingen laten blokkeren óf de poort aanpassen.

[ Voor 62% gewijzigd door Razr op 05-08-2014 14:58 ]

[Dutch_guy]

Was al gemeld, waarschijnlijk poort 22 open staan voor netbackup. Ik zou wel automatische blokkering inschakelen.

[twixx]

Vinden jullie de (voortgangs) informatie van Synology ook zo beperkt? Geen tweet, niets op de homepage en iets zoeken levert ook weinig op:

[NiGeLaToR]

don_jorg schreef op dinsdag 05 augustus 2014 @ 14:50:
Stel je voor dat mijn NAS geïnfecteerd is, maar (nog) niet geblokkeerd. Kan ik dan nog snel de gegevens overzetten naar een ander apparaat of kan ik er beter helemaal niet meer aankomen?

Disk eruit halen, aan schone pc hangen en via EXT tooltje wat al werd genoemd data kopiëren?
Als je twijfels aan DSM, die dus niet gebruiken.

[Dutch_guy]

Enige voordeel van dit alles is dat je weer even op de feiten wordt gedrukt en je m.b.v. dit topic weer heel veel wijzer bent geworden m.b.t. beveiliging en netwerken.

[ndonkersloot]

Ik heb automatische blokkering aanstaan na 2 foutieve pogingen en log in met 2 way authentication.
Wel heb ik poort 5001 geforward naar 443 extern. De laatste versie van DSM is geinstalleerd.

is er echt een exploit waarbij er alsnog ingelogd kan worden of moeten de hackers met bijvoorbeeld een dictionary proberen in te loggen?

[Leejow(saait)]

twixx schreef op dinsdag 05 augustus 2014 @ 14:58:
Vinden jullie de (voortgangs) informatie van Synology ook zo beperkt? Geen tweet, niets op de homepage en iets zoeken levert ook weinig op:

[afbeelding]

Bedoel je dit? Of dit? Of alle topics op het synology forum?

[plizz]

wpelleboer schreef op dinsdag 05 augustus 2014 @ 14:56:
[afbeelding]


dit lijkt me ook niet best?

Standaard verhaal, het komt vaak voor bij server. Er wordt verschillende wachtwoorden geprobeerd. Gewoon firewall inschakelen of blocken na 3 verkeerde wachtwoord binnen 1 minuut. Zolang je een sterke wachtwoord hebt, is hoef je niet bang te zijn.

[Wokschotel]

NiGeLaToR schreef op dinsdag 05 augustus 2014 @ 14:59:
[...]


Disk eruit halen, aan schone pc hangen en via EXT tooltje wat al werd genoemd data kopiëren?
Als je twijfels aan DSM, die dus niet gebruiken.

Werkt dat ook met schijven die met SHR geformatteerd zijn?

[Siluro]

An official Synology statement said that the issue seemed to be affecting DiskStations running Disk Station Manager 4.3-3810 or earlier.

“Based on our current observations, this issue only affects Synology NAS servers running some older versions of DSM, by exploiting a security vulnerability that was fixed and patched in December, 2013. At present, we have not observed this vulnerability in DSM 5.0.”

Bron: http://news.techworld.com...synolocker-ransom-attack/

[SpeedingWilly]

NiGeLaToR schreef op dinsdag 05 augustus 2014 @ 14:59:
[...]
Disk eruit halen, aan schone pc hangen en via EXT tooltje wat al werd genoemd data kopiëren?
Als je twijfels aan DSM, die dus niet gebruiken.

Dat werkt dus niet als je disks in een RAID array hebt hangen, omdat alle data is verdeeld over je hele array. Van elk bestand staat er maar een deel op 1 disk en heeft deze oplossing dus weinig zin.

[SpeedingWilly]

Wokschotel schreef op dinsdag 05 augustus 2014 @ 15:02:
[...]
Werkt dat ook met schijven die met SHR geformatteerd zijn?

Nee dus, want dat is de Synology versie van RAID.

[Viper®]

Been in the it-security business for 20+ years.
I see no reason what so ever for not communicating this particular threat using e-mail to all Synology users.
Leaning on a policy of communicating after the solution is available is not the way to go in this particular case.

This is like the police having knowledge about a large scale kidnappings going on in houses with a particular brand of lock and deciding not to go public about it until they know what serialnumbers on the locks that has the weakness the kidnappers are using. Synology let me know about the threat and let me decide on how to protect myself until you have more information.

Forum is inderdaad niet vrij snel. Zal wel op een synology met 4.3 gehost zijn

[beantherio]

Siluro schreef op dinsdag 05 augustus 2014 @ 15:05:
[...]


Bron: http://news.techworld.com...synolocker-ransom-attack/

Ze maken nog steeds niet duidelijk wat de concrete vulnerability is. En ironisch genoeg hangt er in het artikel een screenshot van het Synolocker-scherm in DSM 5 (waarvan ze claimen dat die geen risico loopt).

[PaT]

Siluro schreef op dinsdag 05 augustus 2014 @ 15:05:
[...]


Bron: http://news.techworld.com...synolocker-ransom-attack/

The method remains unconfirmed but an attack from a local workstation is highly likely and so that will need to be traced too

Hmmm....

[Stranger__NL]

NiGeLaToR schreef op dinsdag 05 augustus 2014 @ 14:59:
[...]Disk eruit halen, aan schone pc hangen en via EXT tooltje wat al werd genoemd data kopiëren?
Als je twijfels aan DSM, die dus niet gebruiken.

Kun je de link van dat tooltje nog eens plaatsen (misschien in het eerste topic)?
Ook de symptomen van een gehacked systeem daar laten plaatsen? Ik was aan het zoeken welke service je ziet draaien die de encryptie start...maar kan het niet meer vinden...

