QRescue    Réponse à Qlocker    Questions-réponses

 

 

Déclaration de QNAP à propos du ransomware Qlocker

 

Récemment, le ransomwareQlocker a lancé des attaques contre les NAS QNAP et a causé des désagréments et des pertes de données auprès de nos utilisateurs. Nous comprenons que nos utilisateurs sont profondément troublés par cet incident. Bien que la priorité absolue de QNAP ait toujours été de corriger les problèmes de logiciels au bon moment et de publier des informations pertinentes, nous soutenons notre engagement et redoublons d'efforts pour améliorer continuellement les fonctionnalités de sécurité fournies dans nos produits. Nous invitons sincèrement nos utilisateurs à se joindre à nousdans la lutte contre les ransomwares, afin de faire d'Internet un endroit plus sûr pour tous.

Description de l'incident

Le 16 avril 2021, nous avons publié une version mise à jour (16.0.0415) de l'application Hybrid Backup Sync (HBS) pour ajouter de nouvelles fonctionnalités et résoudre certains problèmes de sécurité décrits dans l'avis de sécurité QNAP QSA-21-13. Le 21 avril, nous avons commencé à recevoir des rapports d'utilisateurs sur de possibles attaques de type ransomware. Par la suite, après notre enquête initiale, il a été confirmé que le ransomware Qlocker exploite l'une des vulnérabilités HBS corrigées contre les NAS QNAP qui ne sont pas à jour donc avec la faille non corrigé et qui sont directement connectés à Internet.

L'attaquant a profité d'une vulnérabilité HBS patché. Une fois la faiblesse exploitée, le malware pouvait obtenir le niveau d'autorisation inapproprié du NAS QNAP impliqué. Une fois le NAS compromis, le hacker insère un code malveillant dans le système pour supprimer tous les snapshots et pour compresser les fichiers utilisateur avec un mot de passe à l'aide de l'utilitaire 7-Zip intégré destiné aux opérations normales de compression / décompression de fichiers. Une fois le chiffrement commencé, Qlocker laisse une demande de rançon et se supprime pour augmenter la difficulté d’investigation sur son mécanisme.

Sur la base des informations limitées que nous avons collectées à partir des cas signalés, nous avons publié des règles de détection de mises à jour de l'application QNAP NAS Malware Remover pour détecter et arrêter les activités des logiciels malveillants. Nous avons également ajouté de courts scripts pour tenter des extractions de la clé de chiffrement lorsque la compression est toujours en cours.

Par la suite, le 22 avril, nous avons publié un article sur la sécurité des produits pour exhorter nos utilisateurs à installer toutes les mises à jour récemment publiées avant de pouvoir confirmer le chemin réel de l'attaque. Et une fois le chemin identifié, nous avons à nouveau mis à jour Malware Remover pour mettre en quarantaine le code HBS en question pour les NAS QNAP non protégés.

Symptômes

  • Infecté mais pas encore actif
    1. Aucune anomalie ne sera observée pour les NAS QNAP infectés par Qlocker.
  • Actif (chiffrement en cours)
    1. Si Qlocker est actuellement actif (chiffrement / compression en cours), l'extension de nom de fichier des fichiers utilisateur deviendra « .7z » l'un après l'autre. Autre symptôme possible, dans Resource Monitor, le processus 7z occupe un niveau anormalement élevé de ressources système.
  • Post-activité (chiffrement terminé)
    1. Une fois que Qlocker a terminé son activité malveillante (chiffrement / compression terminé), l'extension de nom de fichier de tous les fichiers utilisateur (taille <20 Mo) est désormais « .7z ». Une demande de rançon (fichier en texte clair) est également générée sur le NAS QNAP.

Chronologie de notre réponse à Qlocker

  • vendredi 19 mars 2021
    1. Rapport de problème de sécurité HBS reçu.
  • vendredi 16 avril 2021
    1. Publication de l'application HBS corrigée pour la version actuelle. Pour protéger les utilisateurs qui n'ont pas encore appliqué la mise à jour contre les attaques, nous avons ajusté le délai de divulgation de l'avis de sécurité correspondant.
  • mercredi 21 avril 2021
    1. Nous avons commencé à recevoir des rapports d'utilisateurs sur de possibles attaques de type ransomware. Nous avons immédiatement ouvert notre enquête.
  • jeudi 22 avril 2021
    1. Mise à jour de la règle de détection de Malware Remover pour arrêter le chiffrement / compression Qlocker. Nous avons également publié les nouvelles sur la sécurité des produits et l'avis de sécurité correspondant le même jour.
  • 23 au 25 avril 2021
    1. Le personnel du support technique de QNAP dans le monde entier a travaillé avec acharnement avec l’aide des utilisateurs concernés pour tester et purger Qlocker ainsi que proposer une aide adéquate.
  • lundi 26 avril 2021
    1. Ajout d'une nouvelle règle de détection de Malware Remover pour Qlocker afin de mettre en quarantaine le code HBS en question pour les NAS QNAP non protégés.

