DSM 6.x und darunter Hacker Angriffe auf synology und qnap

[mördock]

Schon gehört?
Schon betroffen?
https://www.ifun.de/synology-warnt-vor-koordinierten-hackerangriffen-140714/

https://m.facebook.com/1593349060924080/posts/2417135181878793

#Mördock#

 

[NSFH]

ist nur ein Bot der bruteforce versucht.
Ist also kein gezielter Angriff auf eine Systemschwachstelle in der hard- oder Firmware.
Wer keinen "Admin" mehr nutzt und ein gutes Passwort hat dem passiert auch nichts.
Geoblocking sollte sowieso in der Firewall laufen.

 

[Kurt-oe1kyw]

Vielen Dank für die Info mördock, ich für mich persönlich bin davon mit Sicherheit eher weniger betroffen da ich den "admin" von Anfang an immer deaktiviert habe, ich brauche den meist nur für ein paar Minuten wenn ich auf der Konsole als "root" etwas machen möchte und dazu muss der "admin" aktiv sein. Zusätzlich läuft auch noch die 2FA und damit bin ich bisher ganz gut zurecht gekommen.

Als um deine 2 Fragen zu beantworten:
Schon gehört? - NEIN, erst durch dieses Thema hier darauf Aufmerksam geworden
Schon betroffen? - Nein, siehe erster Absatz oben.

 

[Archi_74]

Selbst mit aktiviertem Admin-Konto sollte man mit aktiviertem Konto-Schutz (Block nach x-fehlgeschlagenen Loginversuchen) auf der sicheren Seite sein.

 

[mördock]

Der langjährige Anwender weiß sich zu schützen. Ich möchte aber lieber nicht wissen wie viele ihre ds mehr oder weniger ungeschützt ins Netz stellen.

#Mördock#

 

[dennip]

Ich möchte aber lieber nicht wissen wie viele ihre ds mehr oder weniger ungeschützt ins Netz stellen.

wenn man sich im syno subreddit umschaut, dann sind davon sehr viele unterwegs.

 

[mördock]

Gerade auf heise.de gefunden: Interessanterweise verzichtet die Ransomware laut Anomali auf die Verschlüsselung, wenn sie feststellt, dass sich das NAS in (Weiß-)Russland oder der Ukraine befindet.

Gibt es in Russland nichts zu erpressen?

https://www.heise.de/security/meldung/QNAP-und-Synology-warnen-vor-Malware-Angriffen-auf-schlecht-gesicherte-NAS-4477214.html

#Mördock#

 

[Kurt-oe1kyw]

Auf der anderen Seite sind es aber genau diese Themen und Beiträge hier wie dieser, welche den Anfängern und Beginnern die diversen Möglichkeiten aufzeigen wie man sich mit wenigen Einstellungen schon mal 90% der unerwünschten "Besucher" auf Distanz halten kann.
Im DSM funktioniert das übrigens ausgezeichnet mit der Begrenzung nach x Fehlversuchen nach y Minuten und die "Besucher" landen entweder für immer oder nach Zeit eingestellt auf der internen Blacklist der DS und die lässt dann gar keine "Anfragen" mehr zu von dieser IP.
Man sollte sich nur irgendein zweites Gerät bereithalten falls mal aus Spieltrieb, Hektik oder Unwissenheit man selbst auf der Blacklist landet..... dann ist es gut einen anderen Clienten bei der Hand zu haben mit welchem man sich selber wieder von der Blacklist der eigenen DS entfernen kann. So aus eigener Erfahrung mal heraus

 

[Karle]

Die Blockierung der IP's geht wunderbar ... ich habe fast jeden Tag eine die auf der Liste landet.

Gruß

Karl

 

[Fusion]

@mördock - vermutlich wollen sie sich nicht aus Versehen das eigene NAS verschlüsseln. LOL.

 

[blurrrr]

Erst garnicht ohne VPN ins Netz und feddich is die Laube... der Bequemlichkeit wegen gibt's unter iOS direkt intergriert VPN-on-Demand, soll unter Android auch mithilfe von irgendwelchen komischen Tools möglich sein (oder vllt gibts das auch schon integriert, ich bin da nicht so auf dem laufenden...). Wer kein VPN nutzt vertritt meiner Meinung nach auch eher so einen Standpunkt wie "Nö, ich mach meine Haustür weder zu, noch schliess ich sie ab, ich will ja ohne Aufwand rein und raus gehen können". Da grade in den letzten Jahren die NAS-Systeme ein beliebtes Angriffsziel geworden sind, würde ich da eh nichts mehr direkt ins Netz stellen (ausser es steht in einer DMZ).

