SynoLocker TM - Daten auf NAS gecrypted worden durch Hacker

[ecryptFS]

Ich natte auch alles und komme nur per OpenVPN drauf. Daher sehe ich das ganze entspannt. Außerdem habe ich ein Voll-Backup, das nicht im Netz hängt.

Trotzdem - ein Programm ist halt nur so gut wie sein Erfinder - und anscheinend gibt es immer klügere Köpfe. Dann warten wir mal auf ein Firmware-Update und sperren sicherheitshalber alle Ports.

 

[TheGardner]

Wenn Du etwas erreichen willst, dann wirst Du auch das VPN einer Fritzbox knacken! Irgendwie geht alles! Aber oftmals fehlt dem Hacker die Zeit, da lange rumzudoktern! Was immer wieder passieren wird sind "schnelle Attaken" also bestehende Lücken werden gefunden und Schadcode programmiert, damit man da nicht ständig hinterher glotzen muss, wenn etwas hängen bleibt!
D.h. löst Euch von der Ansicht Eure "verrammelte" Maschine könnte als einzigste gehackt werden und ihr allein den Schaden davon tragen - obwohl ihr immer versucht habt aufzupassen! Sowas passiert nicht! Wenn überhaupt, dann macht Synology ein Fehler in der Programmierung, wodurch eine Lücke entsteht - und schlussendlich sind alle davon betroffen!

Angriffe werden zu 99% immer auf Masse programmiert um den größten Schaden zu bekommen! Es wird sich nie ein Herr Meier ausgeguckt, weil den keiner Leiden kann!

 

[aportmann]

Hallo zusammen

Ich greife auf meine Synology per OpenVPN zu. Ich habe nun die Portweiterleitung im Router deaktiviert. Was mich aber fast zum verweifeln bringt: per iPhone komme ich nicht mehr auf den Server, was korrekt ist. Mein externer Mac auf der Arbeit hingegen schon.

Bin ein bisschen Ratlos, wieso das möglich ist. Hat mir jemand einen Tip?


Gruss Andi

 

[TheGardner]

Kommt drauf an, was Du da für einen Link im Browser stehen hast! Klingt fast so, als würdest Du am VPN vorbei auf den Server kommen - d.h. den Zugriff von aussen (noch) eingeschaltet haben!

PS.: Wirklich genial, wieviele Anmeldebildschirme von DSen man auf Google sehen kann! Denen gehört allen son Locker auf den Hals geschickt! Bloß gut, dass das allein noch nicht ausreicht!

 

[Telaran]

Also wie ich schon oben anmerkte hätte Synology das mit eigenen Honeypots bereits am SA merken können und dann zumindest mal bis jetzt mehr Details posten können.

Zu dieser These gibt es ein paar Gedanken, welche man sich vor Augen halten sollte.

1. Es kann also durchaus sein, dass nur gewisse IP Ranges betroffen sind
2. Es kann sein, dass gewisse Suchmethoden verwendet wurden und nur eine Handvoll Geräte ausgespuckt wurden
3. Kann es sein, dass die Täter wissen, welche der Kisten HoneyPots sind und diese nicht angegriffen haben (Das ganze wurde sicher nicht von Skript-Kiddies gemacht, ist also ein mögliches Szenario)

Dass die Informationspolitik in diesem Fall mangelhaft ist, müssen wir nicht diskutieren, aber... wären alle Synology Geräte betroffen, hätte Synology wahrscheinlich bereits reagiert (so wie sie es bei dem Heartbleed Bug getan haben). Auch wenn ich nun meine Kiste gestern abgetrennt habe, vermute ich mal, dass es vornehmlich ältere DSM Versionen betrifft. Riskieren möchte ich trotzdem nichts.

Wir kommen aber nicht umhin, uns langsam an solche "Dinger" zu gewöhnen. Ob nun Mail-Account Spionage oder Geldbeschaffung durch Locker Progs - das wird in den kommenden Jahren immer weiter zur Perfektion getrieben werden! Und ob wirs wollen, oder nicht

Auch wenn ich das ungern tue: Muss ich dir recht geben.
Die nachkommende Frage ist aber -> Was tun wir und damit meine ich nicht wir (IT Versierte) sondern wir (auch DAU's).

