Synolocker

[ralphsensei]

Met het risico dat dit topic al bestaat (kon het niet vinden) - Het lijkt erop dat mijn Synology besmet is met een soort ransom ware: Synolocker

De standaard login pagina vertoont nu een melding dat alle bestanden ge-encrypt zijn en dat er betaald moet worden voor decryptie. Op Google is er bar weinig over te vinden, dus ik hoop dat er iemand op dit forum is die mij kan helpen.

De volledige melding hieronder:

______________________________________________________________

SynoLocker™

Automated Decryption Service

All important files on this NAS have been encrypted using strong cryptography



List of encrypted files available here.

Follow these simple steps if files recovery is needed:
1.Download and install Tor Browser.
2.Open Tor Browser and visit http://cypherxffttr7hho.onion. This link works only with the Tor Browser.
3.Login with your identification code to get further instructions on how to get a decryption key.
4.Your identification code is <deleted>
5.Follow the instructions on the decryption page once a valid decryption key has been acquired.


Technical details about the encryption process:
•A unique RSA-2048 keypair is generated on a remote server and linked to this system.
•The RSA-2048 public key is sent to this system while the private key stays in the remote server database.
•A random 256-bit key is generated on this system when a new file needs to be encrypted.
•This 256-bit key is then used to encrypt the file with AES-256 CBC symmetric cipher.
•The 256-bit key is then encrypted with the RSA-2048 public key.
•The resulting encrypted 256-bit key is then stored in the encrypted file and purged from system memory.
•The original unencrypted file is then overwrited with random bits before being deleted from the hard drive.
•The encrypted file is renamed to the original filename.
•To decrypt the file, the software needs the RSA-2048 private key attributed to this system from the remote server.
•Once a valid decryption key is provided, the software search each files for a specific string stored in all encrypted files.
•When the string is found, the software extracts and decrypts the unique 256-bit AES key needed to restore that file.

Note: Without the decryption key, all encrypted files will be lost forever.


Copyright © 2014 SynoLocker™ All Rights Reserved.

[ralphsensei]

Vervolg: de ransom is 0,6 bitcoin, ongeveer 400 USD.

_______________________________________


SynoLocker™
Automated Decryption Service
6 days, 11 hours, 9 mins, 26 secs
PRICE OF DECRYPTION KEY DOUBLE WHEN COUNTDOWN EXPIRE

To decrypt your files you need to buy a unique decryption key that is linked to your identification code.

The only accepted payment method is Bitcoin.

Visit the help page if you need information on how to purchase and send a Bitcoin payment.

Follow these simple steps to get your decryption key:

    Send 0.6 BTC to this Bitcoin address: 1QFwchSD4Ykq6Z7YSTVBsoppcxfKVb4Vk
    Once the payment has been processed, the RSA private key will be available on your home page within ~1 hour (6 Bitcoin network confirmations).
    Get the link to the decryption page on your Synology NAS index.html page. Default is http://IP_ADDRESS:5000/redirect.html
    Copy and paste the RSA private key into the decryption page form then hit the submit button.
    After a short delay the webpage will start displaying the decryption progress.
    Contact support if you face any issues with the decryption process.


Copyright © 2014 SynoLocker™ All Rights Reserved.

[Birdy]

Kijk eens hier: (Google laten vertalen van Duits):
http://translate.google.com/translate?u=http%3A%2F%2Fwww.synology-forum.de%2Fshowthread.html%3F56206-SynoLocker-TM-Daten-auf-NAS-gecrypted-worden-durch-Hacker&sl=de&tl=nl

[Birdy]

En deze:
http://forum.synology.com/enu/viewtopic.php?f=3&t=88716

[Birdy]

Weet je uit je hoofd of je SSH Terminal hebt aanstaan ?