Problematisch sind da glaube ich eher die Werbeversprechen und zig Custom-Paketquellen, welche unbedarfte Leute blind ins Messer laufen lassen (komprimitierte Repos (ganz generell) gabs ja nun in den letzten Jahren auch einige)

Das mit der IP-Sperre/fail2ban ist ja auch eine ganz nette Geschichte, wird allerdings spätestens dann problematisch, wenn ein ganzes Botnet dran ist, welches aus Millionen von Hosts besteht.. dann schwillt zum einen die Liste der blockierten IPs enorm an, zum anderen kann auch erstmal ganz ordentlich was an Passwörtern ausgetestet werden. Geoblocking sollte da aber schon enorm Abhilfe schaffen und fail2ban ist ja sowieso nie verkehrt. Sinnvoll sind auch immer sehr lange Passwörter (random), aber davon will ja eh nie wer was wissen, weil die einfach blöd zu merken sind

 

[Puppetmaster]

VPN ist auch kein Allheilmittel. Das wurde auch schon an vielen Stellen diskutiert hier. Oft ist es einfach nicht zweckmäßig, wenn man z.B. eine Webseite betreibt.

Gute Ratschläge sind schon nicht verkehrt. Ist halt aber auch immer viel Panikmache dabei.

 

[NSFH]

Leider hilft geoblocking nur bedingt.
Wenn man sich die IPs ansieht, über welche mal Penetrationsversuche liefen waren es (weil nur D zugelassen ist) auch nur IPs von Proxyservern/VPN Übergängen in D.
Auch Hacker nutzen sowas, die gehen selten mit ihrer eigenen IP auf Dummyfang.

Leider gibt es Anwendungen, die mehr freie Ports als die für VPN benötigen. Da hilft nur eine gute Firewall und sowas gibts nur in guten Routern und gute Router kosten Geld und sind nicht von z.B. AVM........

 

[blurrrr]

Jo, haste vollkommen Recht mit... Meine läuft auch nicht bei mir, sondern extern. Wird zwar bald umgezogen (ist dann auch "bei mir"), aber eben nicht "privat" und erst Recht nicht auf einem NAS, wo mitunter auch noch private Daten lagern Aber so ist das halt derzeit... Geiz ist geil und wenn sich da 1,50€/Monat sparen lassen, riskiert man doch gern alles andere

 

[Kurt-oe1kyw]

Sinnvoll sind auch immer sehr lange Passwörter (random), aber davon will ja eh nie wer was wissen, weil die einfach blöd zu merken sind

Keepass bzw. Keepass 2
Du musst dir genau ein einziges PW merken und alles ist gut.

 

[blurrrr]

Jop, ist hier auch schon seit zig Jahren im Einsatz

 

[megakeule]

In diesem Zusammenhang: Nutzt hier jemand QuickConnect und dessen Reverse Proxy Funktion?
Da kann man die Büchse ja wohl auch gleich direkt offen ins Netz stellen oder seht ihr da sicherheitstechnisch einen Unterschied?

 

[DKeppi]

Ich verwende zwar den Standard admin (mit 2 Faktor Authentifizierung) und habe auch ein paar Ports für LetsEncrypt/Webstation/Cloudstation/Plex offen, aber DSM Login geht nur mittels VPN.
Alle Attacken (ich habe täglich irgendwelche auf Joomla und dergleichen) blockt meine Ubiquiti USG ab

 

[Matthieu]

Da kann man die Büchse ja wohl auch gleich direkt offen ins Netz stellen oder seht ihr da sicherheitstechnisch einen Unterschied?

Einen Vorteil haben Reverse Proxy: Für IP-Scans sind die daran angebundenen Geräte/Webseiten erst einmal nicht sichtbar, ebenso Portscans. Man braucht im Normalfall den DNS-Namen um weitergeleitet zu werden.

MfG Matthieu

 

[NSFH]

Ja aber das lässt sich mit einigen deepscans und Beobachtung des proxyverkehrs schnell feststellen und dann ist die Büchse ziemlich ungeschützt.
Wenn reverseproxy dann NICHT mit der Syno!