[Problem] Angriff auf Synology NAS - dringend updaten bzw. Ports schließen Stand 04.08.2014

informerex · 12 Feb 2014

update:

neue Sicherheitswarnung siehe unten

da hier doch einige User Synology einsetzen - ein Hinweis auf den df-Blog:

Aktuell gelingt es Hackern, bei Synology NAS Systemen mit INTEL Architektur einen Bitminer-Bot zu installieren.

Auch wenn das nicht direkt mit domainFACTORY zu tun hat, wissen wir, dass viele Kunden das System nutzen und möchten dem Kollegen danken, der den Virus entdeckt und eine Anleitung erstellt hat, wie dieser zu entfernen ist, da ein einfaches DSM-Update in diesem Fall nichts nützt.

Jeder, der eine Synology NAS basierend auf der Intel Plattform hat mit einer DSM Version äter oder gleich DSM 4.2-3211 nutzt. Eine Liste aller Synology Geräte mit verbautem Prozessor findet man hier.

http://www.df.eu/blog/2014/02/12/angriff-auf-synology-nas/

oder hier vom Blogger caschy: http://stadt-bremerhaven.de/synology-netzwerkspeicher-zum-mining-von-kryptowaehrung-gehackt/

IhaveNoNick · 12 Feb 2014

...im deutschen Synology-Forum findet man auch noch Lesestoff....

informerex · 10 Apr 2014

so und erneuter dringendes Update - ua. OpenSSL - Version: 5.0-4458 Update 2 (2014/04/10)

http://www.synology.com/en-global/releaseNote/model/DS213j
http://stadt-bremerhaven.de/openssl-sicherheitsluecke-heartbleed-synology-stellt-dsm-updates-bereit/

chilango79 · 10 Apr 2014

Achtung,

bei Caschy melden mehrere Personen, vor allem bei einer DS112j mit Problemen nach dem Update.
Meine DS212j hat das Update überstanden

HabNeFritzbox · 10 Apr 2014

Bei mir ist Update soweit durch ohne Auffälligkeiten, und http://filippo.io/Heartbleed/ sowie https://www.ssllabs.com/ssltest/ sagen auch, ist ok.

informerex · 4 Aug 2014

Heute berichteten wir hier im Blog schon über eine neue Bedrohung namens SynoLocker. Ein Schädling, der es Angreifern ermöglicht, auf euer Synology NAS zuzugreifen und die gesamten Daten zu verschlüsseln. Nutzer haben keinen Zugriff mehr und werden auf eine externe Seite geleitet, über die sie ein Lösegeld bezahlen sollen, um wieder an ihre Daten zu kommen. Synology hat jetzt eine Warnmeldung herausgegeben. In dieser wird darauf hingewiesen, dass derzeit alle Nutzer, die nicht infiziert sind, externe Ports des NAS schließen, zudem auf die aktuellste DSM-Version aktualisieren und unbedingt ein Backup anfertigen sollen. Betroffene Nutzer sollen sich ebenfalls über das Formular melden.

Quelle: http://stadt-bremerhaven.de/synology-synolocker-warnmeldung-ausgegeben/

http://www.heise.de/newsticker/meld...systeme-2282625.html?wt_mc=rss.ho.beitrag.rdf

Feuer-Fritz · 4 Aug 2014

Meinst du das Update DSM 5.0-4493 Update 3 vom 19.07.2014?

informerex · 4 Aug 2014

am besten das Teil aktuell von der Außenwelt abschotten, Hersteller scheint es selbst noch nicht zu wissen, wo das Leck ist.

über 35.000 hits in 24h - http://www.synology-forum.de/showth...M-Daten-auf-NAS-gecrypted-worden-durch-Hacker

HabNeFritzbox · 4 Aug 2014

Ist natürlich nicht ohne...

Und Newsletter bzw. Hinweise gibts leider eher spät, Tage bis Wochen nach dem FW raus ist.

Bis auf weiteres hab ich zumindest DSM, https, und ftps in der FB geblockt von außen

Ich vermute mal einfach so erneut ein Bug im openssl, wird man aber wohl erst später sehen, wenn man Infos bekannt sind.

