Virus en verdachte Synology-logins -> Wat te alles checken ?

[ocmer]

Paar dagen geleden heb ik een oude Windows 7 PC opgestart die al een paar jaar uit heeft gestaan. Ik kreeg direct 2 viruswaarschuwingen op die PC (van een inmiddels heel verouderde virusscanner) op iets met ChromeUpdater ofzoiets.

Snel daarna kreeg ik een mailtje van mijn Synology NAS met dat vanaf die besmette PC geprobeerd werd in te loggen op de Synology en dat het IP adres was geblokkeerd. Dat is niet goed dus; het virus is blijkbaar actief op mijn netwerk.

Direct de netwerkkabel uit de PC getrokken en windows 7 opnieuw geinstalleerd met daarbij het verwijderen en opnieuw formateren van alle partities. PC daarna niet meer aan durven zetten.

Nu blijf ik met een onbehagelijk gevoel zitten. Dat virus ging blijkbaar mijn netwerk op om waarschijnlijk zich te verspreiden. Op mijn NAS is dat niet gelukt ga ik van uit; maar ik heb nog veel meer devices op mijn netwerk. Hoe kan ik controleren of er niet meer besmet is geraakt? En is het verstandig om die oude PC nog te gebruiken (en bijv. te upgraden naar Win10), of kan het virus ook in de bios, MBR, oid zitten?

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[arjants]

als het om een oude pc gaat, probeerd deze niet met een oud wachtwoord te connecten met een share op de nas en omdat dit wachtwoord niet klopt hij geblokkeerd is?

[Junia]

Grote kans dat je Win7 PC simpelweg geconfigureerd was met verouderde credentials om bij de netwerkschijf van je Synology te komen en dat dit geheel los staat van het eventuele virus. Aangezien het virus werd gedetecteerd lijkt me ook de kans groot dat de AV scanner hem direct heeft weten te blokkeren/quarantainen en dat er dus verder weinig aan de hand is

Kans op MBR / rootkit lijkt me ook erg klein, desnoods even na het installeren weer een AV scan doen om te zien of je iets geks tegenkomt. Upgraden naar een modern OS is altijd geadviseerd, immers zijn er al vrij lang geen security updates voor Win7 meer uitgekomen.

[Voor 6% gewijzigd door Junia op 27-12-2022 11:42]

[hvveen]

Harde schijf eruit, en met een USB adapter aan een 'modernere' PC hangen.
Daarna met een up-to-date virus scanner de boel controleren

[Nemean]

hvveen schreef op dinsdag 27 december 2022 @ 11:42:
Harde schijf eruit, en met een USB adapter aan een 'modernere' PC hangen.
Daarna met een up-to-date virus scanner de boel controleren

Ja.. nee dus.

Waarom zou je een 'mogelijk' geïnfecteerde schijf aan een machine hangen die geen kuren heeft? Zou eerder de schijf in de oude machine houden en loskoppelen van het netwerk en vandaar uit verder gaan.

[hvveen]

Zolang je geen data van de schijf haalt of apps opstart van deze schijf is er niets aan de hand
Mocht er wel wat langs glippen, dan pakt je up-to-date virus scanner dit wel op.

Andere mogelijkheid: boot cd met AV scanner gebruiken

[ocmer]

arjants schreef op dinsdag 27 december 2022 @ 11:40:
als het om een oude pc gaat, probeerd deze niet met een oud wachtwoord te connecten met een share op de nas en omdat dit wachtwoord niet klopt hij geblokkeerd is?

Dat zou het kunnen zijn. Ik had een share op mijn NAS gemount meen ik me te herinneren. Maar ik zou verwachten dat Windows bij een onjuist wachtwoord het niet 10 keer opnieuw probeert binnen 5 minuten.

[Nemean]

hvveen schreef op dinsdag 27 december 2022 @ 11:49:
Zolang je geen data van de schijf haalt of apps opstart van deze schijf is er niets aan de hand
Mocht er wel wat langs glippen, dan pakt je up-to-date virus scanner dit wel op.

Andere mogelijkheid: boot cd met AV scanner gebruiken

Altijd uit gaan van de laagst mogelijke impact, en dat is het systeem isoleren van het netwerk en andere apparaten. Nooit aansluiten op je eigen systeem.

[oak3]

ocmer schreef op dinsdag 27 december 2022 @ 11:26:
Nu blijf ik met een onbehagelijk gevoel zitten. Dat virus ging blijkbaar mijn netwerk op om waarschijnlijk zich te verspreiden. Op mijn NAS is dat niet gelukt ga ik van uit; maar ik heb nog veel meer devices op mijn netwerk. Hoe kan ik controleren of er niet meer besmet is geraakt? En is het verstandig om die oude PC nog te gebruiken (en bijv. te upgraden naar Win10), of kan het virus ook in de bios, MBR, oid zitten?

Het is zeker niet verstandig om die oude pc nog te gebruiken als deze nog Windows 7 heeft. En als je hem toch gebruikt, dan zonder netwerkverbinding.

Tip voor een volgende keer, als je zo'n oud systeem weer opstart, doe dat zonder netwerkverbinding. Haal er daarna af wat je nodig hebt en installeer een OS dat bijgewerkt is.

Of je daadwerkelijk ongerust moet zijn vraag ik me af. Dat is erg afhanekelijk wat je met die PC hebt gedaan. Als dat alleen opstarten is en je hebt verder niets op het internet gedaan, zou het mij verbazen als er echt een virus op zit. En als die er al op zit, dan is het waarschijnlijk een oude die er al op zat voor die tijd.

