Ik ben geransomed, wat nu?

[aliazzz]

Hey, probeer "john the ripper" eens met een brute force dictionary aanval op dat password.

https://www.openwall.com/john/

Bijv. via kali linux

Openwall wordlists collection full version - paid download - $27.95
https://www.openwall.com/wordlists/


Tis maar een suggestie!


Vergeet ook vooral niet om AANGIFTE te doen bij de politie! Dit kan je zomaar uiteindelijk het password opleveren.

[eFfeM]

Ik denk dat een brute force dictionary aanpak veel zin heeft. Ik verwacht dat de ransomware maken een lang random gegenereerd wachtwoord gebruikt.

En ik heb geen idee of ie aangifte gedaan heeft, maar ik zal het  suggereren. Ik betwijfel zelf of dat wel enig nut heeft.

[eFfeM]

Ik heb via photorec  3.4 TB terug kunnen halen.
Duurde wat langer omdat er een issue in photorec zat waardoor bij bleef hangen.
Als topc starter nog steeds de geransomde disk heeft zou ik zeker photorec er eens op loslaten.

Ik heb daarna de disks nog een keer in raid opstelling aan mijn PC gehangen.
In eerste instantie kon ik ze niet mounten; het bleek dat mijn kernel te nieuw was.
Op advies van https://www.reddit.com/r/synology/comments/u6y5qm/has_anyone_found_a_solution_for_mounting_synology/ heb ik mijn linux systeem geboot met een 4.15.0 kernel en toen kon ik de disk wel mounten.

Inspectie leverde dat er een 2.2 TB photos.7z op stond en een 0.5 TB homes.7z file.
Mijn inschatting is dat de ransomware de 7z gemaakt heeft en daarna de files gedelete heeeft (maar niet gewiped met zero's of zo) en dat daarom photorec nog veel terug kon halen.

Het password van de 7zip file cracken is waarschijnlijk vrijwel ondoenlijk en ik kon zo 1-2-3 ook niets vinden op de schijf wat lijkt op een password. Wel kun je met 7z -l de listing van de 7z file opvragen en evt aan de hand van de size van de file de naam van een fdoor photorec herstelde file fixen.

[eFfeM]

Nog een (waarschijnlijk laatste) post van mij  in deze thread:

Na de recovery heb ik een presentatie hierover gegeven voor 040coders. Zie hier voor de pdf.

na de presentatie heb ik ook de disk van @reindu gehad. Dit was een ext4 disk. Daar ben ik met R-Linux mee aan de slag geweest maar dat leverde maar matige resultaten op. Misschien dat er nog iets gebeurd is met de disk nadat ie geransomed was.

En nog wat later vond ik het commericele programma UFS Explorer. Dat leek wel iets, dus ik heb van mijn vriend de nas disk nog een keer teruggevraagd. De resultaten van UFS Explorer waren verbluffend. Er werd veel meer data gerecovered dan met photorec of met btrfs-rescue. Er is ook een goedkopere versie (met iets minder functionaliteit). Die heet recovery explorer of R explorer.
Maar dat is dus erg goed in het terughalen van verdwenen btrfs bestanden (en misschien ook van andere filesystems dat heb ik verder niet getest)

Hopelijk helpt deze info iemand.
Have fun! Frans

[Babylonia]

Na de recovery heb ik een presentatie hierover gegeven voor 040coders. Zie hier voor de pdf.

Lezende de PDF viel me dit op:

Why did this work?
●Data on NAS were rarely deleted, so most
  files were written continuously
●Disk was untouched after hack
●Hacker did not scrub remaining disk

Dat het een "mirror" indeling betrof. Ofwel geen versnipperde RAID data over meerdere schijven verdeeld.
Dat maakt het allemaal een stuk eenvoudiger.  En dat het vooral om Nikon RAW fotobestanden zou gaan.

Verder allerlei toestanden bij terughalen van bestanden dat die bestanden bij recovery worden hernoemd.
Dat hernoemen schiet niet op, want betekent dat je achteraf duizenden bestanden alsnog moet uitzoeken,
om het weer in een enigszins kloppende indeling van voorheen weer opnieuw te moeten indelen.

Dat was pakweg 20-25 jaar geleden ook mijn ervaring met een speciaal daarvoor aangeschaft recovery programma.
Die hetzelfde deed - hernoemen van bestanden.  Praktisch gezien had je er dus eigenlijk niets aan.
Want kost na recovery alsnog maanden tijd om het in een nieuwe vorm te reorganiseren.
Heb toen nog een aantal programma's vergeleken, die ook niet voldeden.

Totdat ik "R-Studio" File recovery ontdekte. Een programma wat alle directory's en bestandsnamen intact hield.
Schijnbaar "lege" niet te benaderen harddisks, kon ik doorgaans alle data weer van terughalen.
Eenvoudig in gebruik bovendien.  Zonder er zelf veel extra tijd voor te hoeven investeren.

Ik vermoed "toen al" een van de betere programma's, want bestaat nu nog steeds.

