Faille piratage LOCKME

[yra]

Bonjour,

J'ai un NAS sur lequel tourne 2 disques en RAID qui me sert de sauvegarde. il vient d'être piraté par un ransomware (LOCKME).

Le NAS me servant uniquement de stockage, rien de particulier installé dessus, usage occasionnel (mais données stockées de valeur!). les ports HTTP et HTTPS sont redirigés sur ma box (pas sur le port 80).

D'après le journal de log du nas, le hacker se fait identifier pour SYSTEM et commence par changer le mot de passe admin, il se log ensuite sous admin, change le nom et l'IP du nas et crypte TOUT le contenu...

l'assistance synology dit que ce n'est pas de sa faute et qu'il ne vendent que du matériel (effectivement...) et ne peux rien pour moi... Mais les hackers semblent quand même rentrer facilement...

Si quelqu'un a un retour d'expérience je suis preneur! le but n'étant pas de retrouver du matériel sain, mais les données perdues 

 

 

[Einsteinium]

Quelle belle arrivée sur le forum... ton message est aussi complet... que ta présentation absente... donc pour le moment difficile de rebondir sans savoir ton modèle de nas, ainsi que sa version logiciel... Mais je dirais que ton nas n’était pas à jour pour commencé...

Sinon, tes données sont perdues sans la clef de chiffrage... maintenant tu parles de nas de sauvegarde... donc cela veut dire que tu as toujours les données ? (Enfin moi c’est ce que je comprends en lissant)

[unPixel]

Bonjour,

En effet, quelle entrée en matière... Et puis à part la faille qu'il y avait sous une version de DSM 4 si mes souvenirs sont bons, ça se saurait si il y avait une grosse faille qui permettrait à quelqu'un de faire ce que tu décris yra !

Sans compter que ceux qui ont été impactés à l'époque étaient des personnes qui n'avaient pas mit à jour leurs versions de DSM car cette faille avait été bouchée avant qu'elle soit exploitée.

Tu ne te présentes pas non plus alors on ne sait pas de quel NAS tu parles, quelle version de DSM etc...

Déjà, tu parles de compte "admin", ça fait un moment que le compte "admin" est désactivé par défaut sur DSM et il est vivement recommandé d'ailleurs de le laisser désactivé et d'utiliser son propre compte avec un login personnel !

Citation

Le NAS me servant uniquement de stockage, rien de particulier installé dessus, usage occasionnel (mais données stockées de valeur!).

Tu parles de  données de valeurs. Quelle type de données ? Parce que certaines données ne devraient pas être sur un NAS connecté au réseau...

 

Citation

les ports HTTP et HTTPS sont redirigés sur ma box (pas sur le port 80)

Pas compris... Je dois être fatigué, je sais pas. Que veux-tu dire stp ?

 

Citation

l'assistance synology dit que ce n'est pas de sa faute et qu'il ne vendent que du matériel (effectivement...) et ne peux rien pour moi... Mais les hackers semblent quand même rentrer facilement... 

Euhhh, non désolé, autant j'ai pas mal de choses à reprocher à Synology mais question sécurité, ils sont pas mal du tout ! Encore une fois et crois moi, si il y avait de bons exploits sur DSM, ça ferait un bail que tu lirais dans l'actualité informatique que DSM n'est pas sûr et que des "hackers" rentrent facilement sur les serveurs.

 

Citation

Si quelqu'un a un retour d'expérience je suis preneur! le but n'étant pas de retrouver du matériel sain, mais les données perdues 

Tu n'avais pas de sauvegardes ? Tu parles pourtant de données de "valeurs"...

Je pense surtout que le soucis se situe entre le fauteuil et l'écran 🙄

Tu devrais suivre le tuto de Fenrir à l'occasion afin d'apprendre à sécuriser ton NAS. Lien ci-dessous :

 

 

[Brunchto]

Citation

 

les variantes de lockme ont l'air récentes (02/2018). par contre, je n'ai pas trouvé de version "linux".

ce ne serait pas ton PC qui est vérolé? plutôt que le syno