[MJV]

ocmer schreef op dinsdag 27 december 2022 @ 11:55:
[...]

Dat zou het kunnen zijn. Ik had een share op mijn NAS gemount meen ik me te herinneren. Maar ik zou verwachten dat Windows bij een onjuist wachtwoord het niet 10 keer opnieuw probeert binnen 5 minuten.

Wat is de precieze melding die je vanaf je Synology kreeg? Kun je daaruit opmaken of het inderdaad netwerkshares betrof, of dat de PC op een andere manier (DSM, ssh?) verbinding probeerde te maken?

[ocmer]

MJV schreef op zondag 1 januari 2023 @ 11:25:
[...]

Wat is de precieze melding die je vanaf je Synology kreeg? Kun je daaruit opmaken of het inderdaad netwerkshares betrof, of dat de PC op een andere manier (DSM, ssh?) verbinding probeerde te maken?

The IP address [192.168.xx.xx] experienced 10 failed attempts when attempting to log in to DSM running on Diskstation within 5 minutes, and was blocked at 25-12-2022 22:01.

Waarbij 192.168.xx.xx het IP-nr van de besmette PC betreft

[Voor 56% gewijzigd door ocmer op 01-01-2023 12:27]

[RonnieKo]

Je kan in de logs van je nas (log center) zien welke login pogingen er geweest zijn. Als je het goed ingericht hebt zou je dan moeten weten wat het kan zijn.

[Voor 17% gewijzigd door RonnieKo op 04-01-2023 10:00]

[ocmer]

RonnieKo schreef op woensdag 4 januari 2023 @ 09:58:
Je kan in de logs van je nas (log center) zien welke login pogingen er geweest zijn. Als je het goed ingericht hebt zou je dan moeten weten wat het kan zijn.

Ik zie helaas maar één regel in Log center, die vertelt niets nieuws

Warning
System
25-12-2022 22:01:18
SYSTEM
Host [192.168.xx.xx] was blocked via [DSM].

Ik zou graag dat iedere inlog-poging wordt gelogd naar Log Center, maar kan dat nergens vinden.

[RonnieKo]

Ik kan in Log Center (geinstalleerd vanuit packages-center) iedere inlog-poging zien. Welke goed en welke fout gegaan zijn. Ik weet zo niet wat ik daarvoor aangepast heb, volgens mij alleen het betreffende log-packages geïnstalleerd. Je kan in het Log Center wel instellen wat je wil zien.

[sh4d0wman]

Ik ken Synology niet uit eerste hand maar als ik Google dan lijkt DSM de web-interface. Een fileshare zou daar geen connectie naar moeten maken

Dussss als je zeker weet dat het ip-adres van de Win7 host is:.
1.Zet de Windows machine nog eens aan. Komen er weer meldingen in Synology? Gelijk? Na bepaalde tijd?

2. Kun je nog ergens de user/wachtwoord combos zien? Soms komen die in debug logs voor of moet je daar de sensitviteit van aanpassen. Grote kans dat je een lijst met standaard wachtwoorden gaat zien.

3.A Huil, wipe de machine en begin opnieuw.
of
3.B Check met Wireshark op de Windows 7 machine of je verkeer naar HTTP (5000) and HTTPS (5001) ziet (indien je de standaard DSM poort gebruikt) Probeer daarna met b.v. Sysinternal tooling te kijken welk process hier voor verantwoordelijk is. Let op, bij malware kun je best een Windows process vinden wat misbruikt wordt dus het zal wellicht niet altijd gelijk duidelijk zijn.


edit: als ik op de Synology website kijk is er ook diverse software in omloop. Staat daar nog iets van geinstalleerd wat wellicht verbinding wil maken?

[Voor 7% gewijzigd door sh4d0wman op 04-01-2023 11:27]

[ocmer]

sh4d0wman schreef op woensdag 4 januari 2023 @ 11:24:
Ik ken Synology niet uit eerste hand maar als ik Google dan lijkt DSM de web-interface. Een fileshare zou daar geen connectie naar moeten maken

Dussss als je zeker weet dat het ip-adres van de Win7 host is:.
1.Zet de Windows machine nog eens aan. Komen er weer meldingen in Synology? Gelijk? Na bepaalde tijd?

2. Kun je nog ergens de user/wachtwoord combos zien? Soms komen die in debug logs voor of moet je daar de sensitviteit van aanpassen. Grote kans dat je een lijst met standaard wachtwoorden gaat zien.

3.A Huil, wipe de machine en begin opnieuw.
of
3.B Check met Wireshark op de Windows 7 machine of je verkeer naar HTTP (5000) and HTTPS (5001) ziet (indien je de standaard DSM poort gebruikt) Probeer daarna met b.v. Sysinternal tooling te kijken welk process hier voor verantwoordelijk is. Let op, bij malware kun je best een Windows process vinden wat misbruikt wordt dus het zal wellicht niet altijd gelijk duidelijk zijn.


edit: als ik op de Synology website kijk is er ook diverse software in omloop. Staat daar nog iets van geinstalleerd wat wellicht verbinding wil maken?

Ik had de Windows 7 machine direct al opnieuw geformatteerd en geinstalleerd.
Hopen dat het inderdaad wat Synology software op die windows 7 machine en dus vals alarm was geweest; lastige is dat ik dit niet zeker kan weten....