QSnatch-malware infecteert duizenden nas-systemen van Qnap

Duizenden nas-systemen van Qnap zijn geïnfecteerd met de QSnatch-malware. Het virus steelt onder andere wachtwoorden en voorkomt firmware-updates. Een Finse computerautoriteit publiceerde vorige week een rapport over de malware.

Alleen in Duitsland zouden al 7000 meldingen van de malware zijn gedaan, meldt het Duitse computer emergency response team op Twitter. Het is nog onduidelijk hoe het virus wordt verspreid, maar een rapport van het Finse ncsc-fi geeft enkele details over de werking. Zodra het virus toegang krijgt tot een apparaat, nestelt QSnatch zich in de firmware, waarna het virus reboot persistence verkrijgt.

Volgens een analyse van het ncsc-fi kan QSnatch onder andere taken aanpassen die in het besturingssysteem uitgevoerd worden, firmware-updates voorkomen en wachtwoorden stelen. Ook de ingebouwde antivirus-software van Qnap werkt niet door de malware. Het is onduidelijk wat de makers van het virus hopen te bereiken.

Het is mogelijk dat de makers van QSnatch momenteel werken aan het bouwen van een botnet, en dat ze in de toekomst nieuwe modules zullen verspreiden, schrijft ZDnet. Het ncsc-fi heeft bevestigd dat het virus verbonden kan worden met een command-and-control-applicatie op afstand.

Momenteel kan het virus alleen verwijderd worden door een geïnfecteerd nas-systeem volledig te resetten naar fabrieksinstellingen. Hierbij wordt wel alle data gewist. Sommige gebruikers melden dat een update uit februari 2019 de malware lijkt te verwijderen, maar het is onduidelijk of het virus hierdoor volledig is verwijderd. Mogelijk blijft het apparaat ook vatbaar voor nieuwe infecties.

Het expliciete advies van het ncsc-fi is om de nas-systemen niet met het internet te verbinden zonder firewall. Ook wordt het gebruikers aangeraden om wachtwoorden van alle accounts op het apparaat te veranderen, onbekende gebruikersaccounts te verwijderen, de firmware up-to-date te houden, en de Qnap MalwareRemover te installeren. Ook het instellen van een access control list wordt aangeraden. QSnatch is niet de eerste malware die zich op nas-systemen richt. Eerder dit jaar werd bijvoorbeeld de eCh0raix-ransomware ontdekt. Ook Muhstik richt zich specifiek op Qnap-systemen, maar van deze malware zijn de encryptiesleutels gepubliceerd door een gedupeerde hacker. In 2014 werden Synology-nas-systemen getroffen door ransomware.

Reacties (55)

[Brilsmurfffje]

Eigenlijk zou zo een NAS by default moeten werken via een whitelist met SSH keys. Nieuwe apparaten kunnen enkel vanaf een bekend apparaat toegevoegd worden aan de whitelist. Zeker bij een NAS mag je verwachten dat security het uitgangspunt is.

Veel gebruikers kopen een NAS om op een gemakkelijke manier veilige opslag te vekrijgen voor backups en dan overkomt ze dit..

[bbob]

Je nas moet naar mijn mening van buitenaf sowieso niet toegankelijk zijn.

[Punkbuster]

Hier ben ik het helemaal mee eens, mensen die hun Nas van buiten openzetten vragen er om in in deze tijd. Vaak gebruiken ze geen SSL certificaat of hebben ze enig idee van veiligheid.

Ik opper altijd een VPN als ze echt van buiten er bij willen, liefst openvpn met maar 1 port open op de router.

[bbob]

Mijn NAS zet bestanden in 1 richting ook meteen door naar Google Drive. As ik dus bij documenten wil kan dat via google drive. Daarnaast is het een extra backup mocht mijn nas de geest geven of als er een brand is.
voordeel 1 richting via google drive is dat ik gewiste nas bestanden altijd nog op google drive kan terughalen.

[Punkbuster]

Cloudsync can synology kan dit ook. Dat is een mooie feature

[Kiswum]

Als mensen hun NAS als opslag backup gebruiken, dan zijn ze verkeerd geïnformeerd door het handige neefje/tweaker. Het is in eerste instantie een centrale opslagplaats en niet zozeer een locatie voor je backups. Tenzij je de data altijd op een 2e plek hebt staan, dan kan je NAS een backup zijn.

