[XF 專題] 從 SynoLocker 到 Qlocker，你學懂保護你的NAS了嗎？

網絡上的攻擊活動一年比一年活躍，而當中的利用勒索軟件攻擊設備的個案愈來愈多，就如日前駭客入侵代工廠竊取 Apple 不少產品設設圖來要求巨額贖金。一但設備被入侵成功，駭客就會對你設備內的數據進行加密，從而威逼受害人繳交贖金，以換取解密金鑰恢復數據。在低付出、高回報的情況下，勒索軟件也成為一個新興的「產業」，令網絡上充斥著勒索軟件及惡意軟件攻擊。

2014 年針對 Synology NAS 的勒索軟件 (SynoLocker)

NAS 日漸普及，在廠商的努力下變得愈來愈容易使用，不少用家更是沒有 IT 知識背景，加上 NAS 出貨量大，又有很多用家沒有做好安全性設定，讓 NAS 也成為駭客的攻擊目標之一。其實早在 2014 年，就有針對 Synology NAS 的勒索軟件 (SynoLocker) 出現，當時受害者眾多，在網絡上引來不少回嚮。在 SynoLocker 出現後，還有 eCh0raix 、SunCrypt 等針對大廠 NAS （如 Synology、QNAP 等）的勒索軟件。近月，又傳出針對 QNAP NAS 的勒索軟件攻擊，分別是 eCh0raix 及 Qlocker 。而兩者中災情最嚴中的，可說是在 2021年4月21日開始發起攻擊的 Qlocker 勒索軟件。

2021 年針對 QNAP NAS 的勒索軟件 (Qlocker)

為何 NAS 會被入侵？「軟體漏洞」與「暴力破解」

大家有沒有想過，駭客是如何入侵 NAS 呢？其實最主流的入侵方式有兩種，分別是利用「軟體漏洞」及以「暴力破解」密碼。

世界上沒有完美的東西，軟體也是一樣，大如「Apple」、「Google」、「Microsoft」等科技巨頭，也不時被人發現「軟體漏洞」。如果大家有留意自己的手機及電腦，其實會發現經常有所謂「安全性更新」，而 NAS 其實都一樣，因不少用家會把 NAS 曝露到網絡上，因此「安全性更新」顯得格外重要。「安全性更新」通常是修正因設計失誤、不良的編程而產生的安全隱患。當中嚴重性最高的，可說是「命令注入弱點」（Command Injection)，「命令注入弱點」可以讓遠端的攻擊者在無需登入的狀態下，執行任意指令，包括上傳病毒、勒索軟件、惡意軟件，再加以執行，甚至是接管整台 NAS！而前面所說的 「SynoLocker」及「Qlocker」都是利用「命令注入弱點」進行攻擊，這類攻擊通常不會留下任何痕跡，並可在短時間攻破 NAS，讓用家無法提前得知再加以防範。

對資訊安全較為重視的廠商，通常都會在官網上設有安全性諮詢頁面，如 Synology 及 QNAP，都會把已發現的安全隱患公怖，提醒用家更新。

而前面提到的「eCh0raix」，則是透過「暴力破解」密碼進行攻擊，而攻擊的手法也愈來愈高明！早年的同類病毒，通常是使用數個 IP Address 在短時間進行攻擊，但這類攻擊很容易被 NAS 封鎖，使入侵的效率十分低下。而最近針對 QNAP NAS 的「eCh0raix」，已改用「殭屍網絡」(Botnet) 進行攻擊，攻擊者掌握了大量及來自世界各地被入侵的機器，當中可以包含 NAS、Router、IP CAM、物聯網裝置及伺服器等會連網的機器，再配合不同的攻擊間隔，使 NAS 的封鎖機制失效。也因 IP Address 是來自世界各地，因此基於 Geo-IP ，則以 IP Address 位置限制存取的防火牆也未能有效阻擋，隨著時間過去，使用「弱密碼」的 NAS 就會被攻破，並使用相關密碼登入及安裝勒索軟件或惡意軟件。

在 NAS 的存取記錄內，可以發現攻擊者用不同的 IP Address 嘗試登入 admin 帳戶

Synology NAS 攻擊 QNAP NAS !?

