News DeadBolt: Neue Ransomware ver­schlüs­selt NAS-Systeme von QNAP

[TechX]

Ich will doch weltweit auf meine Daten zugreifen!... dann baue ich eine Wireguard VPN Verbindung in mein Heimnetz auf

Eben - man richtet sich statt Portweiterleitungen eine VPN-Verbindung ein u. greift darüber weltweit auf seine Daten zu.

Realität ist allerdings oftmals, dass die Leute Portweiterleitungen einrichten (auch für unsicher Protokolle/Dienste), keine Ahnung von den ausgehenden Gefahren habe (Hauptsache es funktioniert) u. somit auch keine geeigneten Maßnahmen ergreifen. Das betrifft nicht nur NAS-System, da werden auch noch ganz andere Dinge ins Internet gestellt.

 

[jacktheexecuter]

Nas nach extern, wen möglich gar nicht freigeben und wenn doch, dann selbst via VPN.

 

[JonasN1985]

Eben - man richtet sich statt Portweiterleitungen eine VPN-Verbindung ein u. greift darüber weltweit auf seine Daten zu.

Realität ist allerdings oftmals, dass die Leute Portweiterleitungen einrichten (auch für unsicher Protokolle/Dienste), keine Ahnung von den ausgehenden Gefahren habe (Hauptsache es funktioniert) u. somit auch keine geeigneten Maßnahmen ergreifen. Das betrifft nicht nur NAS-System, da werden auch noch ganz andere Dinge ins Internet gestellt.

Ein VPN ist für einen persönlichen Zugang (insbesondere fürs Managenemt) natürlich die Best practise, allerdings sind ja gerade NAS-Boxen ähnlich wie Dropbox und Co. auch dafür gedacht, z.B. Freigabe-Links für Kollegen oder Kunden zur Verfügung zu stellen oder auch von einem System ohne VPN Einrichtung aus zuzugreifen (entsprechende Funktionen stellt deshalb auch jede NAS-Box zur Verfügung). Und bei einer vernünftigen Implementation des https User-Interfaces + optionaler 2-Faktor-Authentifizierung + TLS Zertifikat wäre dies auch mit einem vertretbaren Risiko möglich, aber hier ist offenbar die schlampige Implementation der Weboberfläche anfällig für Sicherheitslücken und da gehen Tipps bezüglich VPN am Thema vorbei. Normalerweise dürfte z.B. ein Freigabelink, selbst wenn dieser geknackt werden würde, überhaupt keine Zugangsmöglichkeiten zum Rest der Box gewähren.

 

[HRX-XRH]

Erstmal vielen Dank für die Antwort.
Es gibt wohl verschiedene Verschlüsselungen. Wie kann man denn erkennen, womit verschlüsselt wurde? Bei Qnap habe ich ein Ticket eröffnet und eine pdf bekommen zur Entschlüsselung, aber auch hier weiß ich nicht, ob das die richtige Anleitung für die Entschlüsselung ist.

Es gibt zu Qlocker relativ wenig Anleitungen. Die Haupt Quellen sind die QNAP Seite selbst und die dortige Anleitung, ....die Meinungen sind gemischt. Dann gibt es noch das QNAP Forum selbst und dann das Forum hier, https://www.bleepingcomputer.com/forums/t/766521/qlocker2-qnap-nas-ransomware-zip/ in dem sich viele ausgetauscht haben. Dort gibt es eine alternative Lösung (und eine Schnell-Notlösung, sofern das NAS nach dem Befall nicht ausgeschaltet wurde). Die alternative "Bleeping"-Lösung ist dann auch hier genannt (die beiden Quellen referenzieren aufeinander) https://www.ikarussecurity.com/en/security-news-en/qlocker/

Nebenbei:

Ich selbst bin gerade für einen betroffenen KUNDEN dabei seine Daten zu entschlüsseln.
Das QNAP wurde nicht von mir eingerichtet,... es ist also ein Neukunde und dann gleich mit einem dicken Problem. Ich bin aktuell mitten drin in der Wiederherstellung der Daten, aber noch in der ersten Phase. Aktuell sammelt PhotoReq noch die gelöschten Dateien. Für ca 2 TB läuft der Zähler bereits auf 80 Stunden (das mag Hardwareabhängig sein). Sollte dieser Schritt erfolgreich sein, schlägt erst die Stunde der Skripte.
Ich bin aber ganz hoffnungsvoll.
Ein Brutforce Knacken der 7zip Dateien selbst scheint aussichtslos.


