Οι συσκευές NAS της QNAP είναι ευάλωτες σε επιθέσεις ransomware

[Roman_1989]

4 λεπτά πριν, Retromaniac είπε

Πόσα πλήρωσες για να τα πάρεις το κλειδί;

Έψαχνα εννοείται τρόπο να πληρώσω σε bitcoin που μου ζητούσε αρχικα και με το ποσό να ανεβαίνει με την ώρα. Αν θυμάμαι καλά ξεκίνησε από 180€ και έφτασε στα 900€ σε μια μέρα. Είχα στείλει στο support της Qnap και μου απάντησαν με link σε forum όπου είχαν διαρρεύσει μερικά κλειδιά και κάποιος είχε φτιάξει ένα decryptor. Ενώ τους είπα πόσο επείγουσα ήταν η κατάσταση μου απάντησαν μετά από μιάμιση μέρα απλά με το link και χωρίς περισσότερες οδηγίες. Τελικά το decryptor δούλεψε, ήμουν τυχερός καθώς ένα από τα κλειδιά ήταν δικό μου.

Παρατήρησα πως δεν κρυπτογραφούσε τα μεγάλα βίντεο, μάλλον για να μην χάνει χρόνο και ότι κατάφερε να κρυπτογραφήσει και τα snapshots που είχα προγραμματίσει.

[imvrios]

59 λεπτά πριν, JimGer είπε

Δεν μπορώ να καταλάβω (εντάξει δεν το έψαξα και τρελά) γιατί λένε για synology οι περισσότεροι. Εγώ όταν σκεφτόμουν για NAS καμιά 5ετία πριν μου άρεσε περισσότερο η qnap. Σε φθηνότερη τιμή καλύτερο write σε usb ntfs σκληρούς και φαινόταν και το sw αρκετά καλό

Θέμα προτίμησης είναι βασικά. Synology = λιγότερο administration, QNAP = μεγαλύτερη ευελιξία. Τη δουλειά σου θα την κάνεις μαι με τις δύο εταιρείες.

43 λεπτά πριν, Retromaniac είπε

Αυτό είναι το κακό. Άπειρα πράγματα που δεν τα χρειάζεσαι, και τα οποία αν χρειαστείς κάποιο από αυτά μπορείς εύκολα να το βάλεις. Όσο για το low power, με sleep mode και awake on lan request, έχεις 0.5watt κατανάλωση.

Ό,τι θες εγκαθιστάς και χρησιμοποιείς. Πάντως οκ, άμα προτιμάς άλλες λύσεις δε μπορεί να σου πει κανείς κάτι.

[momentum]

3 hours ago, imvrios said:

Δεν υπάρχει δικαιολογία γι' αυτό. Αφετέρου, δεν έχει προστασία απέναντι σε brute force attacks; Μπορώ να βάλω 100 φορές λάθος credentials και να μου λέει NAS "αχ, πάλι λάθος. Αλλά χωρίς άγχος, προσπάθησε ξανά, εγώ έχω χρόνο.". Δε θα με βάλει σε κάποια black list;

Φυσικα και εχει και με πολλες επιλογες.

[masteripper]

1 ώρα πριν, mechpanos είπε

Το Linux είναι σχετικά ανώτερο, και όχι μόνο αυτό (BSD κλπ) όχι επειδή έχει κανένα σούπερ απροσπέλαστο κώδικα...ΚΑΜΙΑ σχέση. Αλλά γιατί α) από φιλοσοφίας, αν δεν έχεις κωδικούς root μπορείς να κάνεις πολύ περιορισμένα πράγματα και μόνο στα αρχεία του χρήστη β) Όταν διαπιστωθεί κενό ασφαλείας στον κώδικα, το ότι ο κώδικας είναι ανοιχτός σημαίνει ότι μπορεί ο οποιοσδήποτε να εργασθεί και να παρέχει μια λύση για αυτό, δεν επαφίεσαι στην καλή θέληση της Microsoft και της κάθε Microsoft να βγάλει το patch. Στα Windows παλαιότερα έκανες ό,τι ήθελες είχες-δεν είχες κωδικούς!
Τώρα όποιος αφήνει κωδικούς τύπου root-admin, admin-admin κλπ, ε, καλά να τα παθαίνει...

Το ίδιο ισχύει και στα Windows...αν σε "κλειδώσει" με policies...Ουτε το Notepad δεν τρέχεις.

