Компанія QNAP вивела з ладу сервер, що стоїть за атаками грубої сили

Як інформує bleepingcomputer.com, компанія QNAP вжила заходів для блокування шкідливого сервера, який використовувався в розповсюджених атаках методом грубої сили, націлених на підключені до інтернету пристрої мережевого зберігання даних (network-attached storage, NAS) зі слабкими паролями.

Тайванський виробник обладнання виявив ці атаки ввечері 14 жовтня та в співпраці з компанією Digital Ocean усього за два дні успішно знешкодив командно-контрольний сервер, який керував ботнетом, що складався із сотень інфікованих систем.

Команда QNAP з реагування на інциденти, пов’язані з безпекою продуктів (Product Security Incident Response Team, PSIRT), швидко відреагувала, застосувавши різні методи для захисту своїх клієнтів. Протягом 7 годин її учасники оперативно заблокували сотні IP-адрес зомбі-мереж за допомогою QuFirewall, ефективно захистивши від майбутніх атак численні NAS-пристрої QNAP, підключені до інтернету. Протягом 48 годин вони також визначили джерело сервера керування та контролю (Command & Control, C&C) і разом із Digital Ocean заблокували його, запобігши подальшій ескалації ситуації.

Щоб захиститися від майбутніх атак і вберегти свої пристрої, QNAP закликає клієнтів дотримуватися заходів безпеки, зокрема змінити номер порту доступу за замовчуванням, деактивувати переадресацію портів на маршрутизаторах і вимкнути UPnP на NAS-пристроях. Украй важливо використовувати надійні паролі для облікових записів, впроваджувати політики паролів і деактивувати обліковий запис адміністратора, який часто стає мішенню для подібних атак.

QNAP надає докладні інструкції щодо реалізації цих захисних заходів у своєму посібнику з безпеки, зокрема щодо відключення облікового запису «admin», встановлення надійних паролів для всіх облікових записів користувачів, оновлення мікропрограми та застосунків NAS від QNAP, встановлення й активації програми QuFirewall, а також використання служби ретрансляції myQNAPcloud Link для запобігання виходу NAS в інтернет.

Стенлі Хуанг, керівник команди PSIRT QNAP, підкреслив, що компанія прагне оперативно реагувати на подібні атаки: «Ця атака сталася на вихідних, і компанія QNAP швидко виявила її за допомогою хмарних технологій, визначивши джерело атаки та заблокувавши його. Що не тільки допомогло користувачам NAS QNAP уникнути шкоди, але й захистило інших користувачів систем зберігання даних від впливу цієї хвилі атак».

QNAP постійно попереджає своїх клієнтів про необхідність бути пильними щодо атак методом грубої сили, спрямованих на пристрої NAS, оскільки такі атаки нерідко призводять до інцидентів із вимаганням викупу. Кіберзлочинці часто націлюються на NAS-пристрої для викрадення чи шифрування цінних даних або встановлення шкідливого програмного забезпечення, що викрадає інформацію. Ці пристрої часто використовуються для резервного копіювання й обміну конфіденційними файлами, що робить їх привабливими цілями для зловмисників.

Компанія QNAP вже мала справу з такими атаками на свої пристрої, як-от DeadBolt, Checkmate і eCh0raix, які використовували вразливості в системі безпеки для шифрування даних на NAS-пристроях, підключених до інтернету. Інший тайванський виробник пристроїв мережевого зберігання даних, Synology, у серпні 2021 року попередив своїх клієнтів про постійні атаки методом грубої сили на їхні NAS-пристрої, які можуть призвести до зараження вірусом-вимагачем і часто ініціюються ботнетом StealthWorker.