[eFfeM]

Damn, waarom laat dit forum geen posts toe als VPN actief is (en is alles wat ik getypt heb weg).

Anyway, nog een keer:
Met raid5 was het ook wel gelukt maar dan had ik alle disks aan de PC moeten hangen. Daar had ik dan wel wat voor moeten verbouwen om de nodige sata poorten vrij te spelen. En daarna met mdadm de raid te assembleren.

R-Linux wat ik voor Rein gebruikt heb is uit de R-Studio familie. Ik heb ook naar R-Studio gekeken maar dat ondersteunde als ik het me goed herinner geen btrfs.

De nas van mijn vriend had ook redelijk wat jpegs. Op zich door iets als photorec goed te recoveren, want de files zijn niet al te groot en worden in 1 keer geschreven dus de data staat vaak in opeenvolgende blokken. Verder is er een goede header die ook nog size info geeft.

[Babylonia]

Met raid5 was het ook wel gelukt maar dan had ik alle disks aan de PC moeten hangen.

Nee, daar was het niet mee gelukt.  Eerder schreef je:

Het systeem bestond uit twee disks in RAID-1 configuratie (dus mirrorred).....

Twee schijven zijn überhaupt niet in RAID-5 te configureren.  (Of in die indeling uit te lezen).

[Birdy]

Daarbij, met RAID1 is het veel makkelijker, je hebt dan maar 1 HD nodig.

[eFfeM]

Met raid5 was het ook wel gelukt maar dan had ik alle disks aan de PC moeten hangen.

Nee, daar was het niet mee gelukt.  Eerder schreef je:

Het systeem bestond uit twee disks in RAID-1 configuratie (dus mirrorred).....

Twee schijven zijn überhaupt niet in RAID-5 te configureren.  (Of in die indeling uit te lezen).

Mijn opmerking ging over een evt raid-5 configuratie. Dan zijn er inderdaad meer disks en dan had ik dus wat sata poorten vrij moeten maken. Met twee disks kun je uiteraard alleen RAID-0 of RAID-1 doen.
Voor het herstellen kun je bij RAID-1 met een van de twee disks volstaan. Voor RAID-0 heb je alle disks nodig.
RAID 2 en 3 heb ik nog nooit gezien, wordt nooit gebruikt.
RAID-4 is zeldzaam, heeft een aparte parity disk, dan  kun je met een kapotte disk nog verder.
RAID-5 is de standaard multi-disk raid met gedistribueerde pariity. Kan een kapotte disk opvangen.
RAID-6 is met double parity, dan is er geen data loss met twee kapotte disks.

Daarbij, met RAID1 is het veel makkelijker, je hebt dan maar 1 HD nodig.

Weet ik, zie boven,je kunt zo'n enkele disk ook onder linux mounten (wil je recovery zaken doen zou ik dat wel read-only doen)

[Babylonia]

....(wil je recovery zaken doen zou ik dat wel read-only doen)

Dat is de allereerste basisregel bij recovery, om niets naar opslagmedia zelf te schrijven, waar je data van wilt terughalen.

[Birdy]

Ja hoor, weer een slachtoffer.

[mvveelen]

Vraagje,

ik heb met een identieke NAS, extern, nachtelijks een RSYNC draaien om nieuwe data over te zetten. Ook als een bestand wordt aangepast, dan wordt het bestand extra weggeschreven, dus remote niet aangepast. En dit vice versa. Dus als bestanden worden gezipped of wat ze dan ook doen, dan wordt dat gezien als extra bestanden en gaat ie al die nieuwe data naar de andere NAS overzetten 's nachts.

Stel dat 1 van de 2 wordt geransomed, dan heb ik in dit geval toch altijd een backup staan op de andere NAS die ik dan terug kan zetten?

Of maak ik hier een denkfout?

Instellingen van de Hyper Backup:

[Briolet]

Als kleine gebruiker zit je waarschijnlijk wel veilig.

Bij grote gebruikers is meer losgeld op te halen, dus dan zullen ze de tijd nemen om het systeem eerst grondig analyseren en dan te beginnen met het wissen van de backup files. (b.v. door simpel de instellingen van HyperBackup aan te passen of dit uit te zetten.)

Soms zitten ze al weken in een systeem te grasduinen voordat ze met de echte versleuteling beginnen en hun aanwezigheid echt begint op te vallen. 

[reindu]

Ik heb nog steeds mijn NAS schijven in de originele geransomde staat (ik kan er niet toe komen om weer met een NAS te gaan werken) en vandaag stond in de krant dat de politie een groot aantal cyber criminelen had gepakt. Je kon checken of ze jou als slachtoffer hadden gevonden op https://www.politie.nl/informatie/checkjehack.html. Zou ik dan opeens de wachtwoorden kunnen krijgen voor de geransomede files? Nee dus.
Mijn ransomers waren dus niet:
5 april 2023 - Genesis market
29 augustus 2023 - Qakbot
januari 2024 - Bankhelpdeskfraude
30 mei 2024 - Endgame