Απλώς υπάρχει η αντίστροφη φιλοσοφία..ειδικά μέχρι τα τελευταία Windows που άρχισαν τις "βλακείες"

Εγώ προσωπικά όταν κάνω εγκατάσταση 1 λειτουργικό στον υπολογιστή μου θεωρώ ότι το λειτουργικό το έχω δικό μου ...ούτε κανένας root / administrator έβαλε το χέρι στην τσέπη για να αποκτήσω εγώ το λειτουργικό ούτε και θέλω κάποιον να μοιράζομαι την διαχείριση...οπότε θεωρώ ότι είμαι και υπεύθυνος για ότι γίνεται.

Το Linux έχει την φιλοσοφία ότι σε ξεκινάει σαν restricted user και σιγά σιγά ανεβαίνεις...

Στα Windows έως τα XP και σιγά -σιγά το "χαλάει" σε είχε σαν διαχειριστή και τώρα σιγά - σιγά σε κόβει.....

Και αυτό περί "ανοικτού κώδικα" δεν είναι πάντα πανάκεια....κάποιος/κάπου/κάποτε επειδή τον βόλευε άλλαξε το default path π.χ απο var σε etc και γίνεται το έλα να δεις

 

Επεξ/σία 10 Ιουνίου 2020 από masteripper

[apostolisk86]

1 ώρα πριν, masteripper είπε

Το Linux έχει την φιλοσοφία ότι σε ξεκινάει σαν restricted user και σιγά σιγά ανεβαίνεις...

Στα Windows έως τα XP και σιγά -σιγά το "χαλάει" σε είχε σαν διαχειριστή και τώρα σιγά - σιγά σε κόβει....

Σε ξεκινάει σαν user (σκέτο) και καλά κάνει βέβαια, στο κάτω κάτω ο admin είσαι εσύ ο ίδιος, όχι κάποιος άλλος. Με ένα απλό su μπορείς να διαγράψεις σχεδόν όλο το λειτουργικό. 

 

Το ίδιο κάνουν ουσιαστικά πλέον και τα Windows. Τα Windows 10 ελάχιστη διαφορά έχουν με το Linux στη λογική που λειτουργούν, και καλά κάνουν βέβαια. 

3 ώρες πριν, Gioandro είπε

Από android. Δεν απαντάς στην ερώτηση όμως. Επίθεση στο Linux έτοιμη, αλλά για registry ουδέν σχόλιον.

Δεν είναι απαραίτητα κακή η registry. Το everything is a file έχει και τα καλά του έχει και τα κακά του. Έτσι κι αλλιώς η registry είναι πλέον τόσο optimized που είναι σαν να μην υπάρχει. Δεν είμαστε στο 2000.

[euaggelos01]

6 ώρες πριν, Black Demis είπε

Υπάρχουν έτοιμα μηχανάκια σαν τα Synology και qnap με αυτό?

όποιος ειναι μέλος στο insomania φαντάζομαι οτι θα ξέρει τι ειναι το promox κ απο τεχνολογια.

 

[koufs]

7 ώρες πριν, masteripper είπε

Κάποια στιγμή πρέπει να γίνει κατανοητό ότι ο μύθος της ασφάλειας του Linux είναι απλώς η περιορισμένη χρήση του.

Απο την στιγμή που κάποιος μπορεί να συνδεθεί κάπως με 1 username & 1 password τότε δεν διαφέρει απο όλα τα άλλα "ασθενή" λειτουργικά.

 

περιορισμένη χρήση;  LOL

παλιό παραμύθι αυτό, και κυριολεκτικά παραμύθι

το μεγαλύτερο μέρος του cloud κατά συντριπτική υπερβολή είναι σε linux,

το 99% (για να μην πω παραπάνω) αυτών που ξεχωρίζουν το lan από τον έξω κόσμο, πχ routers, firewalls, gateways τρέχουν linux από τον απλό χρήστη σαν εμένα μέχρι το enterprise,

τα περισσότερα NAS τρέχουν σε linux

δεν έχει καμμία σχέση το περιορισμένο ποσοστό στο desktop, και ούτε το desktop του καθενός από εμάς αποτελεί μεγάλο στόχο

μεγάλους στόχους αποτελούν τα firewalls και οι servers μεγάλων εταιρειών και κυβερνήσεων και εκεί το λίνουξ έχει ποσοστό σχεδόν 100% στα πρώτα (firewalls) και πάνω από 50% στο δεύτερο (πάσης φύσεως servers)

οπότε ξεχάστε το παραμύθι με την περιορισμένη χρήση του λίνουξ, είναι απλά παραμύθι

 

Επεξ/σία 10 Ιουνίου 2020 από koufs

[eyw]

10 hours ago, voltmod said:

... Η ομάδα χρησιμοποιεί τόσο exploits για unpatched κενά ασφαλείας και ευπάθειες στις συσκευές QNAP όσο και επιθέσεις brute-force για να μαθαίνουν τα διαπιστευτήρια διαχειριστών των συσκευών και τελικά να παίρνουν τον έλεγχο τους. ...