Feuer-Fritz · 5 Aug 2014

Ich hab meine erst mal ausgeschaltet und warte mal ab, ggfs. schliesse ich die FB-Ports solange, um die DS im Heimnetz nutzen zu können.

informerex · 5 Aug 2014

Betroffen sind demnach alle Versionen bis zu DSM 4.3-3810. Hierbei wird eine bereits im Dezember 2013 gepatchte Sicherheitslücke in alten Versionen ausgenutzt, nach jetzigen Erkenntnissen ist DSM 5.x nicht angreifbar. Folgenden Hinweis gibt Synology allen NAS-Besitzern mit auf den Weg:

Menschen, die DSM 4.3 einsetzen, sollen mindestens auf DSM 4.3-3827 aktualisieren,
wer noch DSM 4.1 oder DSM 4.2 einsetzt, der soll auf DSM 4.2-3243 oder höher aktualisieren.
Da es auch noch Nutzer von DSM 4.0 gibt, sollen diese zumindest auf DSM 4.0-2259 oder höher aktualisieren.

Quelle: http://stadt-bremerhaven.de/synology-synolocker-diese-versionen/

HabNeFritzbox · 5 Aug 2014

Und dieses wurde von Synology so bestätigt bzw. geprüft?

Dann kann man ja mit aktuellen 5er FW ja wieder Dienste erreichbar machen.

informerex · 5 Aug 2014

wenn es dir nicht unter den Nägeln brennt, würde ich warten bis der Hersteller nun konkret Stellung bezieht bzw. heise sich evtl. äußert.
aktuell überschlagen sich die Meldungen und anscheinend sind auch manche fake screenshots dabei (bspw. von der 5er - siehe bspw. Kommentare bei caschy)

HabNeFritzbox · 5 Aug 2014

Basierend auf unseren aktuellen Beobachtungen, nur dieses Problem betrifft Synology NAS-Server mit ein paar älteren Versionen von DSM (DSM 4,3 bis 3810 oder früher), unter Ausnutzung einer Sicherheitslücke, die festen und im Dezember 2013 Derzeit gepatcht wurde, haben wir nicht beobachtet haben, diese Schwachstelle in DSM 5.0.

Quelle: http://forum.synology.com/enu/viewtopic.php?f=108&t=88770#p333891

Also wohl kein Problem mit DSM 5.

Theoretisch könnte man auch noch ein Script laufen lassen was ständig prüft ob der Prozess synosync läuft oder Verzeichnis /etc/synolock existiert und wenn ja eine Email verschickt als Info und dann herunterfährt.

HabNeFritzbox · 6 Aug 2014

Laut den Links soll ganze RSA-2048 und 256bit quasi unmöglich machen ganze zu entschlüsseln, laut Heise gibt es ein Dienst der nun einem mit was Glück passenden Schlüssel per Email zuschickt zum entschlüsseln wenn man bei dem Anbieter verschlüsselten Container hochlädt.

http://www.heise.de/newsticker/meld...oLocker-Opfer-aus-der-Geiselhaft-2287100.html

Feuer-Fritz · 6 Aug 2014

Das ist ja ein guter Anfang, prima, dass die Firmen dass so anbieten

nucleardirk · 7 Aug 2014

lt. Mail von Synology sind wohl nur NAS mit älterer FW betroffen die ein Sicherheitsleck haben dass im Dezember 2013 geschlossen wurde. DSM 5.0 soll gar nicht betroffen sein.

http://www.heise.de/newsticker/meld...eraete-anfaellig-fuer-Ransomware-2287427.html

[Problem] Angriff auf Synology NAS - dringend updaten bzw. Ports schließen Stand 04.08.2014

IPPF-Urgestein

Mitglied

IPPF-Urgestein

Aktives Mitglied

HabNeFritzbox

Guest

IPPF-Urgestein

Feuer-Fritz

Guest

IPPF-Urgestein

HabNeFritzbox

Guest

Feuer-Fritz

Guest

IPPF-Urgestein

HabNeFritzbox

Guest

IPPF-Urgestein

HabNeFritzbox

Guest

HabNeFritzbox

Guest

Feuer-Fritz

Guest

Aktives Mitglied

Statistik des Forums