Qnap . חטפתי הצפנה לכל הקבצים 7z

[plataoplomo]

שלום,

המאס הוצפן עם סיומת 7z. הבנתי שהפריצה ידועה ושוחרר עדכון אבטחה אבל כבר חטפתי את ההצפנה. לא הבנתי מהאתר של qnap אם מי שכבר נפרץ לו הנאס יכול לשחזר או שהכל אבוד.
מישהו מכיר?

[Borderline1]

https://www.qnap.com/en/how-to/faq/arti ... iles-by-7z

[Batnun]

שלום,

המאס הוצפן עם סיומת 7z. הבנתי שהפריצה ידועה ושוחרר עדכון אבטחה אבל כבר חטפתי את ההצפנה. לא הבנתי מהאתר של qnap אם מי שכבר נפרץ לו הנאס יכול לשחזר או שהכל אבוד.
מישהו מכיר?

...

לא הבנתי איך פרצו לך. ה-NAS שלך חשוף לאינטרנט?


Batnun

.

[big27]

נשמח שתשתף איך זה קרה

ומקווה שתצליח לשחזר את הקבצים

[mark13]

גם לי זה קרה. כנראה בגלל שימוש באפליקציה שלהם QSYNC.
הצלחתי לעצור את זה ולשחזר.
אם ההתקפה עדיין רצה אז תוכל לשלוף את סיסמת ההצפנה מתוך טרמינל על ה-QNAS
יש וידאו ביוטיוב שמסביר (קצת כבד הבנאדם אבל מועיל)
 אקצר לך במילים:
1. כנס ל-QNAP ותבדוק ע"י ה-resourse monitor, (systm resources) האם עדיין יש ריצות של 7Z
2. אם יש אז כנראה שההתקפה עוד לא הסתיימה
3. תפתח טרמינל SSH עם PUTTY או תוכנה דומה (ניתן להכנס אך ורק כ-ADMIN)
4.
cd /usr/local/sbin; printf '#!/bin/sh \necho $@\necho $@>>/mnt/HDA_ROOT/7z.log\nsleep 60000' > 7z.sh; chmod +x 7z.sh; mv 7z 7z.bak; mv 7z.sh 7z;
5. זה הופך את הלוג לנראה ותוכל למצוא בפנים את שורת ההצפנה עם הסיסמה (cat 7z.log)
6. כדי לשחזר מה שכבר הוצפן תיצור קובץ כמו הבחור ווידאו ממליץ ותתאים את הפולדרSOURCE ל-NAS שלך תפעיל אותו מחול CMD או POWERSHELL (אני מניח כאן שמ-PC כלשהו יש לך חיבור דרייב ל-NAS)

בהצלחה

[mark13]

אחרי זה, בתור שיפור ה-NAS שלי שיניתי את הפורט התחברות מ-8080 למשהו אחר
וגם ניטרלתי את המשתמש admin

[boubi]

גם לי זה קרה. כנראה בגלל שימוש באפליקציה שלהם QSYNC.
הצלחתי לעצור את זה ולשחזר.

...

לא נראה שזה קרה בגלל qsync כי זה לא מופיע באזהרות שלהם - מופיעות אפליקציות אחרות.
איך שמת לב שזה קורה לך, בדיוק שניסית להפעיל קובץ זה דרש סיסמא או קיבלת התראות?

[mark13]

לא נראה שזה קרה בגלל qsync כי זה לא מופיע באזהרות שלהם - מופיעות אפליקציות אחרות.
איך שמת לב שזה קורה לך, בדיוק שניסית להפעיל קובץ זה דרש סיסמא או קיבלת התראות?

...

קניתי נייד חדש ורציתי לבדוק האם מעדכן ב-NAS תמונות , דרך QSYNC,
אז ראיתי שהקבצים עם סיומת 7z והתחלתי לבדוק בגוגל מה קורה וככה גיליתי גם את הפתרון

אגב, הקהילה ברשת יודעת יותר טוב מ-QNAP (שעד עכשיו לא נתנו פתרון למי שהותקף) ושמה תראה שאחת החשיפות לרשת זה דרך QSYNC
חוץ מזה ה-NAS שלי בשימוש לגמרי פנימי בבית, כך שזו האופציה היחידה שלהדבקות
(ועוד משהו, למרות שהפתרון שדווחתי עובד ופשוט וחינמי, לא פורסם בהרבה אתרים, גם לא ע"י QNAP)

[boubi]

וואוו, איזה תזמון מעולה יצא לך לבדוק סנכרון ולראות את זה.
בד"כ התוקפים בונים על זה שהנאס לא בשימוש רציף ויש להם את הזמן להצפין בלי שישימו לב.
מעניין מה שאתה אומר לגבי הqsync כי גם אני לא חשוף החוצה אבל כן משתמש בתוכנה הזו.

[mark13]

וואוו, איזה תזמון מעולה יצא לך לבדוק סנכרון ולראות את זה.
בד"כ התוקפים בונים על זה שהנאס לא בשימוש רציף ויש להם את הזמן להצפין בלי שישימו לב.
מעניין מה שאתה אומר לגבי הqsync כי גם אני לא חשוף החוצה אבל כן משתמש בתוכנה הזו.

...

מצד אחד, היה לי הרבה מזל, כמו שאתה אומר. אבל בגלל שלוקח להצפין כמה שניות לכל קובץ ההתקפה יכולה להימשך ימים
אני יודע שלאחר שהיה לי את הסיסמה שלהם לקח כמעט יום לפתוח את הקבצים שהוצפנו
מצד שני, חשוב שיהיה לך גיבוי על הקבצים החשובים שלך בצד, במקרה הגרוע תשחזר מהגיבוי

[big27]

אחרי זה, בתור שיפור ה-NAS שלי שיניתי את הפורט התחברות מ-8080 למשהו אחר
וגם ניטרלתי את המשתמש admin

...

היי , אשמח אם תשתף איך שינית פורט ? ולאיזה פורט אפשר לשים ? ואיך לשנות את היוזר Admin

תודה מראש

[mark13]

@big27
הכל נעשה מה- Control Panel
ב-General Settings אפשר לשנות את הפורט, לא יודע אם יש הגבלות, אני בחרתי מספר אקראי בן 4 ספרות
ב-Users יש רשימה .אתה חייב שיהיה לפחות עוד יוזר עם הרשאות מלאות ולהיכנס ל-NAS איתו, רק אז תוכל לבטל את admin (ע"י האייקון עם העיפרון שבשורה שלו)

image.png

(24.81 KiB) עדיין לא הורד

[י-א]

האם ידוע על פירצה כזו גם בסינולוגי?

[plataoplomo]

אין לי מושג איך הפריצה קרתה אבל מבלי ששמתי לב שיש הצפנה אני עשיתי עדכון קושחה שעצר כנראה את ההצפנה תיקייה אחת הוצפנה.. רק חבל שזאת התיקייה הכי חשובה של העבודה..אבל מזל שיש לנו עוד גיבויים.