Hoe kan ik een Zyxel NAS540 wipen besmet ransomware?

[Verwijderd]

Mijn vraag:

Mijn Zyxel NAS540 is geïnfecteerd met ransomeware 
Heb gelukkig een back-up van alle mijn foto’s en tevens heb ik mijn NAS niet meer gekoppeld via een lekke poort aan het internet. Dit ga ik ook nooit meer doen ! Heb mijn lesje geleerd
Nu vertrouw ik natuurlijk mijn data op de NAS niet meer. Zowel de data alsmede de besturings software , zeg maar config van mijn Zyxel NAS.
Wat is nu in deze de procedure om alles te verwijderen en mijn NAS weer betrouwbaar te maken ??
Resume : Ik wil mijn NAS dus helemaal wipen!!
Zodat ik zeker weet dat er nix achterblijft wat de criminelen evt hebben achter gelaten icl. de .locked bestanden.

Kan iemand mij hierin adviseren??

[Room42]

Je kunt de disks een een andere PC (liefst in een USB Live OS, zonder je eigen disks aangesloten) wissen en een factory reset van je NAS. Eventueel kun je de firmware opnieuw flashen.

Welke cryptolocker had je? Weet je zeker dat dit op de NAS draaide en niet op een aangesloten PC?

[Verwijderd]

Ja , dat weet ik 100% zeker !!!
hoe zo?

this one hit me => SambaCry / StorageCrypt Ransomware Support (.locked, _READ_ME_FOR_DECRYPT.txt)
https://www.bleepingcompu...d-read-me-for-decrypttxt/
thanks god i have a good backup

[Room42]

Oef, jeetje! Nou zie dan mijn eerste punt

[ Voor 4% gewijzigd door Room42 op 18-03-2018 00:06 ]

[Brahiewahiewa]

Tja, windows- en linux machines zijn ondertussen wel voor het grootste gedeelte gepatched. Maar al die plastic doosjes die als NAS verkocht werden; daar komen geen updates meer voor. Goudmijntje

'k Heb het even nagekeken voor die NAS540: de laatste update is van juni 2017 en daar zitten geen samba fixes in. Dus je kunt je nas misschien wel schoon krijgen, maar hij blijft kwetsbaar voor dit soort aanvallen

[Mijzelf]

Verwijderd schreef op zaterdag 17 maart 2018 @ 22:15:
this one hit me => SambaCry / StorageCrypt Ransomware Support (.locked, _READ_ME_FOR_DECRYPT.txt)
https://www.bleepingcompu...d-read-me-for-decrypttxt/

Als dat hem inderdaad is zit je volgens mij goed als je de NAS reboot. De geinjecteerde code wordt niet opnieuw uitgevoerd na een reboot.
Hoewel het in theorie mogelijk is om te zorgen dat de code opnieuw start na een reboot, is dat een lastige klus op een NAS540 (en op elke ZyXEL NAS), en ik verwacht dus dat generieke malware dat niet voor elkaar krijgt.

Als je desondanks de schijven wilt wipen, kun je dat vanuit een shell doen. Enable de ssh server (in Control Panel->Terminal) en login over ssh als root.
Vervolgens execute je

cd /
dd if=/dev/zero of=/dev/sda bs=64M >/dev/null 2>&1 &

Herhaal het laatste commando voor iedere schijf (de eerste is sda, de tweede sdb, ... USB schijven en SD kaarten nummeren ook mee, dus zorg dat die er on boot niet inzitten))
Dit gaat even duren. (Iets van 100MB/sec, denk ik). Als de schijven tot rust zijn gekomen reboot je (stekker eruit en er weer in, je hoeft niet te verwachten dat de firmware nog iets doet/kan), en voer je een factory reset uit. (Reset knop ingedrukt houden tot de 3e piep)