Dyskusja Qlocker - atak na Qnapy

[Ice]

Pany, na dzień dzisiejszy aktualizacja jest ważna -> trzeba robić.

VDR czytałeś o zainfekowanych syno itd?

 

[dilbercik]

dzis na jednym z nas powitalo mnie...

 

[Esc]

Nie było mnie pare dni, ale przeczytałem cały wątek od mojego ostatniego wpisu.
Do tej pory nie zgadza mi się wiele co Qnap oficjalnie napisał - a więc wierzyć iż niebezpieczeństwo minęło jest bezpodstawne i to zwykła głupota. Chyba, że Qnap co innego pisze a co innego łata - bo przecież nikt z nas tego nie wie.

Jeszcze raz przypomnę, iż miałem przypadek aktualnego oprogramowania, wraz z poprawkami z 16.kwietnia - a jednak dysk zaszyfrowany, o dziwo i na szczeście jeden - systemowy. Niestety nowy zaktualizowany MalwareRemover (ten juz po ataku) 4.6.1.1 z 23.kwietnia nic nie wykrył - co utwierdza mnie w przekonaniu ze Qnap dalej nic nie wie. Jak juz tez wspomnialem nie bylo uruchamiane czy korzystane z HBS3 ale tez nie zostal on odinstalowany. Na samym urzadzeniu w ogole procz virtualek nie wiele dziala. Ale no wlasnie. Byl wlaczony myqnapcloud jako ddns i bylo upnp oraz standardowy 8080 reszta a takze dzialajacy wbudowany OpenVpn. Reszta praktycznie powylaczana. Dodam ze tu nie ma co mowic o haslach srednich czy slabych bo w tym przypdku mogli by je lamac tak samo jak ja teraz ich moge.

Troche się zloszcze bo ludzie tu rozne rzeczy pisza. Np. porownują ten sprzet do linuxa i fama niesie. Owszem to jest oparte na linuxie ale nie do konca ma duzo wspolnego z czystą dystrybucja. Jest nagrzebane, nakombinowane i wlasnie cholera co odkryte. Sam stawiałem i utrzymywałem sporo serwerow na bądz czym slacware, ubuntu, debianie czy dawniej redhacie i nigdy nie bylo tyle luk, nigdy nie bylo tyle wlamow, czy az takich wlamow. Nawet na starszych dystrybucjach. A tu potem ktos pisze ze mozna bylo sie spodziewac dziur bo na linuxie.

Na koniec mysle tez ze tak jak w przypadku kolegi ktory wystawil teraz na probe sprzet - to teraz nie zadziala - mysle ze atak juz minal i jakis czas nie wroci. Byla fala i przeszla.

 

[dilbercik]

ja tez mysle ze co innego qnap łatał... to co bylo zrodlem ataku... dziury w apkach to tylko dodatek. qnap wystawiony nadal nie zaatakowany...

 

[SiewcaRyżu]

może się boją ? xD

podejrzewam że skończył się atak i tyle

 

[Cid]

Nie było mnie pare dni, ale przeczytałem cały wątek od mojego ostatniego wpisu.
Do tej pory nie zgadza mi się wiele co Qnap oficjalnie napisał - a więc wierzyć iż niebezpieczeństwo minęło jest bezpodstawne i to zwykła głupota. Chyba, że Qnap co innego pisze a co innego łata - bo przecież nikt z nas tego nie wie.

Jeszcze raz przypomnę, iż miałem przypadek aktualnego oprogramowania, wraz z poprawkami z 16.kwietnia - a jednak dysk zaszyfrowany, o dziwo i na szczeście jeden - systemowy. Niestety nowy zaktualizowany MalwareRemover (ten juz po ataku) 4.6.1.1 z 23.kwietnia nic nie wykrył - co utwierdza mnie w przekonaniu ze Qnap dalej nic nie wie. Jak juz tez wspomnialem nie bylo uruchamiane czy korzystane z HBS3 ale tez nie zostal on odinstalowany. Na samym urzadzeniu w ogole procz virtualek nie wiele dziala. Ale no wlasnie. Byl wlaczony myqnapcloud jako ddns i bylo upnp oraz standardowy 8080 reszta a takze dzialajacy wbudowany OpenVpn. Reszta praktycznie powylaczana. Dodam ze tu nie ma co mowic o haslach srednich czy slabych bo w tym przypdku mogli by je lamac tak samo jak ja teraz ich moge.

Troche się zloszcze bo ludzie tu rozne rzeczy pisza. Np. porownują ten sprzet do linuxa i fama niesie. Owszem to jest oparte na linuxie ale nie do konca ma duzo wspolnego z czystą dystrybucja. Jest nagrzebane, nakombinowane i wlasnie cholera co odkryte. Sam stawiałem i utrzymywałem sporo serwerow na bądz czym slacware, ubuntu, debianie czy dawniej redhacie i nigdy nie bylo tyle luk, nigdy nie bylo tyle wlamow, czy az takich wlamow. Nawet na starszych dystrybucjach. A tu potem ktos pisze ze mozna bylo sie spodziewac dziur bo na linuxie.

Na koniec mysle tez ze tak jak w przypadku kolegi ktory wystawil teraz na probe sprzet - to teraz nie zadziala - mysle ze atak juz minal i jakis czas nie wroci. Byla fala i przeszla.

