Pomoc Masowe ataki na QNAPy?

[maks87]

Jak już ze dwa dni temu pisałem na czacie, od kilku dni znowu występują chyba jakieś zmasowane ataki na QNAPy. Z fb wynika, że nawet komuś tam poszyfrowało dane, a na czasie @Silas Mariusz coś wspominał o dużej ilości tego typu zgłoszeń.
W administracji mam trzy QNAPy, wszędzie mam publiczny i stały adres IP. Urządzenia nie są zarejestrowane w myqnapcloud, a na każdym z nich jedynym "publicznym" punktem styku jest serwer OpenVPN (na zmienionych portach) a więc na routerze następuje przekierowanie tego portu na QNAPa.
Na wszystkich urządzeniach uruchomiony QuFirewall i to właśnie z niego zrzuciłem sobie statystyki ilości blokowań.

Wygląda to tak jak na poniższym wykresie:
- lokalizacja A (między 20 a 30 grudnia była w ogóle odcięta od internetu) - w dniach 1-5 stycznia widać wzrost, następie skok 6 stycznia
- lokalizacja B - tutaj wyraźnie widać wzrost 25 grudnia, liczba utrzymuje się na stałym poziomie do 4 stycznia, potem 6-7 stycznia nic, 8 stycznia pik a 9 stycznia bardzo mała liczba
- lokalizacja C - tutaj cały czas pomijalne wartości, nie widać żadnych ataków

Pamiętając sytuację z wiosny 2021, czy tym razem znowu musimy się czegoś bać, czy mając zastosowane zasady o których wtedy było głośno (m.in. brak dostępu do myqnapcloud, wyłączone konto admina itd) można spać spokojnie?

 

[Usunięty użytkownik pigers]

jeden czort

 

[Sheldon Sherman]

A czy orientujecie się koledzy jak to jest u konkurencji? np S, jest bezpieczeniej? ataki rzadziej, czy nie ma znaczenia producent Nas-a i jego oprogramowania?

Tak wygląda Malware szyfrujący, uruchamia się jako:

/tmp/arm -s /share

Widzisz argument poniżej?

 

[Arkadiusz]

Tak wygląda Malware szyfrujący, uruchamia się jako:

/tmp/arm -s /share

Pokaż załącznik 39037

Widzisz argument poniżej?

widzieć widzę ale nic z tego nie rozumiem wytłumaczysz?

 

[vatazhka]

Z powyższego wynika, że dany malware zaprojektowano do działania również na urządzeniach S.

Jednak należy rozdzielić dwie sprawy: malware najpierw musi dostać się na urządzenie, żeby zadziałać. Ja powyżej starałem się udowodnić, że w przypadku QNAP malware ma ułatwione zadanie w odniesieniu do typowych serwerów linuxowych ze względu na problemy z jakością oprogramowania QNAP i wewnętrzną architekturą QTS. Jak to jest w przypadku S - nie wiem, nie oglądałem, jak to jest w ich produktach rozwiązane.

Możesz sobie "na szybko" porównać ilość i kategorie znalezionych dziur w produktach QNAP i S, przy podobnie popularnych rozwiązaniach może to posłużyć do wyrobienia sobie opinii.

 

[Arkadiusz]

Z powyższego wynika, że dany malware zaprojektowano do działania również na urządzeniach S.

Jednak należy rozdzielić dwie sprawy: malware najpierw musi dostać się na urządzenie, żeby zadziałać. Ja powyżej starałem się udowodnić, że w przypadku QNAP malware ma ułatwione zadanie w odniesieniu do typowych serwerów linuxowych ze względu na problemy z jakością oprogramowania QNAP i wewnętrzną architekturą QTS. Jak to jest w przypadku S - nie wiem, nie oglądałem, jak to jest w ich produktach rozwiązane.

Możesz sobie "na szybko" porównać ilość i kategorie znalezionych dziur w produktach QNAP i S, przy podobnie popularnych rozwiązaniach może to posłużyć do wyrobienia sobie opinii.

gdzie mozna to znaleźc i porównać? a problem w Qnapie dotyczy tylko QTS czy Hero też?

 

[Arecki87]

S mniej ataków co za tym idzie mniej popularne. Z tego co kojarzę to dopiero od niedawana wprowadzili 2FA

 

[Arkadiusz]

S mniej ataków co za tym idzie mniej popularne. Z tego co kojarzę to dopiero od niedawana wprowadzili 2FA

No ale może mniej ataków bo bardziej zabezpieczone? faktyczie Qnapów jest dużo więcej niż S na świecie?

 

[vatazhka]

Popularność trzeba wziąć z opracowań, np.:
Top 5 products in the Data Storage Hardware market Network Attached Storage (NAS) Market Size, Share & Report, 2027

Z powyższych opracowań wynika, że S i QNAP mają w biznesie podobny udział (Tutaj warto poszukać opracowania dla interesującego cię segmentu, np. małych i średnich przedsiębiorstw.).

