Re: [情報] 華芸NAS遭到deadbolt勒索病毒盯上

[Cubelia (大胸智乃)]

48小時內又出現新一波Deadbolt勒索，這次包含Qnap也有攻擊

當前用NAS有對外開Port或服務(含SSH)
尤其裸奔等用戶請務必更新系統 (杰哥:我看你是很勇喔)
記得檢查有沒有異常登入記錄(還有瘋狂試密碼的)

沒有開對外port或服務也建議檢查看看資料有無異常，斷網避個風頭

https://www.qnap.com/en-us/security-advisory/qsa-22-19
https://www.asustor.com/en/knowledge/detail/?id=6&group_id=630

當前QTS和ADM都有推出強化安全性的新版系統
但真的是只有慘能形容(才沒幾個月駭客又開鍘)

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.173.166.233 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1655561760.A.70F.html
※ 編輯: Cubelia (1.173.166.233 臺灣), 06/18/2022 22:27:39
→ ms0344303   : 現在用路由器vpn轉發順便用內建防
→ ms0344303   : 火牆都很方便了 直接開port的能操
→ ms0344303   : 作應該很少了
推 oppoR20     : 哈哈QNAP哈哈 哈哈華芸哈哈
→ oppoR20     : 學校一堆單位跟實驗室買QNAP 只能
→ oppoR20     : 說心臟真的很大顆
→ zhtw        : 看了一下Q牌網頁說明
→ zhtw        : 這次是針對QTS4.X舊版系統的攻擊
→ zhtw        : QTS早就5.0了 不升級系統被攻擊
→ zhtw        : 那其實是自作自受
推 oppoR20     : Qnap放生一堆NAS好嗎XD
→ oppoR20     : Dsm 7.0甚至2012的都可以裝 qnap t
→ oppoR20     : s 669p x86的被封印在qts 4.3.4
推 AreLies     : https://i.imgur.com/MHHxYQK.png
→ zhtw        : 669P 2012年的產品 不支援很正常
→ zhtw        : 過時硬體早該淘汰了
→ oppoR20     : 其實大功能2018就被放生了
→ zhtw        : 就算沒中毒 硬體也差不多掛了
→ oppoR20     : 還活的好好的呢
→ fujisawa    : Synology目前"安全性更新"最遠大該
→ fujisawa    : 是在10年底到11年的機型
推 Rollnmeow   : 所以自己架NAS到底有沒有搞頭
→ twinmick    : 不要小看舊電腦的長壽威能，它只是
→ twinmick    : 效能低而已，但是很耐用，家裡還有
→ twinmick    : 台2008的Qnap NAS現在當備份的備份
→ AreLies     : 自己架就是享受自己組的成就感
→ AreLies     : 會玩硬體 自己組比較方便了
→ AreLies     : 軟體的部份 資料都很好找
推 oppoR20     : 時間很多的話自己組nas沒什麼問題
→ oppoR20     : 品牌nas買的事軟體跟服務
→ zhtw        : 然後我看了群暉2012的機種
→ oppoR20     : 自己組要自己debug 軟體要自己找
→ AreLies     : 拿個775四核來組 也夠用
→ zhtw        : 12+系列也不支援 7.0啊
→ oppoR20     : 喔喔 我看錯了 抱歉
→ oppoR20     : 但至少不是被放生4年 真的是在哭
→ zhtw        : 群暉12系列NAS 也只支援到6.2
→ Rollnmeow   : 我手上的群輝是410j 已經停更了
→ Cubelia     : DSM6.2.4還有在提供安全性更新
→ Cubelia     : 部分款式7.0.1不能更新到7.1
→ Cubelia     : 上次買的IO Data用的很爽XD
→ Cubelia     : 用過NAS就真的胃口會養大
→ zhtw        : Q牌也有安全性更新就是了
→ zhtw        : 不過 有些人就是不更新啊
→ zhtw        : 群暉上次炸也是炸在沒更新的舊系統
→ zhtw        : BUG早修了 使用者不更新廠商也無法
→ zhtw        : 過大版本支援週期就是汰換的時間了
推 Rollnmeow   : 我有點好奇能不能讓NAS軟體上
→ Rollnmeow   : 跟外網隔絕，只能在區網內存取資料
→ Rollnmeow   : 或是透過分享器設定的方式
→ fujisawa    : 看部分QTS4.X的機型都還列在安全性
→ fujisawa    : 更新列表內阿
→ Rollnmeow   : 之前在儲存版問是說不要開SSH給外網
→ twinmick    : NAS只開區網功能不就可以只在內網用
→ Rollnmeow   : 我查看看DSM5.2能不能這樣設定
→ plug        : DSM過保更新失敗燒主版過，不敢更新
→ plug        : 內網順用就好，資料不見停工死更慘
推 ccbbaa      : 群輝怎都沒事@@
→ fonzae      : 這是要看你對於服務的需求
→ fonzae      : 若只針對內網，防火牆設定外對內
→ fonzae      : 全禁就好，這很基本的方式
