0xxx virus/ransomware on Synology

[Maurice_69]

OK, ik had dus blijkbaar SMB-poort open staan 

En jawel.... bezoek gehad en een deel van mijn NAS encrypted. Gelukkig een deel wat ik kan missen met wat films e.d. er op, dus ik zie het maar als een hele duidelijke waarschuwing!

1) Backup strategie opnieuw tegen het licht houden en updaten
2) Veiligheid van netwerk controleren, welke poorten staan open en waarom
3) Ga naar punt 1 en zorg dat dit op orde is!

 

[synfan]

@Maurice_69 : Hoe kwam je er achter dat er ingebroken was en welke files encrypted waren?

[Babylonia]

OK, ik had dus blijkbaar wel die poort open staan 

Ik heb het wel eens vaker gezien dat mensen in een router DMZ toewijzen aan de NAS.
Om zodoende het iets meer tijd kostende klusje van handmatig instellen van "port forwarding" te kunnen omzeilen.
Zonder te beseffen dat ze daarmee toegang geven voor "alle poorten".

Niet dat achter elke poort een actieve service zit.
Maar voor een NAS zijn doorgaans al snel Windows en Apple bestand services geactiveerd om op LAN niveau daarmee toegang te hebben.
Daarnaast mogelijk ook weing aandacht besteed aan een goede opzet van firewall-regels.
Via DMZ is een NAS dan "automatisch" ook geopend voor externe toegang.

[Maurice_69]

@synfan Dat viel meteen op door de textbestandjes die geplaatst zijn en de bestandsnamen die aangepast waren:


Ik heb helaas nog geen decrypter kunnen vinden, dus een aantal bestanden zullen voorlopig nog versleuteld blijven.

Textbestand:


Altijd weer die Russen hè! 

[Briolet]

Altijd weer die Russen hè! 

Bij sommige mallware helpt het al om je keybord op Russisch te zetten. Dan schakelt de mallware zichzelf uit.

---

Hyperbackup kan dit ook detecteren. b.v. door dagelijks te backuppen en een waarschuwing in te stellen als de backup te snel groeit.  Veer gewijzigde bestanden in een korte tijd is vaak een teken dat er iets mis is.

[Birdy]

Referenties.

[Maurice_69]

Heb al verschillende topics op forums gevonden maar nog geen decrypter helaas. Maar goed, het is gelukkig niets spannends, slechts wat docu's e.d. die ik ooit gedownload heb dus ik hoop dat er nog een keer een decrypter komt, dan kan ik ze weer ontsleutelen. ;-)

[Briolet]

De kans op een decryptor is bij dergelijke software erg klein. Voor elke PC is een aparte key nodig en het is meestal aes256 codering.

Een enkele keer maken de criminelen wel fouten waardoor de sleutels beschikbaar komen.  Recentelijk heeft de politie de keys voor de deadbold ransomeware in handen gekregen:  link

Maar zoiets werkt slechts één maal. De volgende keer zijn criminelen weer attenter.

[m4v3r1ck]

Het lijkt mij een nachtmerrie om dit mee te maken. Belangrijke documenten of niet. Toch altijd een naar gevoel deze vorm van zinloos mentaal geweld.

Sterkte en succes met je toekomstige decrypt!

[Vuurvreter]

Misschien heb je hier wat aan?
Via de 1e link van de politie wordt doorverwezen naar de 2e link.

https://www.politie.nl/informatie/dit-kunt-u-doen-tegen-ransomware.html
https://www.nomoreransom.org/nl/index.html

[Maurice_69]

De kans op een decryptor is bij dergelijke software erg klein. Voor elke PC is een aparte key nodig en het is meestal aes256 codering.

Een enkele keer maken de criminelen wel fouten waardoor de sleutels beschikbaar komen.  Recentelijk heeft de politie de keys voor de deadbold ransomeware in handen gekregen:  link

Maar zoiets werkt slechts één maal. De volgende keer zijn criminelen weer attenter.

Dat klopt wel, maar vaak is ook maar een deel van het bestand encrypted, en je leest vaker dat er decrypters gebouwd kunnen worden uit de sleutels die er vrij komen van de mensen die betaald hebben. Het was voor mij in ieder geval een wijze les om te zorgen dat je backup in orde moet zijn, dat was niet maar nu dus wel. Backup is denk ik het enige middel (naast voorkomen) 

[Briolet]

Een backup is sowieso nodig. Ik denk dat er meer bestanden verloren gaan door een gecrashte HDD dan door ransomware.

Bij dit type ransomware is het hebben van een backup genoeg om de schade te herstellen.  Erger wordt het bij ransomware die eerst probeert een aangesloten backup te wissen en dan pas aan de encryptie begint.  Maar dan moet de mallware al dieper in het OS van de nas doorgedrongen zijn, dan alleen de toegang tot een share.

[stapper]

smb open staan?
Ik weet dat het een protocol is, maar hoe zie je dat of dat wel of niet open staat?
Is er dan een poort voor smb geforward op de router, of is dat een instelling op de nas?

[Maurice_69]

@stapper Het ging om poort 139, dit topic is afgesplitst van een wat ouder bericht. De issue zat hem in het aan hebben staan van uPNP in de router waardoor de NAS zelf poorten open kon zetten.

[Birdy]

Het ging om poort 139, dit topic is afgesplitst van een wat ouder bericht.

Dat kon je ook niet lezen in dat Topic.
Maar wel hier.