Das nun schon der nächste Ransomwarebefall ansteht ist übel. Ich bin froh, dass ich Synology nutze -- sie mögen auch nicht perfekt sein, aber QNAP steht die letzte Zeit in keinem guten Licht. Und ein zweites Backup tut unbedingt not, USB Platte. Zweites NAS (ggf von anderem Hersteller). usw...

 

[CountSero]

@nrjfrechdachs @bikefanatic ich habe nicht geschaut meine beiden NAS (TS-212 und HS210) haben die App auch nicht aber aus Erfahrung weiß ich das nicht jede App für alle Systeme gibt.

Teilweise ist es abhängig welcher Prozessor in der NAS Verwendung findet, meine beiden NAS haben einen Marvel Prozessor und wenn ich mich nicht irre gibt es auch Systeme mit Arm und Intel\AMD bei Qnap.

Ich gehe davon aus das ältere Systeme mit einem Marvel Prozessor die App nicht bekommen.

Da meine NAS bereits fast 10 bzw. 8 Jahre in Nutzung sind, bin ich froh das ich überhaupt noch System Updates bekomme.

 

[Capthowdy]

215j fährt montags zwischen 8 und 12 hoch um als Backup der 718+ zu fungieren per Hyper Backup. Von außen ansonsten nicht erreichbar. Wäre in so einer Konfiguration auch das Backup NAS betroffen?

Wenn der Angriff von einem internen Gerät ausgeht (PC, Notebook etc.) und beide NAS gerade eingeschaltet sind, dann wären auch beide angreifbar. Die beste Sicherung ist immer noch offline und auf mehreren Medien die regelmäßig durchgewechselt werden. Das ist zwar teuer, schützt aber sehr zuverlässig vor totalem Datenverlust. Man muss sich eben immer Fragen wie wichtig einem die Daten sind und wie viel Aufwand man treiben möchte um sie zu schützen.

Ergänzung (27. Januar 2022)

Gerade das "von unterwegs drauf zugreifen Können" ist doch das tolle an einem Heimserver!

Das kann ich bei Bedarf auch per VPN, dafür muss ich mich nicht 24/7 nach außen öffnen. Sicherheit und Komfort waren nie und werden auch nie beste Freunde sein.

 

[Myki]

@Capthowdy

Ich meine tatsächlich den Fall, dass der Angriff auf das NAS erfolgt, wie im Fall von QNAP und dass das Backup NAS nur sporadisch angeschaltet wird, also z.b. vier Stunden die Woche, aber nicht während der Angriff durchgeführt wurde. Würde dann so ein Befall zeitversetzt immer weiter auf weitere NAS gehen, sobald das hochfährt, auch wenn die dann nur intern verbunden sind? Der Wurm/das Virus ist ja vielleicht gar nicht darauf ausgelegt, auf weitere Geräte zu gehen, sondern nur das angegriffene Gerät zu verschlüsseln.

 

[TechX]

allerdings sind ja gerade NAS-Boxen ähnlich wie Dropbox und Co. auch dafür gedacht, z.B. Freigabe-Links für Kollegen oder Kunden zur Verfügung zu stellen oder auch von einem System ohne VPN Einrichtung aus zuzugreifen

Da bin ich allerdings anderer Meinung, denn NAS heisst Network Attached Storage - also ein Netzwerkspeicher u. nicht Internetserver/Cloudserver. Die ursprüngliche Hauptaufgabe war Fileserver im LAN zu ersetzen, Speicherplatz zur Verfügung zu stellen u. dabei energieeffizienter zu arbeiten.

Klar, man kann auch mit dem Hammer schrauben, aber ob das ratsam ist?