To ja mam drugiego Q TS-251, podłączony na neozdradzie - wiadomo, co tam trzeba mieć skonfigurowane, żeby mieć dostęp z zewnątrz... Update'y robię rogularnie i mnie nic nie dotknęło na nim. MR na obu w tym samym czasie wykrył i usunął xtrasy z HBS i.... to wszystko w temacie

 

[lolo]

podejrzewam że skończył się atak i tyle

No nie wiem, u mnie cały czas: "Denied access to 1 098 265 packets in the last 24 hours." i to pomimo dodatkowego firewalla na routerze.
Na razie trzymam się dzielnie, backupy porobione, Qnap czysty.

 

[Ice]

Pokaż co tam masz na routerze w firewallu w logach. Bo jak masz na QuFirewallu Denied access to 1 098 265 packets in the last 24 hours to znaczy, że przez router przechodzą jak przez niewidzialną ścianę.

 

[dilbercik]

Pokaż co tam masz na routerze w firewallu w logach. Bo jak masz na QuFirewallu Denied access to 1 098 265 packets in the last 24 hours to znaczy, że przez router przechodzą jak przez niewidzialną ścianę.

moze PC byc posrednikiem... tak w sumie.

 

[Ice]

Niezbadane są infrastruktury sieciowe ziomków. Ale mimo wszystko logi z routera były by pomocne. Bańka strzałów to sporo.

 

[lolo]

Nie wiem jak zgrać z routera plik z logami. Ale w GUI ma takie info:
IPs Banned 40405 Ranges Banned 1731 Inbound Blocks 2161 Outbound Blocks 98
IP głównie z Holandii i Ukrainy sporo z USA i z 10% reszta świata

 

[Ice]

Masz możliwość blokowania po lokalizacji?

 

[SiewcaRyżu]

w sumie powieniem zacząć być faszystom!

co ma QFirewall wspólnego z QLockerem ? nic !
myśle że pora ukarać QNAPa za nieudolne narzędzia, wszelkie zapytania o QFirewall proszę kierować do helpdesku - od tego momentu nie pomagam z QFirewallem!

 

[lolo]

Masz możliwość blokowania po lokalizacji?

Nie wiem, zainstalowałem 2 może 3 tygodnie temu jak zaczęły się lawinowe, nieudane próby logowania na Qnapie. Ktoś mi tu polecił Skynet na Asusa.
Skynet - Skynet - Router Firewall & Security Enhancements

 

[Ice]

Jutro piszę do Ubi, jak dadzą przedstawicielstwo to polecę Ci router, taki co działa i blokuje ;P

 

[badziewiak]

Jutro piszę do Ubi, jak dadzą przedstawicielstwo to polecę Ci router, taki co działa i blokuje

A nie wystarczy zwykły tp-link na gargoyle/openwrt?

 

[lolo]

Jutro piszę do Ubi, jak dadzą przedstawicielstwo to polecę Ci router, taki co działa i blokuje

Ja od pewnie 10 lat jestem fanem Asusa, nigdy mnie nie zawiódł więc nie widzę powodów aby zawieść jego. umny:Tym bardziej, że mnie Qlocker nie dopadł, być może, że właśnie dzięki Asusowi i jego AIProtection od Trend Micro plus dodatkowemu firewallowi SKYNET. Już sama nazwa wzbudza postrach

 

[Ice]

Ty jesteś w tym mocny, więc możesz więcej powiedzieć. Ja się bawiłem w openwrt i poszedłem w inną stronę, ale widziałem, że jesteś na forum eko one (też tam jestem;p) i to lata, więc -> jesteś ekspertem.

1. 
   Tak
   3 głos(ów)
   13,0%
2. *
   Nie
   19 głos(ów)
   82,6%
3. 
   Kilka
   1 głos(ów)
   4,3%
   
   To odpowiedź na pytanie odnośnie ataku. Wiem, że nie wszyscy ale chyba nie było tak źle.

Sprzęt wystarcza, dopóki ktoś się nie przedostanie do sieci lub jesteś nieświadomy tego, że ktoś tam buszuje. Ja z racji wygody idę na łatwiznę, bo skończyły mi się czasy, żeby grzebać 24/dobę w sprzęcie, poprawiać cudować. Biorę gotowca, działającego i mam w nosie wszystko. Poza tym (mogę się mylić) ale Gargoyle to L4, a Ubi oferuje już L7. Nie chcę z tego sprzętu robić bóstwa czy coś, ale jest to taki entry level next-gen router. Pewnie będzie do czasu aż ktoś pobuszuje i będę szukał nowego ;p

 

[dilbercik]

Ale UBI juz tez zaliczylo wpadke...

 

[Ice]

Pewnie, że tak i będzie. Dlatego nie traktuję ich jako wyroczni, ale sprzęt jest w porządku. Dziś ziomki stojący po drugiej stronie barykady są lepsi i sprytniejsi -> więc są na pool position.
BTW -> taki chyba mały lifehack. Czy macie logmana? Jeżeli Ci co się poszyfrowali, mieliby, to od razu byłoby wiadomo, że coś nie jest nie tak.
How-To - Logman Collector - Monitorowanie aktywności serwera (Gadu-Gadu lub Log4Net/nLog)