Voor de veiligheid van je data moet je belangrijke bestanden vanaf je NAS automatisch syncen naar een externe locatie/schijf.

[Reactie gewijzigd door Kiswum op 22 juli 2024 23:59]

[lasharor]

Wat is het verschil tussen het maken van een backup op een USB stick of op een NAS?

Ik snap je opmerking niet helemaal...

[Kiswum]

De meeste mensen gebruiken hun nas als enige opslagplaats en niet als backup.
De meeste gebruiken een USB stick als 2e opslag punt of tijdelijke opslag en eigenlijk ook niet snel als backup voor de langere termijn.

Data op stick kwijt is zuur, maar het staat in de praktijk nog ergens anders. Data op nas kwijt, dan ben je het kwijt, doordat het handige neefje de nas inzet als backup. De gebruiker gebruikt de nas in de praktijk als lokale opslag. Data op de laptop wordt naar de nas weggeschreven en foto's van de smartphone worden op de lokale share gezet om ruimte vrij te maken. Nu is de nas de enige plek waar je data staat.

Een usb schijf aan je nas hangen (of nog beter: USB schijf aan de nas van een familielid) is noodzakelijk voor echte backups.

[supersnathan94]

Maar dan is het dus nooit een Backup geweest. Dus gebruiken ze het ook niet als backup ergo wat is je punt?

Je kunt een NAS op twee manieren inzetten. Als centrale opslag en als backup medium.

Een usb schijf aan een NAS bij een familielid als backup is dus precies de reden dat een virus als dit zijn werk kan doen. Zonder Private Tunnel hangt ie dus openlijk aan het internet.

[ErnsTT]

USB schijf bij familielid == veiligste back-up
3.2.1 == veilig
3 kopieën
2 backup
1 backup ander adres

Kan nog veiliger, door verschillend cycli te voeren,
1 keer per half jaar backup naar bankkluis voor mission critical data.
1 x iedere maand, externe vestiging *opslag* of familielid op *ander adres*
1 x per week lokaal (niet echt veilig, wel snel)

Makkelijker turtoise versiebeheer, maar geen idee of dat tijdens C&C niet ook vern*ukt kan worden.

Hoe je een NAS met 48 TB op een USB stick wilt backuppen weet ik niet, maar als je dat kan, kun je miljardair worden met je compressie algorithme 👲

[StGermain]

Bij mij wordt de data op de synology om de paar maanden gesynced met een harde schijf die gaat en komt met mijn dochter. De data op de synology zijn zelf een kopie van de computers In huis. Enige kwetsbare moment is wanneer de back-upschijf zelf in huis is maar dan ben ik er ook.

[Galapogos]

Het zou nog beter zijn om twee usb-schijven te gebruiken voor de off-site-backup bij je dochter. Als de dochter langs komt neemt ze schijf A mee. Deze hang je aan de NAS om de backup bij te werken. Schijf B ligt op dat moment nog veilig bij de dochter in huis. De volgende keer dat de dochter langs komt neemt ze schijf B mee en blijft schijf A thuis, etc.

Verder een prima backupstrategie!

[pnhoman]

Ooit bij een klein bedrijfje een variant hierop gemaakt: één schijf blijft 'thuis', elke nacht wordt daarop op de automaat een backup gemaakt. Daarna 'uit' en 'thuis' schijf wisselen zo vaak als dat praktisch is. De mee te nemen schijf bevat altijd een actuele backup, geen wachttijd op het moment van wisselen.

[Velvus]

Automatisch syncen moet je voor backups ver vandaan blijven als je per ongeluk wat weggooit of een crypto virus gaat los op je sync-folder ben je in 1 keer alles kwijt.

[Kiswum]

Op mijn Synology heb ik versie beheer, waarmee ik enkele versies terug kan van een backup. Dit gaat ongeveer tot 2 / 4 weken terug. Ik verwacht van Qnap dat zij wel hetzelfde hebben.

[Majorbang]

Een backup is per definitie al een tweede opslagplaats, je kan je NAS dan ook prima gebruiken als backup. Dat houdt dus wel in dat je data nog op een andere locatie is opgeslagen.