 

[Capthowdy]

@Myki Ist das von dir beschriebene Szenario generell möglich? Ja, ist es und noch viele weitere die auch tatsächlich Anwendung finden. Wie wahrscheinlich diese einzelnen Angriffsszenarien sind ist wieder eine andere Frage und hängt auch von Faktoren wie dem zu erwartenden Gewinn ab. Stell dir eine einfachere Frage: was hast du noch wenn der Fall eintritt dass beide NAS angegriffen wurden und die Daten weg sind? Wenn die Antwort darauf "nichts" oder "nicht viel" lautet und du damit im Zweifel nicht leben könntest, dann hast du hier Handlungsbedarf.

 

[JonasN1985]

Da bin ich allerdings anderer Meinung, denn NAS heisst Network Attached Storage - also ein Netzwerkspeicher u. nicht Internetserver/Cloudserver. Die ursprüngliche Hauptaufgabe war Fileserver im LAN zu ersetzen, Speicherplatz zur Verfügung zu stellen u. dabei energieeffizienter zu arbeiten.

Klar, man kann auch mit dem Hammer schrauben, aber ob das ratsam ist?

Wenn du dich auf den formellen Ausdruck NAS beziehst, hast du recht, aber QNAPs und Synologys dieser Zeit sind keine "NAS" im ursprünglichen Sinne. Nach dieser Logik müsste man diese Freigabe Funktionen dann nämlich entfernen bzw. nicht mehr in den Features aufführen. Genau damit wird aber geworben.

 

[aid0nex]

Das kann ich bei Bedarf auch per VPN, dafür muss ich mich nicht 24/7 nach außen öffnen. Sicherheit und Komfort waren nie und werden auch nie beste Freunde sein.

Dann ließ mal den Rest meines Kommentars und such dir nicht nur den ersten Satz raus.

 

[Capthowdy]

@aid0nex habe ich, keine Sorge, ändert an meiner Aussage aber nichts: 80/443 fürs Internet freizugeben ist angreifbarer als die Ports über VPN anzusprechen. Sofern du nicht Dritten den Zugang zur Verfügung stellst, sehe ich dafür, außer Komfort, keine Notwendigkeit.

 

[aid0nex]

@Capthowdy Keine Sorge - ich habe gute Gründe dafür. Ich nutze sehr häufig die Nextcloud Funktion eine Datei die auf dem Server liegt per Direktlink zu Sharen und Leuten zugänglich zu machen. Dafür muss der Server ganz normal über das Internet per HTTP erreichbar sein. Außerdem nutzen auch meine Eltern, mein Bruder, meine Freundin usw. den Server mit eigenen Accounts - und denen kann ich nicht zutrauen eine Wireguard VPN Verbindung aufzubauen. Auch möchte ich von allen fremden Geräten drauf zugreifen können. Eine VPN/Wireguard Only Lösung kommt also überhaupt gar nicht in Frage.

 

[Capthowdy]

@aid0nex dann ist das natürlich legitim, wobei ich in diesem Fall zumindest Geoblocking einsetzen und eine WAF vorschalten würde. Beides, auch für sich allein genommen, wirkt wahre Wunder, kann ich dir aus eigener Erfahrung mit den Angriffen auf Exchange Server Anfang letztes Jahr berichten.

 

[MountWalker]

[...] Die ursprüngliche Hauptaufgabe war Fileserver im LAN zu ersetzen, Speicherplatz zur Verfügung zu stellen [...]

Ob Fileserver im LAN oder WAN ist imho nicht so der große Unterschied. Der LAN-Fileserver einer Schule sollte beispielsweise nicht so eingerichtet sein, das solche Angriffe hier aus dem LAN heraus funktionieren. Solange NAS solche Aufgaben nicht sicher mit vernünftigem Interface, wie von @JonasN1985 beschrieben, arbeiten, ersetzen sie eben keinen Fileserver -weder im LAN noch im WAN, sondern sind nicht mehr als über Ethernet angeschlossene Festplatten mit externer RAID-Karte und Stromversorgung.

 

[corun]

Dann doch lieber ein FritzBox NAS was nur per VPN Tunnel zu erreichen ist. Gibts sowas nicht auf diesen QNAP Systemen?