[Razr]

PaT schreef op dinsdag 05 augustus 2014 @ 15:09:
[...]


[...]


Hmmm....

Precies om die onduidelijkheid laat ik 'm toch even uitstaan (nu nog niet geinfecteerd)

[Viper®]

Based on our current observations, this issue only affects Synology NAS servers running some older versions of DSM (DSM 4.3-3810 or earlier), by exploiting a security vulnerability that was fixed and patched in December, 2013. At present, we have not observed this vulnerability in DSM 5.0.

For Synology NAS servers running DSM 4.3-3810 or earlier, and if users encounter any of the below symptoms, we recommend they shut down their system and contact our technical support team here: https://myds.synology.com/support/support_form.php.

Hearthbleed ?

Stranger__NL schreef op dinsdag 05 augustus 2014 @ 15:09:
[...]


Kun je de link van dat tooltje nog eens plaatsen (misschien in het eerste topic)?
Ook de symptomen van een gehacked systeem daar laten plaatsen? Ik was aan het zoeken welke service je ziet draaien die de encryptie start...maar kan het niet meer vinden...

-A process called “synosync” is running in Resource Monitor.

[ Voor 29% gewijzigd door Viper® op 05-08-2014 15:12 ]

[Yucko]

beantherio schreef op dinsdag 05 augustus 2014 @ 15:08:
[...]

Ze maken nog steeds niet duidelijk wat de concrete vulnerability is. En ironisch genoeg hangt er in het artikel een screenshot van het Synolocker-scherm in DSM 5 (waarvan ze claimen dat die geen risico loopt).

volgens mij was al duidelijk dat het plaatje van die geinfecteerde DSM5 een creatieve uitspatting was van een auteur die een plaatje bij zijn artikel wilde posten.

[Ibidem]

En ik heb het verlossende ANTWOORD VANUIT SYNOLOGY aamgaande de DSM 5.0 discussie!!

So far, we have several DSM 5.0 cases diagnosed. They actually upgraded to DSM 5.0 RECENTLY after it was infected. We can tell that because we know when it's upgraded, and we know when the SynoLocker software was inserted into their system.

But still, it has chance that we missed some special issues in DSM 5.0. So please please strongly encouraged those DSM 5.0 users to send the ticket to our support.

[xippie]

Schaamteloze kopie van synology forum NL

Wij kregen zojuist het verzoek om het volgende op het forum te publiceren:

Dear Synology forum users,

We’d like to provide a brief update regarding the recent ransomware called “SynoLocker,” which is currently affecting certain Synology NAS servers.

We are fully dedicated to investigating this issue and possible solutions. Based on our current observations, this issue only affects Synology NAS servers running some older versions of DSM (DSM 4.3-3810 or earlier), by exploiting a security vulnerability that was fixed and patched in December, 2013. At present, we have not observed this vulnerability in DSM 5.0.

For Synology NAS servers running DSM 4.3-3810 or earlier, and if users encounter any of the below symptoms, we recommend they shut down their system and contact our technical support team here: https://myds.synology.com/support/support_form.php:
· When attempting to log in to DSM, a screen appears informing users that data has been encrypted and a fee is required to unlock data.
· A process called “synosync” is running in Resource Monitor.
· DSM 4.3-3810 or earlier is installed, but the system says the latest version is installed at Control Panel > DSM Update.
For users who have not encountered any of the symptoms stated above, we highly recommend downloading and installing DSM 5.0, or any version below:
· For DSM 4.3, please install DSM 4.3-3827 or later
· For DSM 4.1 or DSM 4.2, please install DSM 4.2-3243 or later
· For DSM 4.0, please install DSM 4.0-2259 or later
DSM can be updated by going to Control Panel > DSM Update. Users can also manually download and install the latest version from our Download Center here: http://www.synology.com/support/download.

If users notice any strange behavior or suspect their Synology NAS server has been affected by the above issue, we encourage them to contact us at [e-mail].

We sincerely apologize for any problems or inconvenience this issue has caused our users. We will keep you updated with the latest information as we address this issue.

Thank you !
Synology Team

[beantherio]

Yucko schreef op dinsdag 05 augustus 2014 @ 15:12:
[...]


volgens mij was al duidelijk dat het plaatje van die geinfecteerde DSM5 een creatieve uitspatting was van een auteur die een plaatje bij zijn artikel wilde posten.

Die suggestie is gedaan maar ik heb nog nergens kunnen vaststellen dat het dat ook echt is. De laatste reactie van Synology wekt trouwens de indruk dat het helemaal niet nep hoeft te zijn: blijkbaar zijn er wel gevallen van 5.0-infiltraties vastgesteld waarbij de 5.0-update was geïnstalleerd na besmetting.

[Tiestor]

plizz schreef op dinsdag 05 augustus 2014 @ 15:01:
[...]


Standaard verhaal, het komt vaak voor bij server. Er wordt verschillende wachtwoorden geprobeerd. Gewoon firewall inschakelen of blocken na 3 verkeerde wachtwoord binnen 1 minuut. Zolang je een sterke wachtwoord hebt, is hoef je niet bang te zijn.

Ik zou die minuut even oprekken als ik jou was, ik heb het zelf op 1440 minuten (lees: 1 dag) staan. Grotere kans dat je onverlaten op je blacklist krijgt

[wezzley]

op basis van Synology's regeltje "Based on our current observations this issue only affects Synology NAS servers running some older versions of DSM" laat ik mijn syno lekker uit staan. zo'n opmerking geeft mij het idee dat ze nog midden in hun onlderzoek zitten.