LET OP: NAS HACK: Synolocker actief.

[damonnk]

Tenzij het hen wel lukt de nas via WOL aan te krijgen ;-)

Gelukkig kan je WOL uitzetten (Sorry mijn synology staat op engels)
Control Panel > Hardware & Power
Onder general heb je kopje Power Recovery waar je kan zien of het aan of uit staat

[SPiET]

Juist gezien op Tweakers,

Bekijk deze website es, deze is gehacked met SynoLocker

http://www.metsub.co.uk:5000/

Je kan zelf zien welke files er allemaal besmet zijn.

Ik neem aan dat de website zijn nas nog altijd up & running is , en de encryptie nog steeds voorgezet word (of al reeds compleet is)

Update: de lijst met encrypted files

http://www.metsub.co.uk:5000/crypted.log

[Tien]

Tenzij het hen wel lukt de nas via WOL aan te krijgen ;-)

Gelukkig kan je WOL uitzetten (Sorry mijn synology staat op engels)
Control Panel > Hardware & Power
Onder general heb je kopje Power Recovery waar je kan zien of het aan of uit staat

Moet je wel thuis zijn ;-)

[SPiET]

Ik heb mijn nas nu volledig afgezet en DDNS enz uitgezet.

Ik run nog steeds DSM 4.3 , kan ik deze manueel updaten (zonder dat de NAS aan internet hangt) naar de nieuwste DSM 5.xxx ? Of wacht ik beter om de nas terug op te starten van zodra er nieuws is?

Blijkbaar is de laatste update van DSM 5 ook besmetbaar?

[wopper]

Toch best verbazingwekkend:

Een scan op poort 5000 of 5001 is niet eens nodig, als je google'd op inurl:webman/index.cgi krijg je een hele lijst DSen ook met niet standaard poorten. Dus een andere poort dan 5000 en/of 5001 is ook maar schijnveiligheid.


Bovenstaande 'geleend' van Tweakers.

Als maatregel heb ik zelf genomen:

Two-step verification
Quick-connect voorlopig even uit
3 x inloggen binnen 1440 minuten zonder authorisatie is een eeuwige block..

Leuke google search hit ;-)

Ik heb ook nog de firewall staan op Geo filtering "Allow Nederland only on port 5001" en voor backup is de firewall alleen tussen mijn NAS en de backup NAS gefilterd op ip to ip. En nu tijdelijk even helemaal dicht gezet tot synology met een fix komt.

En ik heb two-step even aangezet ter veiligheid.

[damonnk]

Juist gezien op Tweakers,

Bekijk deze website es, deze is gehacked met SynoLocker

http://www.metsub.co.uk:5000/

Je kan zelf zien welke files er allemaal besmet zijn.

Ik neem aan dat de website zijn nas nog altijd up & running is , en de encryptie nog steeds voorgezet word (of al reeds compleet is)

Update: de lijst met encrypted files

http://www.metsub.co.uk:5000/crypted.log

Ouch! Dat is pijnlijk zeg!
Lijkt een NAS die voor business doeleinden word gebruikt.
En aangezien de log niet groter word is deze dus al helemaal klaar met encrypten.
Hopelijk hebben ze een goede backup.

[Remy89]

Juist gezien op Tweakers,

Bekijk deze website es, deze is gehacked met SynoLocker

http://www.metsub.co.uk:5000/

Je kan zelf zien welke files er allemaal besmet zijn.

Ik neem aan dat de website zijn nas nog altijd up & running is , en de encryptie nog steeds voorgezet word (of al reeds compleet is)

Update: de lijst met encrypted files

http://www.metsub.co.uk:5000/crypted.log

Ouch! Dat is pijnlijk zeg!
Lijkt een NAS die voor business doeleinden word gebruikt.
En aangezien de log niet groter word is deze dus al helemaal klaar met encrypten.
Hopelijk hebben ze een goede backup.

Inderdaad! Volgens mij draaide ook hun website op de NAS. Hun website werkt ook niet meer.

[Briolet]

...als je google'd op inurl:webman/index.cgi krijg je een hele lijst DSen ook met niet standaard poorten. ...

Dat zijn zo'n ruim 30 duizend nassen. En verbazend hoeveel daarvan nog niet op DSM 5.0 draaien.