Potem porównujesz ilość dziur:
S : Products and vulnerabilities
Qnap : Products and vulnerabilities

Uwaga: musisz sobie pooglądać bliżej szczegóły, bo gdy interesują Cię NAS-y, to zwykle nieistotne będą dla ciebie np. dziury w routerach tej samej firmy (Najprawdopodobniej tworzą je zupełnie inne zespoły, korzystające z innych praktyk.):
S : Security vulnerabilities
Qnap : Security vulnerabilities

Możesz też sobie poczytać o metodyce "wyceny" podatności CVSS, żeby zbadać poszczególne ich aspekty - to już trochę bardziej zaawansowany aspekt:
What is CVE and CVSS | Vulnerability Scoring Explained | Imperva

 

[maks87]

że jeszcze Cię nie zeskanowali

Czyli kwestia czasu
Z trzech QNAPów ze stałym publicznym IP którymi zarządzam, dwa adresy w ogóle się nie znajdują na tej stronie. A trzeci adres mi pokazuje z informacją o otwartym porcie 80. I to niestety jest prawda, ale to taka polityka ISP, dają swój router, dla mnie w ogóle blokują dostęp (więc nawet nie mogę zmienić nazwy wifi, hasła etc) a jednocześnie otwierają do niego dostęp z zewnątrz na porcie 80.

Przy okazji pytanie: jak można najlepiej samemu "przeskanować" swoje porty aby sprawdzić co jest widoczne z zewnątrz?

 

[vatazhka]

Przy okazji pytanie: jak można najlepiej samemu "przeskanować" swoje porty aby sprawdzić co jest widoczne z zewnątrz?

Najlepiej puścić sobie pełen skan z innego adresu, ale dla pojedynczych portów TCP można użyć np. TCP port checker

 

[Ice]

nmap -sT <ip>

 

[maks87]

Po zmianie reguł w QuFirewall (dopuszczenie 0.0.0.0) liczba blokad przez QuFirewall spadła do pojedynczych sztuk. Ale ostatniej nocy w ciągu godziny było ich ponad 1 tysiąc:

W QuFirewall mam ustawione automatyczne przechwytywanie przez 30 minut po przekroczeniu progu 30 eventów.

No i zapisał się plik, a w środku tylko trzy rekordy:

Chyba to trochę to dziwne, że tylko 3 próby tutaj się pojawiły?
Dodatkowe pytanie: port 6881, z tego co sprawdziłem rtorrent i download station. Tego pierwszego nie mam zainstalowane, drugie mam. Mam się czego obawiać?

Połączono posty: 19 Styczeń 2022

nmap -sT <ip>

Ale jak to zrobić pod Windowsem?
Ściągnąłem stąd Download the Free Nmap Security Scanner for Linux/Mac/Windows ale zarówno w GUI jak i w cmd pojawia się błąd:

Jakiś pomysł co jest nie tak?

 

[Ice]

maks, jak kojarzę to Ty masz całkiem niezłą maszynę? zrób sobie VM z debian netinstall i będziesz miał świetnego linucha, z którego będziesz mógł pracować. 2c/4gb ramu, tylko instalacja konsoli, bez środowiska graficznego.

 

[maks87]

Ale wiesz jaki jest problem: brak wiedzy na temat linuxa
A prawdę mówiąc to chyba nawet niedawno testowo uruchomiłem ubuntu linux station aby zobaczyć co to jest. Ale mnie zmobilizowałeś, jak nie w tym to jakaś VM z linuxem i będzie można działać. Ale przygotuj się wtedy na dużo lamerskich pytań

A wracając do nmapa, to ponowna instalacja na Windowsie jakiejś starszej wersji dała rezultat. Tzn. narzędzie działa, ale jeszcze go nie rozgryzłem co jest co.

 

[Ice]

nmap -sT xxx.xxx.xxx.xxx na linuxie i leci skan

 

[Silas Mariusz]

Dodatkowe pytanie: port 6881, z tego co sprawdziłem rtorrent i download station. Tego pierwszego nie mam zainstalowane, drugie mam. Mam się czego obawiać?

Port DHT. Wymiana publicznych torrentów.

 

[maks87]

No dobra, to co to oznacza, że na porcie 6881 ktoś próbuje się do mnie dobić?
Bo od wczoraj od godzin porannych zdecydowany wzrost odrzuceń w QuFirewall.

W ostatnich 24 godzinach ponad 26tys!

W pcapach widać przeróżne adresy:

 

[jerry1333]

Przestań używać publicznych trackerów albo zezwól na komunikację na porcie 6881 albo wyłącz wymianę perów i DHT.

 

[maks87]

Ale ja w ogóle z torrentów nie korzystam.

 

[Damian]

A Download Station?