據網上消息，有人懷疑這波針對 QNAP 攻擊的「eCh0raix」是利用已被入侵的 Synology NAS 進行攻擊，為考證真偽，大王把上圖的 IP Address 整理出來，再嘗試以 Synology 的預設連接埠進行連線，結果讓人驚訝！

從以上測試，在 QNAP QuLog Center 第一頁得出的 IP Address，當中只有「103.251.200.114」及「115.78.129.123」無法連到 Synology NAS，而其他大部分的 IP Address，都可以到達 Synology NAS 的登入畫面，以這個比例來看，單純是巧合的機會甚微。以下是大王撈到的其中一部分 IP Address，有需要的用家可以自行封鎖。（如你是 IP Address 的主人，請聯絡 Synology 以檢查你的 NAS）

如何防止 NAS 被攻擊？

世界上並沒有一個系統是堅不可摧的，為避免重要資料損毀、外洩，而造成巨額金錢損失，因此我們需要正視資訊安全，做好應做的措施，減低駭客入侵的機會，防患於未然。不論你是使用哪個品牌的 NAS，只要是有連上網絡，就有可能被駭客攻擊，甚至被攻破。為保護自己的數據，妥善的設定是必要的！其實大王在上年已經寫過相關教學，如果你擁有一台 NAS 的話，請記得調整相關設定，以及把系統及套件維持在最新版本，以取得「安全性更新」，確保已知的軟體漏洞已被修補。當然，要保護你重要的數據，最重要的還是備份，只有備份才能在不幸事件發生後讓你不會有損失，相關教學會在日後提供。

以下是幾個常用防禦方法，以及針對「軟體漏洞」及「暴力破解」的有效程度，供大家參考：

P.S. 即使你已經不是使用預設連接埠，但仍然有很多不知名 IP Address 嘗試登入，即代表你的 NAS 已成為駭客目標，請再次修改連接埠！

NAS 安全設定教學

如果想更安全，可以只對外開放 VPN 服務，要存取 NAS 必先連上 VPN，這樣可以更妥善保護儲存著重要資料的 NAS！有關用 NAS 架設 VPN 教學，可參考：

QNAP NAS 中了 Qlocker / eCh0raix 勒索病毒應如何處理？

若果發現 QNAP NAS 中的檔案被加密成 .7z，即代表中了Qlocker 勒索病毒，請緊記保持開機狀態，不要將設備關機，立即安裝並使用最新版 Malware Remover 進行惡意軟體掃描，然後立即聯繫 QNAP 技術支援服務取得協助。Qlocker 勒索病毒對你的檔案進行加密時，會有一串加密金鑰，當你的設備還未關機及整個加密任務還未完成時，這串金鑰是有方法提取，因此支援人員還有機會可以找出來，並停止加密任務繼續進行，並提供金鑰供你解密。

QNAP 回應 Qlocker 勒索病毒攻擊事件：傳送門

在加密事件發生不久，已有 QNAP 的工程師於 FB 社群發放代碼協助用戶作第一時間急救

若果發現 QNAP NAS 中的檔案被加密成 .encrypt，即代表中了 eCh0raix 勒索病毒，這個病毒是沒有方法提取出金鑰。因此如果很不幸地感染了 Qlocker 又無法取出金鑰，又或是感染了 eCh0raix，而你又有備份的話，大王建議把整台 NAS 重新初始化，在更新系統及所有套件後，利用備份檔還原數據。不如果是更不幸地沒有備份，就只能考慮以下的選項：

1. 保存已被加密的檔案，等待駭客或資安機構免費釋出解密工具
2. 檢查是否所有檔案都被加密，備份出未被加密的檔案
3. 考慮放棄所有被加密的檔案
4. 使用暴力破解軟件破解 .7z 密碼，但密碼長達 32 位，破解需時（限 Qlocker）
5. 支付 0.01 BTC 給駭客，以取得金鑰自行解密（不一定可成功取得金鑰）

相關文章