→ fonzae      : 就算你NAS開SSH，也無法從外部連
→ fonzae      : 進階點就是設pub金鑰才能登入
推 wbenjin     : 對外開VPN就好了 要幹嘛一律進VPN
→ fonzae      : VPN吞吐量會變差，要考慮IKEv2
→ fonzae      : 若是透過NAS的VPN會更糟
→ fonzae      : 最近跑了sstp、ovpn、ikev2
→ fonzae      : 這三個檢測在ROS，前兩者僅能3MB/s
→ fonzae      : 後者可到達10MB/s
→ fonzae      : 上傳為100Mbps
→ fonzae      : 不過對外開都會有風險，走VPN建議
→ fonzae      : 走多因驗證，如憑證+帳密
→ fonzae      : 若有radius更棒，結合token
→ fonzae      : 結合AD或Ldap來記錄
→ fonzae      : 不過大多NAS用戶應該很少SSH進去玩
→ fonzae      : 像是放pub公鑰跟修改ssh登入方式
推 ccbbaa      : 有實體ip 要能外網 要怎樣才安全呢@
推 oppoR20     : NAS禁止外網 外網要存取NAS都透過V
→ oppoR20     : PN 基本上普通家用的這樣就很安全
→ oppoR20     : 了
→ oppoR20     : 服務沒事不要亂開 ssh美術館屌 真
→ oppoR20     : 的要用至少把預設22改掉
→ oppoR20     : 沒事關掉
→ fonzae      : 大部分人會用SSH去連NAS嗎?
→ fonzae      : 要思考的是這個，沒有就可以關閉
→ fonzae      : 外網連入很多方法，多因驗證是一種
→ fonzae      : 限定來源IP也是一種
→ ccbbaa      : 可是我都在外面連進去開影片的說orz
→ fonzae      : S牌NAS也有提供Google身分驗證
推 kaltu       : 要在外面連就用VPN啊，一堆人都講了
推 oppoR20     : 那你路由器就開特定port通過就好
→ oppoR20     : 其他的都不要開
→ oppoR20     : 最簡單就這樣 膽寒事不能保證安全
→ fonzae      : 做好防範，定期修補沒那麼容易中獎
→ oppoR20     : 不能保證最安全
→ fonzae      : 拿之前沸沸揚揚的log4j，也是修了
→ fonzae      : 三次，重點還是在基礎防護札實
→ fonzae      : 平常做好權限管控跟日誌查看
→ fonzae      : 這也是資安一種
→ oppoR20     : 兩家防火牆我講的都可以擋地理位置
→ oppoR20     : 把只允許台灣ip放首位
→ kaltu       : 隨便買個二手可以刷開源韌體看你要W
→ kaltu       : RT還是番茄的路由器，整台機子什麼
→ kaltu       : 功能都不開就只架設strongSwan，用
→ kaltu       : 憑證連線只有你要外連的手機筆電用o
→ kaltu       : ffline的方式copy憑證過去，連上VPN
→ kaltu       : 之後你要對根本沒接外網的NAS做什麼
→ kaltu       : 事都跟區網一樣了
→ kuninaka    : 我家NAS都放內網
推 ccbbaa      : 多謝提供資訊>W< 我來搞搞看~~
推 aegis43210  : S牌有按時更新，連外網風險也不高，
→ aegis43210  : 只連台灣IP就好
推 Baternest   : admin帳號換掉 port也要改 然後ban
→ Baternest   : 掉非台灣ip
推 Andosinjo   : 請問群暉怎麼設定限制台灣ip 連線
推 windjammer  : Web對外服務套個cloudflare 可以擋
→ windjammer  : 掉很多事情 免費好用
→ cp296633    : 控制台-安全性-防火牆-編輯規則
→ cp296633    : https://i.imgur.com/Tx9L9J8.jpg
→ cp296633    : nas防火牆白名單制+路由器端口轉發
→ cp296633    : 再用非固定ip+ddns
→ cp296633    : 設完再去google scan port online
→ cp296633    : 看看有該port對國外ip有沒有open
推 robinsonXD  : 這波我中了  找不到原因= =
→ cp296633    : 半年固定冷備份就不怕片片被加密惹
→ tomsawyer   : 你以為台灣ip不會被當作跳板攻擊嗎
推 rail02000   : 台灣IP當然也有風險，但能少一個風
→ rail02000   : 險是一個。我的NAS也是限定台灣IP
推 visa829     : 大部分間接手段本來就是降低中獎率
→ visa829     : 總不會有人說開放全球ip比只開放台
→ visa829     : 灣ip還安全吧...
→ cs8425      : 直接wireguard 又快又安全
→ cs8425      : 很閒的可以自己實做一套跳板系統
→ cs8425      : 要針對性攻擊才有辦法打穿
推 xiaotee     : 推情報
推 PianoGuys   : #1YcTvmcO
→ PianoGuys   : 這篇適用於各種家用架NAS的網路規劃
推 sdbb        : 樓上那篇在storage板
推 windjammer  : #1YcTvmcO (Storage_Zone)  完整的