勒索软件eCh0raix早在2019年以来就一直活跃,并以攻击NAS产品而著称。当时安全公司Intezer和Anomali的专家就发现了针对网络附加存储(NAS)设备的勒索软件样本。

NAS产品是黑客的特权目标,因为它们通常存储大量数据。勒索软件针对的是QNAP(威联通)制造的保护不力或易受攻击的NAS服务器,攻击者利用已知漏洞或进行暴力攻击。

该勒索软件被Intezer跟踪为“QNAPCrypt”和Anomali的“eCh0raix”,是用Go编程语言编写的,并使用AES加密来加密文件。恶意代码将.encrypt扩展名附加到加密文件的文件名。

今年5月,QNAP警告客户,威胁攻击者正在利用Roon Server零日漏洞,用eCh0raix勒索软件攻击其NAS设备。而安全专家也观察到 ,4月19日至26日期间eCh0raix勒索软件感染报告激增。在同一时期,威联通还警告其用户AgeLocker勒索软件攻击爆发。

2019年,Anomali研究人员还报告了一波针对Synology NAS设备的eCh0raix攻击,攻击者使用了暴力攻击。

近日,Palo Alto Networks的Unit 42的研究人员发现了一种新的eCh0raix变体,有史以来第一次支持同时攻击上述两家供应商的NAS设备。

“Unit 42研究人员发现了一种针对Synology网络附加存储(NAS)和Quality Network Appliance Provider (QNAP) NAS设备的eCh0raix勒索软件的新变种。为此,攻击者还利用CVE-2021-28799向QNAP设备提供新的eCh0raix勒索软件变体。”报告指出:“虽然eCh0raix是已知的勒索软件,它历来在不同的活动中分别针对QNAP和Synology的NAS设备,但这个新变种是我们观测到的,首次具备同时攻击QNAP和Synology NAS设备的功能,这表明一些勒索软件开发人员正在继续投资优化针对(SOHO居家办公环境中常见设备的工具。”

根据Cortex Xpanse平台的数据,目前约有25万台QNAP和Synology NAS设备暴露在互联网上。

攻击背后的勒索软件团伙利用QNAP NAS中的 CVE-2021-28799漏洞来访问它们,同时暴力攻击目标Synology NAS设备。

上周,Synology警告客户,StealthWorker僵尸网络正在进行暴力攻击,试图植入勒索软件。

一旦设备受到威胁,攻击者就会将其用于僵尸网络,用于针对Linux系统(包括Synology NAS)的攻击。

缓解建议:

  • 更新设备固件以防止这种性质的攻击。有关针对 CVE-2021-28799更新QNAP NAS设备的详细信息,可以访问QNAP网站;

  • 创建复杂的登录密码,使攻击者更难进行暴力破解;

  • 仅通过可识别IP的硬编码列表限制与SOHO连接设备的连接,以防止用于向设备传送勒索软件的网络攻击。

声明:本文来自安全牛,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。