Am 19. September haben wir über acht Lücken in Synology-NAS geschrieben. Zwei davon liessen sich ohne Anmeldung ausnutzen, beide mit 9,8 von 10 bewertet. Wir haben damals geschrieben, dass Erpresser als Erstes die Sicherung suchen, und dass in vielen Kleinbetrieben genau dieses NAS die Sicherung ist.
Sechs Wochen später ist das passiert.
Was Synology meldet
Am 29. Oktober hat Synology gewarnt: Angreifer verschlüsseln Daten auf NAS-Geräten, deren Betriebssystem DSM nicht aktuell ist, und verlangen Lösegeld. Aufgefallen ist das bei der Untersuchung der PHP-Lücken, über die wir im Oktober berichtet haben.
Welche Lücke der Einstieg ist, wird unterschiedlich angegeben. Synology verweist auf eine Lücke, die schon Ende 2024 geschlossen wurde. Der chinesische Sicherheitsanbieter 360, der nach eigenen Angaben seit Anfang Oktober Hilferufe von Betroffenen erhält, nennt dagegen die beiden Lücken vom September. Für die Frage, was zu tun ist, spielt das keine Rolle: Geschützt ist nur, wer auf dem neuesten Stand ist.
Die Schadsoftware heisst laut 360 C3RB3R und ist eine Variante einer Erpresserfamilie, die es seit Jahren auf NAS-Geräte abgesehen hat. Verschlüsselte Dateien tragen die Endung .L0CK3D, in jedem Ordner liegt eine Lösegeldforderung namens read-me3.txt.
Wer keine Korrektur mehr bekommt
Eine Einschränkung steht nur im Kleingedruckten. Die Korrekturen vom September gibt es für DSM 7.2.1 und neuer. Für ältere Zweige nennt Synology keine. DSM 6.2 bekommt seit Oktober 2024 grundsätzlich keine Sicherheitsupdates mehr.
Wer ein älteres Gerät betreibt, das keine aktuelle DSM-Version mehr installieren kann, hat also kein Update, auf das er warten könnte. Für so ein Gerät gibt es zwei Möglichkeiten: Es kommt vom Internet weg, oder es wird ersetzt.
Snapshots sind keine Sicherung
Viele verlassen sich auf die Schnappschüsse, die DSM von den freigegebenen Ordnern anlegt. Sie sind praktisch, um eine versehentlich gelöschte Datei zurückzuholen. Gegen einen Angreifer, der das Gerät selbst übernommen hat, helfen sie nur, wenn sie sich nicht löschen lassen. DSM bietet dafür unveränderliche Schnappschüsse an, die für eine festgelegte Zeit niemand entfernen kann, auch kein Administrator.
Besser ist eine Kopie, die gar nicht auf dem NAS liegt: auf einem zweiten Gerät an einem anderen Ort oder bei einem Anbieter, auf die das NAS nicht schreibend zugreifen kann.
Was jetzt zu tun ist
Version nachsehen. In der Systemsteuerung unter «Aktualisierung und Wiederherstellung». Geschützt sind 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 und 7.2.1-69057-12 oder neuer, je nach Zweig.
Automatische Updates einschalten. Das empfiehlt Synology selbst. Ein NAS ist das Gerät, das am seltensten jemand ansieht.
Vom Internet nehmen. Portweiterleitungen im Router entfernen und QuickConnect abschalten, wenn es nicht gebraucht wird. Fernzugriff gehört hinter ein VPN.
Nicht benötigte Pakete entfernen. Jedes installierte Paket ist eine weitere Stelle, an der etwas offen sein kann.
Die Sicherung prüfen. Gibt es eine Kopie, die ein Angreifer mit vollem Zugriff auf das NAS nicht löschen könnte? Wenn nicht, ist das der wichtigere Befund als die Versionsnummer.
Wer Dateien mit der Endung .L0CK3D findet, nimmt das Gerät sofort vom Netz und schaltet es nicht ab. So bleiben Spuren erhalten, und es wird nicht noch mehr verschlüsselt.