[RBouwman]

Ik zie nog niemand iets linken naar het Tweakers forum topic hierover, maar dan doe ik het hier ook sinds Tweakers er ook een artikel voor heeft gemaakt. Jammer genoeg kan ik deze niet Sticky bovenaan zetten..

Qnap Qsnatch malware

Hier heb ik ook weer links gezet naar het QNAP forum en een reactie van QNAP zelf met eerste adviezen.

[Reactie gewijzigd door RBouwman op 22 juli 2024 23:59]

[Lord Anubis]

Hoe kan je testen of je geïnfecteerd bent?

[Belsameth]

De QNAP Malware Remover (niet de standaard virus scanner) detecteerd het. Mogelijk moet je wel eerst handmatig je firmware updaten.

[holygame]

Ga naar https://www.qnap.com/en/app_center/ selecteer je NAS en zie Security voor de Malware Remover.

[Belsameth]

Klopt!

[Roywall.e]

Vandaag is er weer een nieuwe versie neergezet. 3.5.4.0 ( 2019/11/02 ) Waarschijnlijk handig om deze ook te installeren.

[Lord Anubis]

Heb ik en werkt. Ook op een oude QNAP die inmiddels geen FW updates meer verkrijgt. Maar de Malware remover loopt natuurlijk altijd achter.

[jurroen]

Als er een x86 of x64 CPU in de EOL NAS zit kun je er mogelijk een ander OS op zetten. Denk aan Linux of BSD.

[3raser]

Het virus steelt onder andere wachtwoorden en voorkomt firmware-updates.

Dat klinkt dan niet echt als een optie.

[Belsameth]

Handmatig een firmware update forceren lijkt te werken in de meeste gevallen.

[Soldaatje]

QNAP MalwareRemover App is prevented from being run

Dan weet je dus dat je geïnfecteerd bent.

[Lord Anubis]

Snap niet dat je gemin 1t wordt. Maar goed. Dat is een mogelijkheid, maar ik weet van voorheen dat Malware remover wel eens niet loopt.

[Atlantis1995]

Ik heb met deze malware of een voorloper daar in februari gedoe mee gehad. Op moment je een Check update firmware uitvoert, dan vindt je QNap geen nieuwe versie. De vervolgstap is dat je de versie van je QNAP vergelijkt met die op de website staat.

[mjl]

Dat updaten van de firmware is nog een dingetje. Bij veel nassen zijn geen updates beschikbaar wegens stabiliteit problemen in de 4.4.1 branch van de firmware. Al maanden geen updates (buiten allerhande beta’s) meer te vinden en downgraden naar 4.3 is niet mogelijk zonder risico...

Verder: NAS niet aan internet hangen (geen enkel apparaat eigenlijk). Gebruik gewoon de vpn functie van je router (en koop Eem goede router als je performance wilt) als je er zo nodig bij moet.

[Reactie gewijzigd door mjl op 22 juli 2024 23:59]

[SinergyX]

De ransomware voegt een .encrypt-extensie toe aan de bestanden en versleutelt die met aes 256-encryptie

Is dit ook nog steeds van toepassing? Waarom zou je hem dan überhaupt nog aan het internet willen hangen?

edit:
Heren hieronder, het gaat mij niet om het 'nut' van een NAS aan internet, het gaat om ALS dit virus nog steeds encryptie op je bestanden gooit (zoals bitlocker), wat dan nog het nut zou zijn om dat ding online te gooien, aangezien je toch niets meer aan je bestanden op dat moment heeft.

Maar zoals @niekdejong ook zegt, de huidige vorm van virus doet geen encryptie meer, enkel een virus als 'slaper' voor een toekomstige C&C.

[Reactie gewijzigd door SinergyX op 22 juli 2024 23:59]

[LeonM]

Omdat veel mensen hun NAS ook wel graag van buitenaf willen bereiken, maar geen kennis hebben om met een VPN te werken.

Tevens zijn er een hoop NAS'en die via uPNP zichzelf blootstellen aan het internet. Als 'handigheidje' voor de minder technische gebruikers.

[SinergyX]

Snap dat ze dat willen, maar ik bedoel, als jouw hele NAS encrypted is, welk nut heb je nog die schijf t bezoeken? Je kan toch niets meer inzien.

[ThijsWTF]

Als je een extern bedrijf inhuurt om je NAS te ontdoen van het virus? Genoeg uses cases te bedenken imho.