Je zou dan met PuTTY of WinSCP eens een kijkje kunnen nemen of het inderdaad encrypted is:

Complete procedure:

WinSCP:
1 - Zorg ervoor dat SSH-Service aan staat: Configuratiescherm > Terminal.
2 - Download: http://winscp.net/eng/download.php
3 - Installeer WinSCP
4 - Start WinSCP klik op nieuw
5 - Bestandsprotocol: SCP
6 - Adres doelcomputer: <NAS-IP>
7 - Poortnummer: 22
8 - Gebruikersnaam: root
9 - Opslaan
10 - Inloggen (Password van je admin)

PuTTY:
1 - Zorg ervoor dat SSH-Service aan staat: Configuratiescherm > Terminal.
2 - Download putty.exe
http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html
3 - Start putty.exe
4 - Geef je IP-adres van je NAS op
5 - Zorg dat SSH aangeklikt is
6 - Save....geef een naam in "Saved Sessions"
7 - Klik op Open
8 - Je krijgt Putty scherm met "login as:"
9 - Geef in: root <enter>
10 - password: <Admin password> <enter> (PS: je ziet de cursor niet verplaatsen).

- Is jouw data op /volume1 leesbaar ?
- Gebruik dan WinSCP om je belangrijkste files te copieeren.

[ralphsensei]

Dank Birdy voor je uitgebreide reacties. De links had ik ook al gevonden, maar dat stemde me niet bepaald vrolijk.

Ik zal eens kijken of ik met SSH iets kan. De bestanden zijn ook via explorer wel zichtbaar, maar helaas niet te openen. Lijkt inderdaad encrypted.
Overigens lijkt dit een vrij recent iets, ik raad iedereen dan ook aan om maatregelen te nemen.
Mij viel vanmiddag op de de NAS behoorlijk stond te ratelen, ik dacht een Virusscan. Had ik maar gelijk gekeken. Pas toen ik een film ging kijken en deze haperde viel het RAMverbruik pas op. Na de herstart kon ik er niet meer in.

Man wat balen. Foto's van de kinderen waarvan sommige de enige kopie....

[Birdy]

Dit is een zeer recent geval heb ik gezien op het web en je wordt daar zeker niet vrolijk van 

Je zou het in ieder geval moeten melden bij Synology:
http://www.synology.com/nl-nl/support/security

En ook via Support, misschien dat men daar een oplossing hiervoor kan vinden/maken:

Synology Ticket:
https://myds.synology.com/support/support_form.php?lang=nld

Of als je DS is geregistreerd of wilt registreren en dan een ticket:
https://myds.synology.com/support/register.php?lang=nld

Of als je wilt bellen:
http://www.synology.com/nl-nl/company/office_location

[Birdy]

Heb er gelijk een Sticky Topic voor gemaakt:
http://www.synology-forum.nl/firmware-algemeen/let-op-nas-hack-synolocker-actief/?topicseen

[ralphsensei]

Thanks Birdy

[Hofstede]

Kun je aangeven wat je allemaal "open" had staan richting internet? Poorten e.d.?

[masterblaster]

Tjeemig, dat zuigt echt apeballen. Zoveelste reden om echt belangrijke files (fotos, home videos) alleen offline te bewaren.

[Birdy]

Zie voor updates over Synolock hier:
http://www.synology-forum.nl/firmware-algemeen/let-op-nas-hack-synolocker-actief/

[TonVH]

Tjeemig, dat zuigt echt apeballen. Zoveelste reden om echt belangrijke files (fotos, home videos) alleen offline te bewaren.

Ik zou dat anders willen formuleren: een van de redenen dat je altijd moet zorgen een backup te hebben.

[Heppieboeddah]

Kun je aangeven wat je allemaal "open" had staan richting internet? Poorten e.d.?

Daar ben ik dus ook wel benieuwd naar. Zie ook mijn bijdrage in http://www.synology-forum.nl/firmware-algemeen/let-op-nas-hack-synolocker-actief/
 

[Hofstede]

Als je zoekt onder de slachtoffers zijn er veel die hun DSM-login via poort 5000 open hadden staan naar het internet. Snap niet waarom mensen dat doen, je kunt veel beter een VPN service opzetten daarvoor.
Maar is afwachten tot er meer details bekend zijn.