弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击

作者:深圳市网安计算机安全检测技术有限公司 | 国际 2019/07/23 10:36:54 393
文章来源:https://www.toutiao.com/a6716449272297964035/

        近日,360安全大脑接到多位用户反馈,其NAS服务器上文件被加密、文档无法正常打开。被攻击的服务器包括群晖(Synology)和威联通(QNAP),皆为国内主流NAS品牌。经过360安全大脑分析确认,问题为勒索病毒加密造成,该勒索病毒修改文件后缀为encrypt,并向受害者用户索要0.06个比特币(折合人民币4300元)作为解密文件的赎金。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击

                                                    被加密文件截图


        病毒会在每个目录下生成名为README_FOR_DECRYPT.txt的勒索信息,内容如下:

Allyour data has been locked(crypted).

How tounclock(decrypt) instruction located in this TOR website:


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击

                                        病毒留下的勒索信息内容


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击

                勒索病毒要求支付0.06个比特币作为赎金


        通过对中招服务器日志分析发现,中招NAS服务器上存在大量的桌面口令爆破记录和SSH口令爆破记录,并且在文件被加密前有通过桌面登录成功的记录。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击


        360安全大脑进一步分析发现,该勒索病毒传播者是通过在本地创建计划任务,再通过计划任务去下载执行勒索病毒,实现加密用户本地文件。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击


        目前主流NAS服务器的底层为linux服务器,能够支持常规linux程序的执行,也包括linux的各类病毒木马。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击


        攻击者通常通过创建任务脚本或直接ssh登录到被攻击服务器,来安装执行病毒。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击


        本次投递的勒索病毒与之前国外安全厂商anomali报告的eCh0raix病毒一致,通过AES算法对文件进行的加密。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击


        在此360安全大脑提醒众多使用网络存储服务器的用户,要做好以下防御措施,保护电脑隐私及财产安全:

        1、切忌使用弱口令,建议开启密码强度限制规则,同时在安全选项中打开防火墙,可有效抵御这类口令爆破攻击;

        2、目前这类服务器的漏洞修复都是通过更新来完成的,用户应及时更新系统和软件, 修复存在的漏洞,避免因系统和软件漏洞造成服务器被攻击;

        3、如果服务器不需要对外网提供服务的话,建议将服务器设置于内网之中,对于日常不使用的服务如ssh,telnet可以在设置中选择关闭,减小被攻击面。


弱口令,强风险——国内主流NAS服务器遭勒索病毒攻击

推荐关注

指导单位
广东省公安厅网络警察总队 广东省信息安全等级保护协调小组办公室