[Horatius]

Ik heb een NAS voor mijn vader ingesteld en zou prima weten hoe ik een VPN moet opzetten en gebruiken. Maar het gebruiksgemak voor mijn vader is verschrikkelijk met een VPN.
1. Het lokale netwerk van de bedrijven waar hij komt vinden het vaak niet leuk
2. De upload snelheid is erg traag
3. Het wordt er gewoon slomer van
4. Hij moet elke keer met de VPN verbinden of weer verbreken.

Het ligt zeker niet alleen aan de kennis, maar VPNs perken in op het gebruiksgemak en best wel flink ook.

notitie: Mijn vader is ZZPer en werkt met verschillende bedrijven en beveiligingen. Ook remote desktop omgevingen etc. Dus veel verschillende omgevingen.

[3raser]

Ik gebruik sinds kort Wireguard en de snelheid is prachtig! Dit had ik veel eerder moeten gebruiken in plaats van de standaard VPN server in mijn router. Of je de client makkelijk mee neemt naar klanten durf ik echter niet te zeggen.

[Wim-Bart]

Zit bij klanten waarbij gelijk een security officer bij he bureau Staat wanneer de firewall een connectie naar dropbox, one drive, private nas of andere oplossing detecteert. Ik Zeker met GDPR zijn bedrijven wlals de dood dat er data op externe devices gezet wordt. Zelfs in outlook online wordt de boel gereset wanneer er maar een attachment wordt geupload waar maar een GDPR gegeven in staat. Vervelend bijvoorbeeld wanneer je een word document hebt waar de tekst BSN in staat met een nummer er binnen de x letters er achter.

[AmigaWolf]

Ik heb een NAS voor mijn vader ingesteld en zou prima weten hoe ik een VPN moet opzetten en gebruiken. Maar het gebruiksgemak voor mijn vader is verschrikkelijk met een VPN.
1. Het lokale netwerk van de bedrijven waar hij komt vinden het vaak niet leuk
2. De upload snelheid is erg traag
3. Het wordt er gewoon slomer van
4. Hij moet elke keer met de VPN verbinden of weer verbreken.

Het ligt zeker niet alleen aan de kennis, maar VPNs perken in op het gebruiksgemak en best wel flink ook.

notitie: Mijn vader is ZZPer en werkt met verschillende bedrijven en beveiligingen. Ook remote desktop omgevingen etc. Dus veel verschillende omgevingen.

Heb mijn vader en sus geen last van, die gebruiken ExpressVPN en hoeven maar een druk op de knop te doen en klaar, en me vader weet geen bal van computers en zo, en me sus ook niet veel, en toch is ExpressVPN voor hun super simpel, en me sus zet haar VPN geen eens meer uit, en staat altijd bij haar aan, en zij heb nergens last van, en als ze niet een website kan zien zet ze de VPN op een andere land en whala opgelost, een kind van 10 zou het zelfs kunnen doen zo makkelijk zijn VPN's tegenwoordig, en er gaat bijna geen snelheid af van je internet met een goede VPN.

[Reactie gewijzigd door AmigaWolf op 22 juli 2024 23:59]

[Horatius]

We hebben het hier over een VPN naar het thuis netwerk. Ik heb ook gewoon NordVPN en dat kan elke persoon gebruiken inderdaad maar een VPN naar huis is wat minder makkelijk snel en betrouwbaar.

[AmigaWolf]

Ow ok, dan begreep ik het verkeerd.

[Kroonkurk]

Voor een backup in de "cloud" is een internetverbinding wel handig.

[Yariva]

Van binnen naar buiten ja, niet andersom

[Kiswum]

De stelling van SinergyX was waarom je je NAS aan het internet zou willen hangen. Hij geeft niet aan of het van A naar Z of van Z naar A moet.
O.a. voor backups dus.

[Reactie gewijzigd door Kiswum op 22 juli 2024 23:59]

[Yariva]

Zoals ik het lees bedoelde hij er directe toegang vanaf het internet mee, niet zozeer dat je NAS updates bij de fabrikant moet ophalen. "Aan het internet hangen" / "Aan het internet knopen" etc lees ik meer als "toegang vanuit buiten".