 

[RobZ-]

wie immer gilt: standardisierung ist praktisch und billig, bis zum tag x. wenns von millionen benutzt wird, ist es die mühe wert es sich genauer anzusehen.

 

[TechX]

Gibts sowas nicht auf diesen QNAP

Auf den QNAPs kann man (wie bei den Synos) VPN-Server installieren - wird auch oft genutzt.
Persönlich nehm ich dafür aber lieber ein eigenständiges System, da hier die OS-Aktualisierungen zeitnaher erfolgen u. auch die Auswahl freier ist. Im Heimbereich z.B. einen RPi, der mit PiHole auch noch Werbung mindert, kann auch gut noch VPN realisieren; gut, bei mehrern Usern ist diese Lösung zu schwach.

 

[StardustOne]

Viele aktuellen QNAP NAS können Snapshots erstellen. Wenn die Option noch nicht nutzbar ist, bei früheren TS-431+, z.B. erst nach einem Firmware Update nach Neuanlegen der Volumes nutzbar, Daten sichern, Snapshot Sicherung einrichten und Daten zurück spielen.

Wird ein mit Snapshots ausgestattetes NAS befallen, so kann man einfacher wieder an seine Daten gelangen.

Wer ein NAS betreibt, der muss zwingend eine 3-2-1 Backup Strategie anwenden. 3 Kopien auf zwei Systemen und eine Kopie muss an einem anderen Standort abgelegt sein. Da heute eine externe Festplatte kein Geld mehr kostet, muss, wer wichtige Daten besitzt, davon auch eine Offline Kopie erstellen und die in Rotation regelmässig nachfahren. Die Offline Kopie dann am besten auch in einem Safe aufbewahren.

Mehrere NAS zu Hause betreiben ist schon mal ein erster Schritt, die Daten kann man dann in regelmässigen Abständen auch recht einfach mit RSync kopieren. Je nach Bedarf täglich, allerdings empfiehlt es sich eine solche Sychronisation zeitversetzt zu machen und das NAS mit der Datenkopie nicht dauerhaft an zu haben. Erwischt es das erste NAS, hat man so noch Zeit zu reagieren und beim zweiten den Stecker zu ziehen.

Für ein Backup NAS reicht auch locker ein etwas älteres Modell aus.

Und wie schon erwähnt, ein RAID ist kein Backup.

 

[Wilhelm14]

selbst Leute mit einfachen und nicht zu Ende gedachten Systemen, Leute die es einfach mal auf einem Raspi ausprobiert haben und jetzt laufen lassen, eine bessere Lösung haben als die QNAP Kunden die teuer Geld dafür bezahlt haben.

Wie kommst du zu dieser Annahme? Ich behaupte, wenn man am Supermarkteingang die ersten 10 Leute abfängt, schaffen es mindestens 9 von denen nicht, ein Selbstbau-NAS sichererer zu betreiben, als ein Fertig-NAS, was sich mit Mausklicks updaten lässt.

Linux Server, Apache, Nextcloud, No-IP und Port Forwarding... Ports 80 und 443... Port 80 direkt auf 443... (SSL/TLS only)... Webserver per SSH... Port 22... offen... von außen blockiert... Wireguard VPN Verbindung... Heimnetz... netzintern auf Port 22 SSH... Sicherheitskonzept und so... HSTS... Vollverschlüsselung, User Concept (Apache/Nextcloud user... Open Source Software...

Und dieses Buzzword-Bingo leitest du mit einem "Was für ein Quatsch." ein? Das lässt sich auch mit einem Fertig-NAS veranstalten. 😉

Edit:

Verstehe ich das richtig, man ist nur dann unmittelbar betroffen, wenn das NAS direkt über das Internet erreichbar ist, sprich wenn man die QNAP Cloud nutzt und sich darüber mit dem NAS verbindet ist man nicht direkt betroffen?

Ja, so wird das von Qnap auch empfohlen. Die meisten Nutzer werden vermutlich eh darüber ihr NAS freigeben.
Am Ende: https://www.qnap.com/en/security-ne...ble-version-fight-against-ransomware-together
Qnap warnt im Grunde vorm Portforwarding:
https://www.qnap.com/solution/secure-remote-access/en/