@fortknox,
Ich musste mir erst einmal das Video in Schnelldurchgang ansehen, was kaum zu ertragen ist. So sieht ein typisches Opfer aus, das keine Ahnung hat, was man da macht. Er schmeißt viele Sachen durcheinander, die einfach nicht stimmen. Es gibt nur 2 Wege, ein Gerät zu infizieren, von extern oder von intern. Für die externe Infektion muss das Gerät im Internet freigegeben sein um einen Zugriff darauf zu bekommen. Durch vorhandene Sicherheitslücken (Hard- & Software) könnte es zu einer Übernahme kommen und ein Schadcode ausgeführt werden. Dazu ist aber immer noch eine Freigabe durch den User im Router nötig oder man hat UPNP im Router aktiviert. Ohne diese Freigabe kann kein Zugriff von draußen erfolgen, ansonsten müsste man einen Bypass oder Backdoor am Router oder Firewall haben! Ein interner Angriff wird sehr oft bei Ransomware genutzt. Dabei wird eine Datei oder Link von irgendeinem Client im Netzwerk geöffnet, der nach bestimmten Geräten, Diensten, Dateien, Netzwerkfreigaben sucht und den Schadcode aus dem Internet nachlädt und sich dann an die Arbeit macht. Gerade, wenn man Kinder hat, kann sowas schon einmal sehr schnell passieren. Vor Monaten ist bei uns hier im Krankenhaus genau das eingetreten. Dort ist es genauso passiert und der Trojaner hat eine Exchange-Lücke ausgenutzt wie vor 2 Jahren schon im Landkreis. Microsoft hatte schon damals einen Fix angeboten, nur die Admins haben es nicht für notwendig gehalten, diesen einzuspielen. Jetzt dem Serverhersteller die Schuld zugeben, halte ich für falsch. Auch dort war es menschliches Versagen, und die Konsequenzen folgten personell.
Was UPNP angeht, musst du aber fairerweise auch die Router Hersteller anprangern. Wenn diese Option nicht im Router per Default aktiviert ist, kann jedes Gerät im Netzwerk z. B. NAS, Cams, Drucker usw. UPNP aktiviert haben, ohne dass es negative Auswirkungen oder Portfreigaben gibt. Das ist auch nur wieder ein betreuter Weg für die Bequemlichkeit. Natürlich nutze ich dieses Feature nicht und ist natürlich auch dauerhaft deaktiviert. Da einige Modelle vom Provider mit einer angepassten Firmware kommen, sollten nicht nur der Hersteller, sondern auch der Provider mit im Boot sitzen.
Der Videomann weiß ja selbst nicht richtig, wie es dazu gekommen ist und spielt sich wichtiger mit seinen Darknetrechergen auf als er ist. Hätte er ein ordentliches Backup gehabt, anstatt die HDD in der Schublade zu haben, hätte er nicht die hunderte Euros zahlen müssen. Für diesen Preis hätte er sich auch einen gebrauchten Backup-NAS kaufen können, welcher entkoppelt und am besten woanders steht, um Strom, Wasser, Feuer und Diebstahl vorzubeugen. Nicht umsonst wirst du bei solchen Aktionen in den unterschiedlichen NAS-Foren die Antwort bekommen: „Kein Backup – kein Mitleid!". Denk mal darüber nach!
Der Schadcode kann hinter jedem Internetlink, Dateianhang, Mobil-App usw. versteckt sein. Trotzdem ist es falsch, Panik zu schieben, weil das nur die halbe Wahrheit ist. Man kann sich sehr gut in unterschiedlichen Bereichen davor schützen. In über 90 % ist es aber ein Versagen des Users vor dem Gerät, welcher aus Bequemlichkeit keine Updates einspielt, komplexe Passwörter und 2FA meidet, alles auswählt, ohne zu wissen, was für Auswirkungen es hat. Unbedarfte Freigaben ins Internet zu stellen, um Bilder und Videos zu teilen, ein Konto für alle User und das noch als Administrator nutzt und vieles, vieles mehr. Auch sind das keine gezielten Angriffe, sondern nur zufällige Treffer. Es sitzt keiner im dunklen Keller, um Hans Müller seine Urlaubsfotos zu verschlüsseln und seine Rente abzupressen, dazu ist Hans Müller zu uninteressant!
Umso wichtiger ist es, die User vor dem Kauf darauf aufmerksam zu machen und zu sensibilisieren, ggf. zu begleiten. Mangelndes Interesse und Zeit für dieses teilweise anspruchsvolle Thema beschleunigen das Ganze. Ein NAS ist kein 1-Klick-System, vor einem Ausfall und Datenverlust sind noch weitere Vorkehrungen für den dauerhaften Betrieb zu treffen. Wem das zu viel ist, sollte lieber kein Hobby-Admin spielen und erst recht nichts im Internet freigeben! Der ist dann besser in einer Cloud aufgehoben!