 

ok, καταλάβαμε, "unpatched" και "brute force".

.

10 hours ago, voltmod said:

...Αν έχετε στη διάθεση σας κάποιο NAS της εταιρείας QNAP προχωρήστε άμεσα στην αναβάθμιση του firmware του ... 

 

γιατί, ποιός ο λόγος, αφού μια χαρά δουλεύει και έτσι.

.

10 hours ago, voltmod said:

... και αλλάξτε το password ώστε να είναι πολύπλοκο. ...

 

τι λες ρε φίλε, πας καλά ή βαλτός είσαι? ποιός θυμάται μεγάλα και πολύπλοκα passwords? και άμα το ξεχάσω?

[Black Demis]

1 ώρα πριν, euaggelos01 είπε

όποιος ειναι μέλος στο insomania φαντάζομαι οτι θα ξέρει τι ειναι το promox κ απο τεχνολογια.

το τι ειναι ξέρω λέω μήπως άλλαξε κάτι και βγαίνουν μικρά ωραία έτοιμα μηχάνημα αυτού της κοπής  στα οποία δεν θα χρειαστεί να ξοδέψεις χρόνο (όταν βαράς 12 ώρα στην δουλειά το μόνο που σου λείπει ειναι να χαλάς χρόνο... αν το βρεις για αυτά)

Επεξ/σία 10 Ιουνίου 2020 από Black Demis

[RaNd]

Οποίος έχει μαζεμένα TB σε NAS ειναι φυσικό επακόλουθο να έχει κ snapshots και backup σε external USB, για να μην πω και rsync σε 2η τοποθεσία.
Την ευκολία, συντήρηση και Support που έχει ενα QNAP  δεν θα την βρεις σε custom build NAS, εκτός αν θες να κάνεις πειράματα η r/homeserver.

Πολλές μικρές/μεσαίες επιχειρήσεις έχουν τέτοια NAS, απο main storage με iscsi για esxi μέχρι nas to nas replication.

 

Σε αυτούς δεν πουλάς το NAS του Κώστα, αλλα QNAP, Synology Thecus κλπ.

 

Το πρόβλημα είναι οταν τα βάζουν να κάνουν κ ενα σωρό άλλα γιατί "μπορούν",  πχ hosting WordPress, php apps κλπ, όπου θέλουν νταντεμα και συντήρηση....

[petasis]

Οι συσκευές αυτές είναι πεταμένα λεφτά. Το υλικό είναι για τα σκουπίδια, το λογισμικό αστείο, και σε χωρίζουν και τεχνητά σε κατηγορίες ανά δύο χρόνια. Σε καθηλώνουν σε λειτουργικότητα που είχε όταν το αγόρασες (δεν παίρνεις αναβαθμίσεις), και σου δίνουν αναβαθμίσεις "ασφαλείας" με το σταγονόμετρο.

Παράδειγμα το 869: https://www.qnap.com/en/download?model=ts-869 pro&category=firmware

Εντάξει, η πρόσφατη αναβάθμιση φτιάχνει 1 vulnerability από το 2018. Το 2022 θα φτιάξουν και τις φετινές.

ΜΑΚΡΙΑ.

[Dr.Fuzzy]

13 hours ago, apostolisk86 said:

Δεν είναι απαραίτητα κακή η registry. Το everything is a file έχει και τα καλά του έχει και τα κακά του. Έτσι κι αλλιώς η registry είναι πλέον τόσο optimized που είναι σαν να μην υπάρχει. Δεν είμαστε στο 2000.

Κάκιστη! Για δοκίμασε να πάρεις μια εγκατάσταση ενός προγράμματος να το κάνεις copy κάπου αλλού πχ σε ένα εξωτερικό σκληρό και να το τρέξεις στο ίδιο ή σε κάποιο άλλο μηχάνημα και θα διαπιστώσεις «αν είναι σαν μην υπάρχει».

