QNAP社のNASを狙うランサムウェア(Qlocker)について
Qlockerが流行中
幸いにも私の家のTS-251Dは感染していないようですが、QNAPのNASを狙うランサムウェア Qlockerが流行中のようです。
色々なフォーラムの情報をみてまわってみたのですが、どうやら
・Multimedia Console、Hybrid Backup Syncが使用しているSQLの脆弱性をついて感染
・一度感染すると、7zのパスワード付き圧縮機能を使って、NAS内部のファイルを次々に暗号化していく。
という動きをしているようです。
・ファームウェアを最新版に更新する。
・Multimedia Console、Multimedia Streaming Add-on、Hybrid Backup Syncを最新版に更新する
・Malware Removerを実行する
・webUIのポートをデフォルトの8080から変更する。
といった対応が必要なようです。
万が一感染してしまった場合は・・・？
万が一感染してしまった場合、ご自分のファイルが次々に".7z"ファイルとなっていくようなので、そのあたりの挙動から感染してしまっていることがわかるようです。
また、まだ暗号化が進行中の状態であれば、7zファイルに細工をすることで、パスワード付き圧縮処理の「パスワード」を入手することができるようです。
その方法は、こちらのサイトに書かれており、下記コマンドを実行するとのことです。
要するに、
#!/bin/shecho $@echo $@ >> /mnt/HDA_ROOT/7z.lognsleep 60000
という内容の7z.shスクリプトを作成。実行権を追加したのち、オリジナルの7zファイルと差し替える。
差し替えられたのちの7zコマンドは、実行された時の引数をすべて7z.logファイルに保存する。(かつ、nsleepが入っているので、暗号化処理を遅らせることができる？？)
※通常、コマンドを実行するときには、
7z filename -p パスワード
という形でパスワードを設定するので、ランサムウェアが7z圧縮時に指定しているパスワードを取得してやろう。というアプローチですね。
この方法でQlockerが7zコマンドを実行する際に使用しているパスワードがわかれば、すでに圧縮されてしまったファイルもそのパスワードで解凍できそうです。
万が一にも感染してしまった場合は、落ち着いて、こちらの内容を試されるといいかと思います。
将来的にありそうなこと
今回は、7zという外部コマンドを実行しているようなので、このような方法でパスワードを入手することができそうですが、将来的にはランサムウェア自身が7z圧縮ルーチン自体を内包してしまう可能性があります。このような場合は、今回のようにパスワードを入手することはできません。
とはいえ、おそらく7zのライブラリをリンクする形でランサムウェアのバイナリとなるはずなので、objdumpや、hexdumpを使って、バイナリ内部で7zの圧縮関数を呼び出している部分の引数を確認する、といったような方法で、解凍用のパスワードを入手することはできそうかな・・・？と思います。
また、バイナリをリンクするような形になれば、逆にポータビリティ(感染力)は落ちるかと思います。すなわち、ARM機種でしか動作しないようになる。とか、そういうこと。
他社のNASは安全なのか？？
今回、たまたまQNAPのNASが狙われたものと推測します。
やはり、ワールドワイドで見てもシェア(実稼働台数)が多いですので、開発した方法で、より多くの機種を攻撃できる可能性がある。という攻撃者にとっては美味しい状況があります。
これが、日本国内のNASベンダーであるバッファロー、アイ・オー・データ、エレコムや、同じく海外勢のNASとして有名なSynologyだと、稼働台数も知れているので、狙っても仕方がない。という事情があるのでしょう。
また、過去には日立さんもWindows PCがWannacryの被害にあってますので「Windowsなら安心」ということもなさそうです。
結局のところ
やはり重要なのは、
・万一に備えてバックアップを取っておく
・ファームウェア、OS、アプリケーションは、常に最新バージョンを使用する
といった普段の対策を行っていくことが重要なのだと考えます。
感染してしまい、ヘルプが必要な方
もし、感染してしまってヘルプが必要そうでしたら、Twitterなどでご連絡いただければ、何等かアドバイスできるかもしれません。
お気軽にご連絡ください。
コメント
コメントを投稿