Die Verschlüsselung kann auch andere NAS-Betriebssysteme betreffen. Die größte Schwachstelle sehe ich dabei in der Netzwerkfreigabe. Da hilft denn auch nur noch, sich vor und nach jeder Nutzung der Freigabe abzumelden (nicht dauerhaft speichern) oder ein regelmäßiges Backup. Schadenfreude oder Häme sind hier nicht angebracht. Bei NFS ist das aufgrund der fehlenden Authentifizierung noch tragischer. Unter Linux ist man auch gut mit SMB beraten.
Es gibt für AdGuard und Pi-Hole als auch uBlock und Co Filterlisten, die bekannte und aktuelle Schadcodeseiten blockieren. Die verwendeten Würmer und Trojaner sind selten die aktuellsten. Jeder mögliche Schutz oder Maßnahme sollte ergriffen werden!
Auch wenn Dienste bereits aktiviert sind, benötigt man immer noch eine Freigabe oder der Weg über ein Relay. Um das Relay nutzen zu können, bedarf es immer eines Nutzerkontos beim Hersteller. Nur mit einem vorhandenen registrierten und bestätigten Nutzerkontos, welches auch noch auf dem NAS eingerichtet werden muss, funktioniert der Verbindungsaufbau. Auch dort ist wieder ein Zutun des Nutzers Pflicht, anstatt sich mit der eigentlichen Freigabe zu beschäftigen, wenn es denn unbedingt sein muss und Alternativen wie VPN nicht ausreichen. Stattdessen begnügt man wieder die eigene Bequemlichkeit und nutzt einen „Man in the Middle“. Dadurch ergibt sich natürlich ein Risiko für den Zugriff und die Daten und steht für mich im Widerspruch zum eigenen NAS bzw. privaten Cloud. Ich habe noch nie ein Konto bei den Herstellern gehabt und werde es auch nie haben.
Gegen die Verwendung von Quickconnect habe ich mich immer ausgesprochen und bekam immer Gegenwind für solche Äußerungen. Sämtliche User habe ich von Quickconnect befreit und sogar das Zertifikat entfernt, was von Synology so nicht vorgesehen ist und nur über die Konsole geht. Ich stehe immer noch mit vielen in Kontakt und bis jetzt hat sich keiner beschwert.
Auch die Standardports sind ja nicht das Problem. Wer schlau ist, nimmt gleich einen Reverse-Proxy. Wer IPv4 hat, kann auch die NAT benutzen, um die Ports zu tauschen. Natürlich können die Ports auch in der DiskStation angepasst werden. Letzteres wird aber von den Usern oft vergessen, wenn sie mal wieder irgendwelche Anleitungen im Internet nachgehen. Grundsätzlich sollte man immer so wenig wie möglich und so viel wie nötig im Internet freigeben! Wie in der anderen Antwort geschrieben gibt es Wege, sich vor Bot- und Bruteforce-Netzwerken zu schützen. Entsprechende Einstellungen sind auch in DSM enthalten. Alles ist sehr gut dokumentiert. Die wenigsten User haben sich vor dem Kauf oder zur Einrichtung informiert, obwohl das zuletzt besser geworden ist.
Dass der Videoman auf eine Anzeige verzichtet hat, liegt aber nicht darin begründet, dass es nichts bringt, sondern dass die betroffenen Geräte abgenommen werden, um sie forensisch zu untersuchen. Wann und ob er diese wieder bekommen hätte, hat die nette und kompetente Dame von der Kriminalpolizei ihm scheinbar vorher erklärt. Und der will das Darknet unsicher gemacht haben?
Abschließend zu diesem Thema halte ich den Menschen vor dem Gerät für das größte Problem. Sie sind zu wenig selbst denkend, zu unkritisch, zu wenig Zeit, um sich in der Materie einzuarbeiten und überschätzen sich zu oft. Ein Interessierter kann das Ganze in einer Woche gut und sicher hinbekommen. User, die aus Bequemlichkeit alte Apps wie die Videostation und das DSM aufgrund der Foto-App bei DSM 6 bleiben, handeln in meinen Augen fahrlässig. Leider gibt es davon sehr viele. Dann kommt irgendwann ein Video wie oben, wo sich beschwert und dann nur die Hälfte dargelegt wird. Auch ein alter Qnap-NAS (439pro2) verrichtet noch bei einem Bekannten seit vielen Jahren zuverlässig seinen Dienst für die täglichen Serien-Aufnahmen der Mutter – auch keine Auffälligkeiten. Also irgendetwas müssen einige dieser Fälle anders machen. Ich mache mir diesbezüglich keine Gedanken.
