Qnap Ransomware

[Moreno]

Hola Moreno

Me alegra oír que tenga hecho pocos daños y que has recuperado desde una copia de seguridad.

Ahora estaría bien saber cómo te ha entrado.
-Unos dice que por qsync, pero no le veo sentido si sólo está accesible en red local.
-otros que por multimedia. De nuevo me pregunto ¿lo dejan accesible desce internet?
-otros por myqnapcloud link.

Yo creo que es más fácil que hayan entrado vía myqnapcloud. Muchos tenían abierta esa puerta de acceso vía qnap y luego se han aprovechado de las vulnerabilidades de las aplicaciones HBS3, Qsync,...

Pero sin datos fiables y objetivos no puedo asegurarlo.

Lo mejor a día de hoy es cerrar accesos desde el exterior, actualizar aplicaciones y dejar únicamente los accesos vía VPN.

 Hola Ganekogorta

He estado analizando la situación y el día que recibí el ataque que fue el día 21 sobre las 6 de la mañana, solo aparece un acceso del perfil admin (que tenia desactivado) por la dirección 127.0.0.0 y lo que ejecuta es el proceso para borrar las instantáneas. El resto de acceso es de los perfiles estandar qus suelo usar. 

Además no hay intentos de acceso por fuerza bruta, ya que el cortafuegos externo lo hubiese detectado.

Mi NAS solo tenia acceso local por htttps y los puertos por defectos cambiados a unos muy altos. EL NAS estaba actualizado a su ultimo firmware, lo único que no estaba actualizado era Qsync y la de multimedia. (Pero estas dos aplicaciones al no usarlas no las tenia abiertas ni funcionando)

Solo tenia abierto al exterior myqnapcloud (porque lo usaba bastante), yo me decanto que hayan entrado por ahí, ya que de otra manera hubiesen dejado rastro.

El router solo estaba abierto al acceso por VPN por L2TP, además lo tengo configurado para que los puertos estén disponibles en ciertos horarios. Y en los logs del router no figura ningún ataque o acceso extraño. De hecho a la hora que se llevo el ataque los puertos estaban cerrados. Con lo que también descarto el acceso por vpn.

De momento es lo que he podido investigar. Si detecto algo más lo comparto por aquí.

Un saludo