爽賺 26 萬美金 !!! Qlocker 幕後駭客鑽漏洞入侵 QNAP NAS,五天成功勒索巨額贖金

- 軒仔 - 2021-04-27 - visibility Views

近期知名 NAS 廠商 QNAP 的 NAS 遭受大規模駭客攻擊,主要透過勒索軟件 eCh0raix (暴力密碼破解) 及 Qlocker (漏洞攻擊) 進行攻擊,被成功入侵的 QNAP 用戶,其 NAS 內的檔案將分別被加密成  .encrypt 或 .7z 尾綴的副檔名。目前只有 Qlocker 勒索軟件於加密未完成時,被 QNAP 支援人員 / Malware Remover 中止加密並找到密鑰的案件才能被救回檔案外,其餘的案件只能交付贖金或等待解密工具推出。

據悉,若被 Qlocker 加密的情況,駭客將要求支付 0.01 BTC 作為贖金。而最新消息指出,幕後的駭客組織在短短五天内,已賺取逾 26 萬美元的不法利益。據知情人士透露,Qlocker 於香港時間 2021年4月21日至 2021年4月22日於世界各地散播,入侵途徑透過已確認為 HBS3 套件的 CVE-2021-28799 漏洞,成功入侵後,駭客將利用遠端執行 7zip 加密 NAS 上的檔案。

近期含安全性修正的套件包括 HBS 3、Multimedia Console 及 Media Streaming Add-On

在加密事件發生不久,已有 QNAP 的工程師於 FB 社群發放代碼協助用戶作第一時間急救

Qlocker 事件時間線

  • 16 號 QNAP 公佈含安全性修正的更新檔
  • 16 – 21 號駭客已找到修正檔所提及的漏洞及開發入侵工具
  • 21 – 22 號發動大規模 Qlocker 入侵、攻擊
  • 21 號上午開始傳出 NAS 檔案被加密的災情,直到今日
  • 22 號 QNAP 於 Malware Remover 加入新規則,移除 Qlocker 及在可行情況下停止加密及取得加密 Key (如 Qlocker 還在加密中);同日發出公告提醒用戶盡快更新

基於這次事件發生,僅於廠商釋出安惟性修正後短短數日已發生,廠商不足時間通知用家更新,用家不夠時間發現及安裝更新檔,以致這次入侵事件的受影響範圍之廣。

駭客於這次攻擊所選對象的方式亦很簡單,主要針對追求便捷地遠端存取檔案而將 NAS 公開在互聯網的用戶,而這類多數為家庭或中小企用戶。駭客瞄準了這類用戶一般對資安保護、備份的知識與意識薄弱,故其只要在整個 Internet 掃瞄並找出開放連線同時能遠端登錄的 QNAP NAS 設備,即能鎖定這些目標並策動攻擊。

在攻擊發生前幾日 (4 月 16 日),QNAP 其實已推出相關漏洞的安全性更新,供用戶服用。但事出突然,對於沒有排程更新或自動更新的用戶,便很大機會因未能及時更新成為這次事件的受害人。至於駭客亦看準了這次 QNAP 公佈的安全性修正,並可能透過新舊代碼的對比等方式找出漏洞源頭,而 NAS 應用的 package 較 OS 等大型系統細小得多,故駭客能於短短幾天找出相關已修正的漏洞及開發出勒索軟件 Qlocker。

QNAP 已於本月 16 日釋出並公佈漏洞修復更新及詳情

對此,小編認為廠商在日後這些漏洞修復更新釋出時,應用將更新等級標示為「必要更新」,讓用戶明確了解立即更新的重要性。而在修復描述中簡單指出是「安全性修正」便可,避免透露過多漏洞細節,以增加駭客逆向找出漏洞所在的難度及耗時,給予客戶更多時間去更新。而廠商亦可在大部分用戶已經更新後,才修正 Release Note,把問題描述得較為清楚。

至於今次 Qlocker 的駭客所看準的是普通用戶,而非大型企業,故開出相對較低的贖款索求 0.01 BTC (約為港幣 4,000 多元),而非動則數十萬的巨額勒索。使用戶都較易承受,從而交出贖金取得解密金鑰。據資安專家發現,追蹤到這個駭客共透過了 20 個 BTC 錢包收取贖金,目前約有 500 多名受害者用戶支付了,累計獲得 5.26 BTC,高達約 26 萬美元的巨額獲利。

Qlocker 繳付贖款的頁面

黑客用作收款的 20 個 BTC 錢包 (資料來自 bleepingcomputer)

勒索軟件越來越流行,且因有暴利可圖,同類事件在不同企業、不同品牌的裝置上,都會繼續發生。同時是次 Qlocker 所採用的漏洞雖已被修補,但亦可套用在其他地方,只是今次廠商推出更新檔,駭客亦短時間內發現源頭並散播病毒,因此不論你是使用 QNAP 還是 Synology 等 NAS 品牌,因此只要有將設備公開到互聯網上則具很高的風險,建議各位馬上檢查並補強所使用 NAS 裝置安全設定的不足,以避免成為下一次的受害者 。同時駭客是次這種勒索行為,針對普通用戶並利用其珍貴的資料作要脅勒要贖款,行為相當之可恥,因為我們只能加強防護及資安意識來應對。

不論過往的 SynoLocker 抑或這次的 Qlocker 是否躲過了一劫,亦要持續提升對資安的意識及知識,學習並補充自己不足的部份,去防範日後所面對的風險。至於在今次的情況,上述兩種勒索軟件 eCh0raix 及 Qlocker 的入侵其實可避免的,用戶可參考以下這篇文章,利用各 NAS 廠商提供的安全設定及工具,去作出預防: