I ransomware QNAP sono programmi che entrano nel NAS da Internet, sfruttando password deboli o falle del firmware, e cifrano i file delle cartelle condivise. Dal 2019 ne sono circolati diversi: eCh0raix, AgeLocker, Qlocker, DeadBolt. Se il tuo QNAP è stato colpito, la prima cosa da fare è scollegarlo dalla rete e lasciare i file cifrati dove sono.
Trovi come interveniamo sui file criptati nella pagina sul recupero dati da crypto virus.
Per i guasti del NAS non legati a un attacco c’è la guida al recupero dati da NAS QNAP.
Cos’è un ransomware
Un ransomware è un malware che cifra i tuoi file e chiede un riscatto, di solito in bitcoin, in cambio della chiave per decifrarli. Senza la chiave i file restano illeggibili. Trovi una spiegazione più ampia, con i costi dei riscatti, nell’articolo ransomware: cos’è.
Due cose da sapere subito:
- pagare non dà garanzie: a volte la chiave non arriva, a volte funziona solo su una parte dei file;
- sui NAS l’attacco arriva quasi sempre da Internet, senza che nessuno apra un allegato: basta che il NAS sia raggiungibile dall’esterno.
Ransomware più diffusi legati ai QNAP
- eCh0raix, chiamato anche QNAPCrypt: comparso nel 2019, è lo stesso ransomware con due nomi, dati da due società di sicurezza diverse. Entrava soprattutto provando password deboli o sfruttando falle note. Alcune versioni hanno colpito anche i NAS Synology.
- AgeLocker: segnalato nel 2020, prende il nome dallo strumento di cifratura “age” che usa.
- Qlocker: aprile 2021. Sfruttava una falla di HBS 3 (Hybrid Backup Sync) e spostava i file in archivi 7-Zip protetti da password, cancellando gli originali.
- DeadBolt: dal gennaio 2022. Cifra i file e sostituisce la pagina di accesso del NAS con la richiesta di riscatto. Ha colpito anche i NAS Asustor.
QNAP ha corretto le falle sfruttate da questi attacchi con aggiornamenti di QTS e delle app. Per questo i NAS non aggiornati restano i più esposti.
Cosa fare subito
- Scollega il NAS dalla rete: togli il cavo. Così fermi l’accesso dall’esterno e la cifratura di altre cartelle collegate.
- Non cancellare i file cifrati e la nota di riscatto: servono per capire di quale ransomware si tratta e per un eventuale decryptor.
- Fotografa la nota di riscatto e annota cosa vedi: estensione dei file cifrati, messaggi sulla pagina di accesso, data e ora in cui te ne sei accorto.
- Controlla snapshot e backup: se avevi attivato gli snapshot di QTS o un backup su un altro dispositivo, puoi ripristinare da lì dopo aver aggiornato e messo in sicurezza il NAS. Ripristina in una cartella nuova, non sopra i file cifrati.
- Cerca un decryptor gratuito su No More Ransom (nomoreransom.org), il portale nato da Europol, polizie nazionali e società di sicurezza: per alcune famiglie e versioni esistono strumenti gratuiti.
Trovi la procedura generale, valida anche per PC e server, nella guida su come ripristinare i dati criptati da un ransomware.
Cosa non fare
- non inizializzare il NAS e non riportarlo alle impostazioni di fabbrica per “ripulirlo”: cancelleresti anche le tracce dei file originali;
- non estrarre i dischi per collegarli a un PC Windows: Windows non legge il file system del NAS e propone di formattarli;
- non lanciare programmi di recupero sui dischi originali e non copiarci sopra altri file;
- non pagare d’impulso: prima verifica se esistono snapshot, backup o un decryptor.
Si possono recuperare i dati senza pagare?
Dipende dal ransomware e da come ha lavorato. Se ha cifrato i file “sul posto”, senza la chiave non si aprono. Alcuni ransomware invece creano una copia cifrata del file e poi cancellano l’originale, come faceva Qlocker con gli archivi 7-Zip. In questi casi i file originali cancellati possono trovarsi ancora nello spazio libero dei dischi, finché nessuno ci scrive sopra.
In laboratorio copiamo ogni disco del NAS, ricostruiamo RAID e volume sulle copie e cerchiamo le versioni non cifrate dei file. Solo la diagnosi dice se questa strada è percorribile: senza la chiave non possiamo promettere di decifrare i file.
Come proteggere un QNAP dai ransomware
- non esporre il NAS su Internet: disattiva UPnP e il port forwarding verso il NAS; per lavorare da fuori usa una VPN;
- aggiornamenti: installa gli aggiornamenti di QTS e delle app appena QNAP pubblica una correzione di sicurezza;
- password e accessi: disattiva l’account “admin” predefinito, usa password lunghe e l’autenticazione a due fattori;
- snapshot: attivali sui volumi, ti permettono di tornare alla versione dei file precedente all’attacco se l’attacco non li ha cancellati;
- backup separato: tieni una copia su un disco scollegato o fuori sede. Un backup su una cartella dello stesso NAS viene cifrato insieme al resto;
- principio del privilegio minimo: dai a ogni utente l’accesso solo alle cartelle che gli servono e limita i privilegi di amministratore.
Se i file sono già cifrati e non hai copie, spegni il NAS e contattaci: la diagnosi è gratuita, il preventivo arriva entro 4 ore dalla consegna in laboratorio e non paghi nulla se i dati non si recuperano. Trovi come lavoriamo sui NAS nella pagina sul recupero dati da NAS.
Se hai fretta, anche per server, RAID e NAS puoi scegliere il servizio Urgente (5-7 giorni) o Express (24-72 ore) al posto dello Standard (10-15 giorni): trovi le fasce nella pagina prezzi, mentre il prezzo esatto lo trovi nel preventivo.
