Qnap Ransomware

[monchang]

Estoy en la la situación que aunque no he reiniciado que yo sepa, no veo en el log de public la clave, he puesto un ticket en qnap y no se como se podrá solucionar, intento hacer correctamente lo que pone por ssh pero el 7z.log que genera no lleva ninguna clave. Esto es nuevo para mi y me ha superado..... ayuda..

/usr/local/sbin/7z.orig "t" "/share/CACHEDEV1_DATA/Public/RAMON/DOCUMENTACION/DNI/DNI.jpeg.7z"
/proc/26143:/bin/sh
Uid: 0 0 0 0
/proc/26142:/bin/sh
Uid: 0 0 0 0
/proc/26138:/home/httpd/cgi-bin/filemanager/utilRequest.cgi
Uid: 0 0 0 0
/proc/26137:/home/httpd/cgi-bin/filemanager/utilRequest.cgi
Uid: 0 0 0 0
/proc/17420:/mnt/ext/opt/apache/bin/apache
Uid: 0 0 0 0
/proc/13746:/mnt/ext/opt/apache/bin/apache
Uid: 0 0 0 0
/usr/local/sbin/7z.orig "x" "/share/CACHEDEV1_DATA/Public/RAMON/DOCUMENTACION/DNI/DNI.jpeg.7z" "-o/share/CACHEDEV1_DATA/Public/RAMON/DOCUMENTACION/DNI/.wfm_213295600" "-p" "-PF/tmp/wfm/wfm2_extract_status26138_percent" "-aoa"
/proc/26216:/bin/sh
Uid: 0 0 0 0
/proc/26215:/bin/sh
Uid: 0 0 0 0
/proc/26141:/home/httpd/cgi-bin/filemanager/utilRequest.cgi
Uid: 0 0 0 0
/usr/local/sbin/7z.orig "x" "-so" "./data.tar.7z"
/proc/27377:/bin/sh
Uid: 0 0 0 0
/proc/26841:/bin/sh
Uid: 0 0 0 0
/proc/26840:/bin/sh
Uid: 0 0 0 0
/proc/26734:/bin/sh
Uid: 0 0 0 0
/proc/26733:/bin/sh
Uid: 0 0 0 0
/proc/25631:/usr/local/sbin/qpkgd
Uid: 0 0 0 0
/proc/7368:/usr/local/sbin/qpkgd
Uid: 0 0 0 0
/usr/local/sbin/7z.orig "x" "-so" "./data.tar.7z"
/proc/27874:/bin/sh
Uid: 0 0 0 0
/proc/26841:/bin/sh
Uid: 0 0 0 0
/proc/26840:/bin/sh
Uid: 0 0 0 0
/proc/26734:/bin/sh
Uid: 0 0 0 0
/proc/26733:/bin/sh
Uid: 0 0 0 0
/proc/25631:/usr/local/sbin/qpkgd
Uid: 0 0 0 0
/proc/7368:/usr/local/sbin/qpkgd
Uid: 0 0 0 0

Hola monchang

He elaborado una pequeña guía o tutorial con bastante información sobre el ataque, toda ella recabada de foros de seguridad y foro de qnap. Con ella pretendo simplemente ayudar, se explica que puede ser que el fichero 7z.log este vacio, también he de decirte que si le has pasado el Malware de Qnap este traslada el 7z.log de ubicación. Hay una manera de recuperar la info que esta explicada en el artículo, espero que te sea de ayuda. 

https://blogdeanillas.wordpress.com/2021/04/26/qlocker-qnap-nas-ransomware-encrypting-with-extension-7z-read_me-txt/

Cualquier cosa no dudes en preguntar.

Muchas gracias por tu respuesta, la verdad es que estoy desesperado “a toro pasado” estoy mejorando la seguridad. Revisaré lo que has comentado a ver si hay suerte , gracias nuevamente saludos