Esta mañana la comunidad nasera se ha levantado algo revuelta, concretamente todos aquellos poseedores de un NAS Synology, puesto que han aparecido varias víctimas en el foro oficial de Synology que han sufrido el secuestro de datos de su equipo.
Aparentemente el problema se centra que desde un software llamado SynoLocker que está haciendo barridos dentro de los rangos de internet en búsqueda de equipos Synology con diferentes puertos abierto, primero se estimaba que los puertos implicados para esta vulnerabilidad eran los de serie para la gestión del aparato, 5000 y 5001 pero tras el análisis de varios casos podrían haber más puertos afectados, inclusos algunos para la conexión vía VPN, incluso medidas de seguridad de ataques DoS o tener la lista negra activada para intentos de validación de usuario fallidos (5 intentos) no han permitido evitar el ataque.
Una vez el equipo es localizado y el acceso se ve comprometido por SynoLocker comienza un cifrado de los discos que estén conectados en ese momento a nuestra unidad Synology, un cifrado basado en una clave AES de 256 bits, encriptación por cierto lenta y que favorece que en caso que detectemos que nuestro equipo se ha visto comprometido podamos sacar una copia de los datos antes de que esa encriptación termine el cifrado de toda la información, aunque aquí ya entra el factor de "muy buena suerte" si nos vemos afectados y localizamos el problema a tiempo. En caso contrario si deseamos recuperar el control de nuestros discos deberemos pagar 0,6 bitocoins, unos aproximados 350$.
¿Pero es fácil que encuentren nuestro equipo Synology en Internet? La respuesta es sencilla: Sí, almenos hasta no hace mucho donde Synology se vio afectada por otra pequeña vulnerabilidad que permitía su fácil detección, de hecho en algunas pruebas que hice hace unos meses conseguí listados de hasta 200.000 registros de ip's y dominios varios que me enlazaban a un equipo Synology.
Qué hacer hasta que se publique un update que solucione esta vulnerabilidad: Desactiva toda gestión desde fuera de tu LAN inclusive si la gestión es vía VPN, aunque parece que no hay una incidencia exageradamente elevada de equipos afectados por SynoLocker no arriesgues innecesariamente.
A continuación puede leer los pasos que se exigen para acceder a los datos de nuevo si tu equipo es secuestrado:
Follow these simple steps if files recovery is needed:
Download and install Tor Browser.
Open Tor Browser and visit http://cypherxffttr7hho.onion. This link works only with the Tor Browser.
Login with your identification code to get further instructions on how to get a decryption key.
Your identification code is - (also visible here).
Follow the instructions on the decryption page once a valid decryption key has been acquired.
Technical details about the encryption process:
A unique RSA-2048 keypair is generated on a remote server and linked to this system.
The RSA-2048 public key is sent to this system while the private key stays in the remote server database.
A random 256-bit key is generated on this system when a new file needs to be encrypted.
This 256-bit key is then used to encrypt the file with AES-256 CBC symmetric cipher.
The 256-bit key is then encrypted with the RSA-2048 public key.
The resulting encrypted 256-bit key is then stored in the encrypted file and purged from system memory.
The original unencrypted file is then overwrited with random bits before being deleted from the hard drive.
The encrypted file is renamed to the original filename.
To decrypt the file, the software needs the RSA-2048 private key attributed to this system from the remote server.
Once a valid decryption key is provided, the software search each files for a specific string stored in all encrypted files.
When the string is found, the software extracts and decrypts the unique 256-bit AES key needed to restore that file.
Note: Without the decryption key, all encrypted files will be lost forever.
Copyright © 2014 SynoLocker™ All Rights Reserved.
Gracias
@Rubik2k por hacer llegar el aviso y difundir el caso.
.png "English"){kind=small}