Weil VPN ist noch nicht überall praktikabel (Firmen und Öffentliche Netzwerke, welche es blocken). Dann ist die Frage VPN vom Router (Wo einige Hersteller auch bewiesen haben, dass sie Probleme damit haben können) oder von der DSM (was ja wieder fast ins Absurde führt) oder doch noch irgend eine Dritt-Hardware wie Monowall/Firewall (wo aber ebenfalls Riskant sein kann).
Oder das NAS nach aussen gar nicht erreichbar machen (was den Sinn/Nutzen eines solchen NAS ebenfalls ins absurde führt).

Vor allem: Was wäre DAU Praktikabel?

 

[alexserikow]

Ich nutze das VPN der Fritz Box. Welche Implementierung da genau hinter steckt weiß ich nicht und ich weiß daher auch nicht, ob es wirklich sicher ist oder die Version nicht auch schon total veraltet und voll von Sicherheitslöchern ist. Im Endeffekt ist ein VPN ja auch nichts anderes ein Service mit offenen Ports, welcher Angriffsfläche bietet.

Das VPN der FB über PC kann man nur mit FritzFernzugang nutzen und einrichten, oder geht das auch ohne?

 

[ecryptFS]

Das VPN der FB über PC kann man nur mit FritzFernzugang nutzen und einrichten, oder geht das auch ohne?

geht auch ohne. Einfach mal bei AVM nach VPN suchen...

 

[aportmann]

Kommt drauf an, was Du da für einen Link im Browser stehen hast! Klingt fast so, als würdest Du am VPN vorbei auf den Server kommen - d.h. den Zugriff von aussen (noch) eingeschaltet haben!

im browser steht die lokale ip plus der port. ich hatte erst noch irgendwas cache-mässiges im kopf und in tunnelblick alle prozesse beendet und den kompletten mac neu gestartet.
doch auch dann kam ich weiterhin auf den server und konnte auch durch alle menüs navigieren.

nun 5 minuten später bekommen ich (so wie ich es wollte) nicht mehr auf den server.

spooky, aber scheint zu funktionieren


gruss andi

 

[ottosykora]

Lieber ottosykora

J Nicht jeder sucht nach einem Forum im Netz oder gar in einem fremdsprachigen Forum.[/B] Ich versuche mich immer auf der offiziellen Seite zu informieren und da würde mich ein solches - wenn auch wie Du es nennst "nichts beinhaltendes" Statement - noch weniger ist wie Synology GAR NICHTS zu sagen resp. nur über ein Forum!!!

na ja, wenn du erwartest dass jede Firma alle seine Nachrichten in die 197 Sprachen von UN übersetzt...

 

[rubinho]

Ich nutze das VPN der Fritz Box. Welche Implementierung da genau hinter steckt weiß ich nicht und ich weiß daher auch nicht, ob es wirklich sicher ist oder die Version nicht auch schon total veraltet und voll von Sicherheitslöchern ist. Im Endeffekt ist ein VPN ja auch nichts anderes ein Service mit offenen Ports, welcher Angriffsfläche bietet.

Die Fritzbox benutzt als VPN Verfahren IPsec mit IKE V1 im Aggressiv-Mode und Preshared-Key.

Ja, dieses VPN Verfahren ist nicht die Sicherste Methode, es gibt da einiges was sicherer ist.

Aber...
Es ist immer noch Besser mittels Fritzbox Vpn eine verschlüsselte Verbindung ins Heimnetz aufzubauen, als Nativ mittels Portforwarding auf die Systeme hinter dem Router zuzugreifen.

Für VPN benötigt man nur einen einzigen offenen Port um auf alle Systeme zuzugreifen, bei Portforwarding je ein Port für Dienst und Device auf das man zugreifen will.

Es ist wie beim erstürmen einer Festung. Es ist besser man kann sich nur auf ein Tor konzentrieren um den Gegner abzuwehren, als auf mehrere Tore.

