UnityMiner: QNAP-Geräte ohne Update werden derzeit gezielt angegriffen
von caschy | 9 Kommentare
Jüngst wurde bekannt, dass Amazon auch den Nutzern von QNAP den Zugang zum Amazon Drive kapppt. Da müssen Besitzer eines NAS von QNAP also schon einmal nach Alternativen suchen. Und falls sie da bereits auf dem NAS eingeloggt sind, sollten sie auch einmal direkt Sicherheitsupdates einspielen, falls schon länger nicht geschehen. Es wurden zwei Sicherheitslücken gemeldet, die frühere Versionen von QTS betreffen:
CVE-2020-2506: Wenn sie ausgenutzt wird, könnte diese unsachgemäße Schwachstelle es Angreifern ermöglichen, die Kontrolle über ein QNAP-Gerät zu erlangen.
CVE-2020-2507: Wenn sie ausgenutzt wird, könnte diese Sicherheitsanfälligkeit durch Befehlsinjektion entfernten Angreifern die Ausführung beliebiger Befehle ermöglichen.
- jede Person kann bis zu 5 Geräte gleichzeitig nutzen
QNAP weist seit kurzem auf diese Sicherheitslücke hin, obwohl Fixes bereits seit dem Oktober 2020 bereitstehen. Grund dafür ist sicherlich, dass viele Besitzer ihr NAS noch nicht abgesichert haben und die Lücke derzeit aktiv ausgenutzt wird.
Bei einem erfolgreichen Angriff erlangt der Angreifer Root-Rechte auf dem Gerät und führt bösartige Mining-Aktivitäten durch – man vermute seitens der Sicherheitsforscher auch, dass immer noch Hunderttausende von QNAP-NAS-Geräten mit der Schwachstelle online sind.
Man habe das Mining-Programm UnityMiner genannt und festgestellt, dass der Angreifer das Programm angepasst hat, indem er den Mining-Prozess und die tatsächlichen Informationen zur CPU-Speicherressourcennutzung versteckt hat, sodass QNAP-Benutzer, wenn sie die Systemnutzung über die Verwaltungsschnittstelle überprüfen, das abnormale Systemverhalten nicht erkennen können. Man habe ferner festgestellt, dass alle QNAP-NAS-Firmwares vor August 2020 von der Sicherheitslücke betroffen sind. Schaut also nach, dass ihr da gerüstet seid.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Ein weiterer Grund nur über ein VPN auf Sachen zuhause zuzugreifen und nicht alles direkt aus dem Internet erreichbar zu machen.
Wenn das erforderlich wäre, sollten wir besser das Internet abschalten 😉
Problem ist eher, dass hier und da gedacht wird, ich stelle mir mal ein NAS in den Flur und Oma kann Fotos gucken 😉
Wer ein VPN einrichten kann, hat zu 100% den alten Patch schon drübergebügelt und nutzt auch keine Helpdesk App.
Das Problem sind die Leute die bis jetzt noch nicht begriffen haben, dass man so ein System aktiv sicher halten muss. Daran sind allerdings auch die Hersteller schuld, die einem versprechen, dass man für den Betrieb von IT Komponenten keine große Qualifizierung braucht und sowieso alles ganz spielend einfach ist.
Wer sich ein Consumer QNAP/Synology ins Haus stellt, darf durchaus erwarten dass der Hersteller auch den Support übernimmt. Automatische Updates per Default sind da da Minimum. Immerhin bezahlt man einen ordentlichen Mehrpreis gegenüber Eigenbaulösungen.
Du meinst also, der Hersteller muss Deine Versäumnisse ausbügeln?
Du bist ja n Spaßvogel. Der Hersteller hat einen Patch veröffentlicht und damit alles getan, was getan werden muss.
Von Oktober bis jetzt ist ne lange Zeit, da sollte es möglich sein, seine Kiste zu updaten.
Über QNAP liest man irgendwie nur schlechtes.
Kommt sicher auch auf die Formulierung des Blogbeitrags an. Ich finde es besser wenn ein Hersteller zeitnah Patches veröffentlicht und mich über die Schwachstelle informiert, als keine Info zu bekommen und alle paar Monate ein Update mit „Sicherheitsverbesserungen“ im Changelog zu sehen.
Es ist halt, wie es immer ist: Wenn man technische Systeme betreibt, sollte man sehen, dass diese auch stets aktuell gehalten werden. Besonders wenn sie von außen erreichbar sein sollen / müssen. Katastrophal ist die Kombination „Kein Interesse an Updates“ & „Muss von überall erreichbar sein“…
Sorry wenn ich es zum 5. mal zum Thema poste, aber ich war mal bei QNAP. Habe mal just for fun einen damaligen miner angeschaut und konnte anhand des public key (für Bitcoin) sehen wieviel Ertrag das Mining über sicher über 100.000 infizierte Geräte gebracht hat: damals (ca Mitte 2017) ca 3000€ im Monat. Nicht viel aber immerhin. Und wenn der die BTC behalten hat, ist er heute um ein Vielfaches reicher. Ich glaub ja immer noch, dass jemand aus der Entwicklung das damals mit eingeschleust hat….