Zapłacisz 1200 zł za odszyfrowanie danych na dysku Synology: SynoLocker atakuje użytkowników DiskStation

SynoLocker to nazwaszkodnika, który masowo atakuje urządzenia DiskStation iRackStation firmy Synology, wykorzystując podatność w ichfirmware. Dotyczy ona najprawdopodobniej zastosowania stałych hasełw konfiguracjach ustawiających dostępność paneluadministracyjnego w Sieci (np. dla zarządzania z zewnątrz). Jeślimacie w swoich dyskach NAS otwarte porty 5000 i/lub 5001 – tojesteście narażeni na atak, którego konsekwencją jest utratadostępu do wszystkich danych na urządzeniu, chyba że zapłacicie0,6 bitcoina (tj. obecnie ok. 1200 zł), by otrzymać klucz RSA doodszyfrowania plików.

Niestety, ofiarami ataku mogą paść także ci, którzy nieudostępniali specjalnie panelu administracyjnego swojego NAS-a wpublicznej Sieci, a po prostu wykorzystali pewne usługi Synology, bynp. zapewnić sobie mobilny dostęp do plików. Na zagrożonych przezatak robaka portach działają bowiem praktycznie wszystkie aplikacjeSynology – DS Audio, DS Cam, DS file, DS finder, DS video, DSDownload, Video Station, File station oraz Audiostation.

Zwraca uwagę profesjonalizm twórców SynoLockera. Oferują swoimofiarom pełne wsparcie techniczne w zakresie uiszczenia okupu wbitcoinach i deszyfrowania danych. Sam webowy interfejsdeszyfrowania, dostępny pod adresem panelu konfiguracyjnegoSynology, wykonany jest bardzo przejrzyście. Na ofiary wywiera sięzaś psychiczną presję, grożąc, że jeśli nie zapłacą wwyznaczonym terminie, to kwota okupu wzrośnie dwukrotnie.

Synology rozesłało właśnie informację prasową, którawyjaśnia pewne kwestie związane z tym zagrożeniem. Udało sięustalić, że wykorzystywana do ataku podatność występuje wurządzeniach DiskStation/RackStation działających pod kontroląDSM w wersji 4.3-3810 i starszych. Wyeliminowano ją już w grudniu2013 roku. Aktualna wersja DSM 5.0 jest całkowicie odporna na atak.Osobom korzystającym ze starszych wersji radzi się, by natychmiastwyłączyły otwarte porty, odłączyły NAS od routera,zaktualizowały urządzenie do najnowszej wersji i zrobiły kopięzapasową swoich danych na zewnętrznym nośniku.

Producent prosi też użytkowników o kontakt na adres e-mailowysecurity@synology.com, jeżeli w Monitorze zasobów zauważąproces synosync lub korzystają z DSM 4.3-3810 lubwcześniejszych, ale system informuje, że nie ma dostępnychaktualizacji. Oznacza to zainfekowanie robakiem SynoLocker. W tejsytuacji należy sprzętowo wyłączyć urządzenie, poprzez długienaciśnięcie przycisku Power, potwierdzone sygnałem dźwiękowym iczekać na dalsze instrukcje od Synology.

Eksperci od bezpieczeństwa podkreślają, że Synology musipoważnie wziąć się za zabezpieczanie swoich produktów. Nie takdawno mieliśmy do czynienia ze szkodnikiem, który zamieniał dyskiNAS tej firmy w koparki dogecoinów, narażając użytkowników nanadmierne zużycie energii i uszkodzenia sprzętu, wcześniejznaleziono groźną lukę w usłudze VPN tej firmy. Jest to o tyleistotne, że urządzenia Synology dawno już przestały być tylkoprostymi dyskami sieciowymi. Wiele firm stosuje je jako uniwersalneserwery, z uruchomionymi usługami poczty elektronicznej, VoIP, WWWczy uwierzytelniania przez LDAP. Do zastosowań takich zachęcazresztą sam producent – nie można więc Synology traktować zpobłażliwością dopuszczalną wobec producentów tanich urządzeńsieciowych. Od producenta sprzętu tej klasy należy oczekiwać nietylko regularnego dostarczania łatek, ale i wprowadzenia do firmwareinteligentnych zapór sieciowych czy systemów wykrywania włamań(IPS).