QNAP warnt vor Ransomware, die Daten verschlüsselt

QNAP hat seine Kunden angesichts eines Anstiegs von Ransomware-Infektionen dringend aufgefordert, die neueste Firmware und Tools zur Malware-Entfernung auf ihren NAS-Boxen zu installieren und auszuführen. Dem Unternehmen sind zahlreiche Kunden bekannt, die ein anfälliges NAS über das Internet erreichbar haben. Angreifer nutzten Sicherheitslücken aus und verschlüsselten Inhalte von Benutzern. So nahmen sie Dateien quasi in Geiselhaft und fordern von den Besitzern Kryptowährung als Lösegeld. Ein mittlerweile übliches Vorgehen bei Ransomware-Kampagnen. Was passiert da im Hintergrund, wenn ein NAS mit QLocker befallen wurde?

In jedem Ordner des NAS wird eine Textdatei hinterlegt mit dem Namen „!!!READ_ME.txt“ welche die Anleitung zum Download des TOR Browsers enthält und wie man bezahlen muss, um das Passwort für seine Dateien zu bekommen. Die Höhe der Summe ist offenbar weltweit gleich und unabhängig von der Datenmenge, es geht immer um 0,01 BTC (Bitcoin). Auf dem NAS läuft ein Prozess von 7Zip im Hintergrund der die Dateien verschlüsselt. Solange der Prozess noch aktiv läuft, gibt es wohl auch noch eine Chance an das Passwort zu kommen, ist der Prozess abgeschlossen, ist die Möglichkeit vermutlich vertan, so unser Leser Daniel in einer Mail an uns. Die ganze Verschlüsselung nennt sich „Qlocker“ und man findet schon in diversen Foren, unter anderem bei QNAP selbst, Meldungen von betroffenen Nutzern.

Sollte der 7Zip-Prozess auf einem NAS noch aktiv sein, so kann man mit dem folgenden Befehl als „admin“ per SSH (z.B. Putty unter Windows oder direkt das Terminal unter MacOS) das Passwort in Klartext in eine Textdatei schreiben:

cd /usr/local/sbin; printf ‚#!/bin/sh \necho $@\necho $@>>/mnt/HDA_ROOT/7z.log\nsleep 60000‘ > 7z.sh; chmod +x 7z.sh; mv 7z 7z.bak; mv 7z.sh 7z;

Die Datei befindet sich dann unter:
/mnt/HDA_ROOT/7z.log

Die Datei „7z.log“ enthält dann das Passwort in Klarschrift.

QNAP hat auch eine aktualisierte Version des Malware Removers für Betriebssysteme wie QTS und QuTS hero veröffentlicht, um dem Ransomware-Angriff zu begegnen. Wenn Benutzerdaten verschlüsselt sind oder verschlüsselt werden, darf das NAS nicht heruntergefahren werden. Benutzer sollten sofort einen Malware-Scan mit der neuesten Version von Malware Remover durchführen und dann den technischen Support von QNAP kontaktieren.

Für nicht betroffene Benutzer wird empfohlen, sofort die neueste Version des Malware Removers zu installieren und vorsorglich einen Malware-Scan durchzuführen. Alle Benutzer sollten ihre Passwörter auf stärkere Passwörter aktualisieren und die Apps Multimedia Console, Media Streaming Add-on und Hybrid Backup Sync müssen auf die neueste verfügbare Version aktualisiert werden. Zusätzlich wird den Benutzern empfohlen, den Standard-Netzwerkport 8080 für den Zugriff auf die NAS-Bedienoberfläche zu ändern. Siehe auch die dazugehörigen Sicherheitsberichte.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.