Επεξ/σία 11 Ιουνίου 2020 από Dr.Fuzzy

[use_your_brain]

Ότι βγαίνει προς τα έξω έχει κινδύνους. Αν είναι για προσωπικά δεδομένα καλύτερα μόνο τοπικά. Αν χρειάζεται να βγαίνει φυσικά παίρνεις όλα τα μέτρα για hardening με updates,κανόνες κ προστασίες. Σε PI μπορείς να βάλλεις fail2ban με 3 προσπάθειες πχ κ κλείδωμα IP κτλ
Κάτι που κάνω επίσης σε άλλες περιπτώσεις πχ να επιτρέπω μόνο IP Ελλάδας ή μόνο provider που κάνω χρήση με IPTABLE.
Μπορείς να δώσεις χρήστη πχ μόνο για read από έξω...όσον αφορά το brute-force γιατί με exploit μπορεί να βρει κ τρόπο να ανεβάσει δικαιώματα κ μετά αρχίζει το πάρτι και είστε ο καλεσμένος που έρχεται στο τέλος.
Έχω 2 NAS σε PI το ένα βγαίνει το άλλο όχι. Αυτό που βγαίνει είναι με VPN, ενημερώσεις σύνδεσης κτλ
Αυτο το PI βλέπει άλλο VLAN έτσι ώστε να μην έχει επικοινωνία με το άλλο γιατί υπάρχει πάντα κ η πλάγια είσοδος
Έχω κ 3 Synology στην δουλειά που η ευκολία ρύθμισης είναι που σε κερδίζει για αυτό τα προτιμάει κ ο κόσμος κ για αυτό τα βαράει κ η Synology ενώ έχει άλλες εταιρείες με ανώτερα spec πιο φτηνά που αν δεν θες πολλά πας σε κ σε ένα WD κ κάνεις τα πολύ βασικά μια χαρά. Αν θες τα επιπλέον πας σε Synology QNap

Επίσης πάντα backup κ σε εξωτερικό δίσκο όπως ανέφεραν κ άλλα παιδιά εδώ.
 

[xaerialtwistx]

14 ώρες πριν, eyw είπε

ok, καταλάβαμε, "unpatched" και "brute force".

.

γιατί, ποιός ο λόγος, αφού μια χαρά δουλεύει και έτσι.

.

τι λες ρε φίλε, πας καλά ή βαλτός είσαι? ποιός θυμάται μεγάλα και πολύπλοκα passwords? και άμα το ξεχάσω?

 

Όχι απλά μεγάλους κωδικούς αλλά ούτε καν που να σημαίνουν κάτι. Μόνο από password generators. Υπάρχουν τρόποι για τη συντήρηση τους (όπως password managers που απαιτούν πολλαπλά αρχεία για να ξεκλειδώσουν). Τώρα βέβαια αν φοβάσαι πως θα χάσεις και τα αρχεία, ε και το 12345677 καλό είναι και ξεγελάει λίγο ;ρ

4 ώρες πριν, Dr.Fuzzy είπε

Κάκιστη! Για δοκίμασε να πάρεις μια εγκατάσταση ενός προγράμματος να το κάνεις copy κάπου αλλού πχ σε ένα εξωτερικό σκληρό και να το τρέξεις στο ίδιο ή σε κάποιο άλλο μηχάνημα και θα διαπιστώσεις «αν είναι σαν μην υπάρχει».

 

Αυτό ισχύει και σε Linux. Κανένα πρόγραμμα δε μπορεί να λειτουργήσει σαν portable. Υπάρχουν ειδικά προγράμματα για τη μετατροπή τους όπως υπάρχουν και σε Windows.

[Dr.Fuzzy]

21 minutes ago, xaerialtwistx said:

Αυτό ισχύει και σε Linux. Κανένα πρόγραμμα δε μπορεί να λειτουργήσει σαν portable. Υπάρχουν ειδικά προγράμματα για τη μετατροπή τους όπως υπάρχουν και σε Windows.

Kάνεις μέγαλο λάθος! Και στο linux και στο macos όλα τα προγράμματα μπορούν να μεταφερθούν σε διαφορετικό path απο αυτό που βρίσκονται με ενα απλό copy και να λειτουργήσουν μια χαρά. Το εφαρμόζω χρόνια τώρα σε πολλά μηχανήματα.