[Birdy]

Ik heb mijn nas nu volledig afgezet en DDNS enz uitgezet.

Ik run nog steeds DSM 4.3 , kan ik deze manueel updaten (zonder dat de NAS aan internet hangt) naar de nieuwste DSM 5.xxx ? Of wacht ik beter om de nas terug op te starten van zodra er nieuws is?

Blijkbaar is de laatste update van DSM 5 ook besmetbaar?

Je kunt handmatig updaten, dan download je DSM en trek je de UTP kabel op je router die naar Internet gaat  eruit echter, misschien moet je pas op de plaats nemen, en nu niet dingen doen zonder te weten van de hoed en de rand m.b.t. Synolocker. 
Upgraden naar de laatste versie heeft op dit moment n.l. geen zin, in mijn ogen.

[blackgoku]

Zo te lezen dus niet alleen DSM 4.3 maar ook DSM 5

[hoogerbeets]

Laatste versie downloaden via de website en de updates op http://ukdl.synology.com/download/criticalupdate/update_pack/

Dan kan je geheel offline je NAS bijwerken naar de laatste versie.

[Babylonia]

Tenzij het hen wel lukt de nas via WOL aan te krijgen ;-)

Gelukkig kan je WOL uitzetten (Sorry mijn synology staat op engels)
Control Panel > Hardware & Power
Onder general heb je kopje Power Recovery waar je kan zien of het aan of uit staat

Moet je wel thuis zijn ;-)

De NAS waarvan ik gebruik maak staat niet bij mij thuis, dus benader ik de NAS van buitenaf. Je kunt van buitenaf de WOL-functie in DSM uitschakelen, kun je er volgende keer vanuit slaapstand-mode niet meer in, maar je kunt de NAS (als je er nog wel inkunt) van afstand ook volledig uitschakelen als je dat zou willen. Bij een uitgeschakelde NAS kan niemand er van buitenaf meer in of de NAS activeren. Zul je de NAS ter plekke toch echt met de powerknop opnieuw moeten opstarten.

[SPiET]

Laatste versie downloaden via de website en de updates op http://ukdl.synology.com/download/criticalupdate/update_pack/

Dan kan je geheel offline je NAS bijwerken naar de laatste versie.

Heb nu 4493 laatste gedownload via de Synology website, is dit dan ook met de updates erbij? Productiedatum is begin juni dus denk het niet. Moet je dan alle update 1,2 en 3 dl of gewoon de laatste (na de 4439 update) ?

Btw

iemand van op Synology US forum misschien iets gevonden:

Was looking to a infected box and found

PORT STATE SERVICE VERSION
8080/tcp open http-proxy PWNED


Port 8080 is running the page to input the decryption key

PWNED was the service running the Bit/dogcoin miners

https://www.synology.com/en-global/comp ... rticle/437

Are this the same guys? and/or the same vulnerability?

[CHIWI]

Toch best verbazingwekkend:

Een scan op poort 5000 of 5001 is niet eens nodig, als je google'd op inurl:webman/index.cgi krijg je een hele lijst DSen ook met niet standaard poorten. Dus een andere poort dan 5000 en/of 5001 is ook maar schijnveiligheid.


Bovenstaande 'geleend' van Tweakers.

Als maatregel heb ik zelf genomen:

Two-step verification
Quick-connect voorlopig even uit
3 x inloggen binnen 1440 minuten zonder authorisatie is een eeuwige block..

Leuke google search hit ;-)

Ik heb ook nog de firewall staan op Geo filtering "Allow Nederland only on port 5001" en voor backup is de firewall alleen tussen mijn NAS en de backup NAS gefilterd op ip to ip. En nu tijdelijk even helemaal dicht gezet tot synology met een fix komt.

En ik heb two-step even aangezet ter veiligheid.

Hoe heb je die Geo Filtering gedaan

[Babylonia]

Heb nu 4493 laatste gedownload via de Synology website, is dit dan ook met de updates erbij? Productiedatum is begin juni dus denk het niet. Moet je dan alle update 1,2 en 3 dl of gewoon de laatste (na de 4439 update) ?

Doorgaans zitten de fixes van een versie ervoor ook verwerkt in de laatste update. Maar als je het zeker wilt spelen, doe dan eerst 4493 update 1, dan versie 2 dan versie 3.