Overigens is het opnieuw een voorbeeld van mogelijke problemen bij consumentenhardware en IPv6.

[niekdejong]

Het QSnatch virus wat nu ontdekt is lijkt niet de bestanden te willen versleutelen, maar eerder in de opbouwende fase van hun botnet met de mogelijkheid om op een later tijdstip alsnog de versleuteling van bestanden toe te passen door middel van een Command-and-Control server.

[Kiswum]

Camera aangesloten aan NAS en op afstand de beelden van je camera kunnen bekijken. Zomaar 1 van de voordelen van een NAS + camera die niet gebonden is aan de leverancier (zoals Nest of Ring).

[Atlantis1995]

Hierbij wordt wel alle data gewist. Sommige gebruikers melden dat een update uit februari 2019 de malware lijkt te verwijderen, maar het is onduidelijk of het virus hierdoor volledig is verwijderd. Mogelijk blijft het apparaat ook vatbaar voor nieuwe infecties.

Hier een QNAP 453 Pro gebruiker. Sinds november/december 2018 kreeg ik geen nieuwe updates meer binnen. De update tool gaf steeds te kennen dat ik al op de laatste update zat. Handmatig heb ik vervolgens een paar settings gewijzigd. Vervolgens kon ik de update van februari 2019 installeren. Dat werkte, echter een toelichting op de update is nooit publiekelijk geworden. Het zou me niet verbazen dat dat verhaal hiermee te maken heeft en QNAP zelf niet goed weet wat de bedoeling van dat virus.

Voorheen was de Qnap publiekelijk vanaf het internet te bereiken. Dat was het moment dat mijn QNAP alleen binnen mijn eigen netwerk bereikt kon worden.

[Anoniem: 551631]

Toevallig gister mee aan het stoeien geweest.

Al het verkeer heb ik nu beperkt tot vanaf 1 ip adres binnen mijn netwerk.

Ik kreeg elke minuut een melding van ongeveer 6 inlogpogingen via de online qnap portal.

Of er nu iets beschadigd is weet ik nog niet aangezien ik momenteel niet in mijn nas kom.
Schijnbaar past mijn netwerk repeater het mac adres aan wanneer ik verbinding heb via de repeater krijg ik niet meer het juiste ip adres toegewezen.

[Atlantis1995]

Je kunt QNAO instellen dat ip adressen automatisch geblokkeerd worden na nn inlogpogingen.

[dezejongeman]

Het valt mij op dat het artikel van qnap een aantal best practises aanraad. Echter wordt niet vermeld hoe het zich verspreid zodat je naast de best practises nog gerichte oplossingen kan implementeren.

[OxWax]

Het valt mij op dat het artikel van qnap een aantal best practises aanraad. Echter wordt niet vermeld hoe het zich verspreid zodat je naast de best practises nog gerichte oplossingen kan implementeren.

"Het is nog onduidelijk hoe het virus wordt verspreid"

[computerjunky]

Klinkt als een gevalletje slechter firmware beveiliging en een gevalletje er heeft weer iemand op een mailtje geklikt met meuk er in.
Of deze dingen zijn zo lek als een vergiet en ze kunnen we van buitenaf op. maar het lijkt me sterk eerlijk gezegd want het vinden van een nas op een web vol ip's is zo makkelijk nog niet.
Veel logischer dat dit van binnen het netwerk komt.

Ik hou het voorlopig wel lekker bij externe schrijven. ik verdom het toch om te betalen voor mobiele data.
Wat een oplichting prijzen zijn dat.

[xnergy]

Bedankt voor dit nieuwsbericht. Schrok er wel van. Niet dat er veel kan gebeuren met mijn bestanden (hopelijk) want ik doe met Kaspersky Total Security backups mappen versleuteld verzenden naar mijn Qnap NAS, en deze verzend het automatisch naar OneDrive (1TB Storage).

Zojuist de NAS geüpdatet, het lijkt erop dat ik niet ben geïnfecteerd. Kan dit ook zijn doordat ik al mijn verkeer via een VPN laat verlopen vanuit mijn router?

[ThaStealth]

Het advies aan eigenaren van Qnap-systemen is om de systemen voorlopig niet met het internet te verbinden zonder firewall

Als je dit wel doet (ook na een eventuele patch) dan vraag je ook zelf erom om je data kwijt te raken.