 

[TheGardner]

Nee, dann ist alles okay! Das hab ich auch schon erlebt! Da hat der Mac quasi mit sich selbst und seinen Caches gesprochen! Du hättest etwas aufrufen müssen (Systemsteuerung), was Du nicht so oft genutzt hattest! Dann wäre er schneller ins trudeln gekommen, weil er es Dir hätte nicht mehr anbieten können!

 

[Frogman]

Ein Statement gibts deshalb nicht, weil sie sich noch gar nicht darüber klar sind, wo die Lücke ist. Und sinnlos öffentlich "rum vermuten" werden sie nicht!

Sorry, aber das geht schlichtweg an der Sache vorbei. Niemand erwartet hier zum jetzigen Zeitpunkt ein Statement im Hinblick auf Ursachen! Es geht um eine proaktive und gute Informationspolitik - dazu wäre hier zumindest eine Information angebracht, dass es aktuell ein solches Angriffsszenario gibt, man nach Möglichkeit die externen Zugriffsmöglichkeiten vorübergehend deaktivieren und - wenn es ungwöhnlich hohe CPU-Last auf der DS gibt - man diese ausschalten sollte.

 

[alexserikow]

geht auch ohne. Einfach mal bei AVM nach VPN suchen...

vielleicht bin ich blind, aber über steht unter Vorraussetzung das "FRITZ!Box VPN Connection" installiert sein muss...

 

[TheGardner]

Und BINGO! Über die Google Suche einen gefunden, dens erwischt hat:

 

[jahlives]

Es ist wie beim erstürmen einer Festung. Es ist besser man kann sich nur auf ein Tor konzentrieren um den Gegner abzuwehren, als auf mehrere Tore.

Single Point of error wäre hier ein Stichwort. Ein Nachteil beim VPN: wenn der geknackt ist kann man so ziemlich alles erreichen als wäre man im LAN. Wer hat schon Firewall Regeln um sich gegen sein VPN zu schützen?
Zudem wenn man öffentlich erreichbare Dienste hat bringt ein VPN nichts, da kann man gleich das Netzwerkkabel ziehen. Oder wie bringst du einen externen Mailserver dazu via VPN auf Port 25 deines Mailservers auf der DS zuzugreifen?
Es gibt keine "beste" Lösung in der IT. Es ist IMMER ein Abwägen und hängt von den Voraussetzungen (z.B. angebotene Dienste) ab.
@Gardener
hör auf hier IPs zu posten, die dir nicht gehören!

 

[alexserikow]

PS.: Wirklich genial, wieviele Anmeldebildschirme von DSen man auf Google sehen kann! Denen gehört allen son Locker auf den Hals geschickt! Bloß gut, dass das allein noch nicht ausreicht!

Hab mal geschaut und auf einen Link geklickt - und siehe da, der Synolocker:

 

[jahlives]

@all
postet hier keine IPs die euch nicht gehören!!

 

[alexserikow]

@all
postet hier keine IPs die euch nicht gehören!!

OK, sorry! Wie man da aber erkennen kann ist kein Login mehr möglich!

 

[Benares]

Und BINGO! Über die Google Suche einen gefunden, dens erwischt hat:

Ist zwar sonst nicht so meine Art, aber ich denke das ist von allgemeinem Interesse

Scanning x.y.z (a.b.c.d) [1000 ports]
Discovered open port 443/tcp on a.b.c.d
Discovered open port 21/tcp on a.b.c.d
Discovered open port 80/tcp on a.b.c.d
Discovered open port 873/tcp on a.b.c.d
Discovered open port 631/tcp on a.b.c.d
Discovered open port 5000/tcp on a.b.c.d
Discovered open port 5432/tcp on a.b.c.d
Discovered open port 548/tcp on a.b.c.d

 

[jahlives]

@alexserikow
das gibt dir trotzdem nicht das Recht eine IP öffentlich zu posten, die dir nicht gehört. Sonst stell ich deine IP hier rein!