Mode opératoire d'une analyse Malware Remover

  • En exécutant une analyse Malware Remover sur un NAS QNAP avec Qlocker infecté (pas encore actif), le code malveillant Qlocker sera purgé. Si une version non corrigée de HBS est également détectée, le code HBS en question sera supprimé.
  • En exécutant une analyse Malware Remover sur un NAS QNAP avec Qlocker actif (chiffrement/ compression en cours), le chiffrement / compression s'arrêtera. L'analyse tentera également d'extraire la clé de chiffrement utilisée pour l'attaque. Si une version non corrigée de HBS est également détectée, le code HBS en question sera supprimé.
  • En exécutant une analyse Malware Remover sur un NAS QNAP après l'attaque Qlocker (chiffrement / compression terminé), le code HBS en question sera supprimé si une version non corrigée de HBS est détectée.

Pour toutes les activités de Malware Remover, le journal des événements système correspondant sera généré.

Éléments exploitables par l'utilisateur contre Qlocker

Pour tous les utilisateurs, nous recommandons fortement d'exécuter une analyse manuelle de Malware Remover pendant que le NAS QNAP est connecté à Internet. Malware Remover mettra à jour sa règle de détection avec la dernière version, puis détectera si votre NAS QNAP est sous l'influence du ransomware Qlocker et de la vulnérabilité HBS corrigée.

Cependant, veuillez noter que la façon dont votre NAS QNAP est connecté à Internet affecte également la sécurité globale du système. Pour procéder en toute sécurité, veuillez vous référer aux recommandations générales répertoriées dans la section suivante.

Aditionellement,

  • Chiffrement / compression actif ou terminé
    1. Si votre NAS QNAP est sous l'influence de Qlocker, quel que soit l'état de chiffrement / compression, n'arrêtez pas et ne redémarrez pas le NAS. Ne mettez pas non plus à jour le système d'exploitation NAS. Veuillez exécuter l'analyse manuelle de Malware Remover mentionnée ci-dessus et contacter immédiatement le support technique de QNAP. Nous inspecterons votre NAS QNAP pour déterminer si vos fichiers peuvent être récupérés ;
  • Infecté mais pas encore actif
    1. Si Malware Remover détecte Qlocker et le purge de votre NAS QNAP et que vos fichiers sont intacts, veuillez prendre les mesures répertoriées dans les recommandations générales dans les meilleurs délais pour améliorer la sécurité du NAS ;
  • Non affecté
    1. Si Malware Remover n'a pas détecté Qlocker sur votre NAS QNAP, vous devez tout de même prendre les mesures répertoriées dans les recommandations générales le plus tôt possible pour améliorer la sécurité du NAS.

Recommandations générales

Nous suggérons aux utilisateurs d'utiliser la fonction myQNAPcloud Link fournie par QNAP pour se connecter à leur NAS QNAP à partir d'Internet. Aucune configuration complexe n'est requise pour activer myQNAPcloud Link. Pour les autres utilisateurs, nous recommandons vivement que leur NAS QNAP ne soit pas directement connecté à Internet. Ceci afin d'améliorer la sécurité de votre NAS QNAP. Nous recommandons aux utilisateurs d'activer le service de serveur VPN sur leur routeur. Pour accéder à votre NAS QNAP depuis Internet, établissez d'abord une connexion VPN avec votre routeur, puis connectez-vous au NAS QNAP via VPN. Cela peut efficacement durcir le NAS et réduire les risques d'attaque. Pour plus de détails, veuillez consulter l'article du blog QNAP : https://blog.qnap.com/nas-internet-connect-en/

Alors que nous élargissons activement le champ de notre enquête, il existe une série d'actions que nos utilisateurs peuvent prendre pour rendre leur NAS QNAP plus sécurisé pour se défendre contre les cyberattaques. Ces actions comprennent :

  • Activer les paramètres de mise à jour automatique ou vérifier régulièrement les mises à jour du système d'exploitation et des applications manuellement
  • Se reporter à la stratégie de sauvegarde 3-2-1 et sauvegarder les fichiers stockés sur le NAS QNAP
    1. Remarque : si vous stockez la seule copie de vos fichiers sur le NAS QNAP, même si vous avez activé les fonctionnalités de protection des données telles que RAID et les snapshots, vos données ne sont pas protégées contre tous les risques possibles. Le RAID protège uniquement contre les pannes de disque et les snapshots offrent une protection pour un scénario d'attaques de ransomware depuis votre ordinateur personnel. Pour vous assurer que vos fichiers sont sains et saufs, sauvegardez les données de votre NAS ou sauvegardez le fichier de sauvegarde stocké sur votre NAS QNAP.
  • Veuillez consulter la seconde moitié de cet article du blog QNAP pour obtenir des recommandations sur les paramètres de sécurité pour augmenter la sécurité du NAS: https://blog.qnap.com/nas-internet-connect-en/
  • Enregistrez un identifiant QNAP et abonnez-vous à nos avis de sécurité pour recevoir nos dernières mises à jour de sécurité : https://account.qnap.com/

Remerciements

Nous saisissons cette occasion pour reconnaître la contribution de ZUSO, la société de sécurité de l'information basée à Taiwan, pour avoir signalé le problème et aidé à répondre à l'incident. Nous continuerons à travailler avec ZUSO et d'autres sociétés / équipes de recherche sur la sécurité pour améliorer la sécurité et la protection de tous les produits QNAP.