Sicherheit von DSM

[Chris_81]

Hallo,
ich habe einen Freund der hat auf meine Empfehlung eine DS-918+ gekauft und sein Backup (1 Server, 6 PCs landen) da drauf. Der hat sich jetzt - wie auch immer - einen Trojaner eingefangen. Soweit ja noch nichts besonderes. Allerdings ist das was mich erschreckt das diesmal auch das NAS komplett verschlüsselt ist. Das hätte eigentlich nicht passieren dürfen.
Hier die Fakten: Es gibt keine gemappten Shares. Das Backupprogramm (Acronis und Veeam) haben die Daten für die Shares im Programm gespeichert. Dafür wird ein extra (nicht Admin) User benutzt. Der Admin Account ist deaktiviert, dafür gibt es einen anderesnamigen Account. Als ich heute raufgeguckt habe, waren Alle User wieder aktiviert (auch Guest) und hatten Rechte für alle Shares. Ich hatte nur Pakete installiert die aus dem Sysnology-Appstore kommen. Das Passwort für den Admin Account hatte 8 Zeiochen mit üblichen Groß, Klein, Zahl, Sonderzeichen. Der Zugriff kam vermutlich von innen, denn der Hersteller der Branchensoftware hat den RDP-Port auf Standard nach außen aufgemacht. Der hat mir auch erzählt das ein Kunden von denen das auch schon einmal hatten, auch mit einer Sysnology NAS.
Wie um alles in der Welt hat da der Angreifer Zugriff auf die NAS bekommen? Die IP ist ja einfach, aber alleine der Admin-Account ist ja nicht so einfach herauszubekommen.
Hat das schon jemand aders erlebt / gehört?
Besonders erschreckend: Patchstand ist aktuell (DSM 6.2.3-25426). Also wenn ich die jetzt "reinige" und neu aufsetze muss ich ja Angst haaben dass so etwas auch bei einem Angriff von außen möglich ist.

 

[Skyfay]

Hmm ich gebe halt dem Admin schonmal keine Rechte und schaue dass ich ein Langes Passwort habe weil natürlich der Name Admin für einen Hacker die erste Anlaufstelle ist denke ich.
Dazu ist das Passwort von Admin ein Generiertes 32 Zeichen lang und mein eigenes dann auch bestimmt 18 Zeichen.

Naja sonnst halt so wenige Ports wie möglich offen haben und ev mit VPN arbeiten...

 

[Chris_81]

Hmm ich gebe halt dem Admin schonmal keine Rechte und schaue dass ich ein Langes Passwort habe weil natürlich der Name Admin für einen Hacker die erste Anlaufstelle ist denke ich.

Darum habe ich ja auch den Admin deaktiviert. Schrieb ich ja. Aber selbst bei dem Passwort 1234 muss man erst mal den Usernamen herausbekommen den ich zum Admin gemacht habe - aber wie?

 

[Puppetmaster]

Wer sich wo wann wie eingeloggt hat sollte das Log aber preisgeben.

 

[Aevin]

Hi Chris,

das sind erst einmal unschöne Dinge die du da beschreibst.
Was ich jetzt vermute ist, einer der 6 PC's hat sich wohl den Trojaner eingefangen. Derjenige hat wahrscheinlich verknüpfte Laufwerke mit Ordnern der DS eingerichtet? Damit konnte sich der Trojaner auch auf der DS austoben und verschlüsseln.

Wurde denn die gesamte NAS verschlüsselt?

 

[Chris_81]

Keiner der PCs hatte einen Share. Die NAS ist nur für das Backup und wurde komplett verschlüsselt.

 

[Chris_81]

Wer sich wo wann wie eingeloggt hat sollte das Log aber preisgeben.

Das hatte ich schon gesucht aber erst nicht gefunden. Durch deinen Hinweis habe ich noch mal geschaut. Ich glaube ich habe die Ursache entdeckt. Wenn ich die NAS in die Doamin einbinde scheint sie Admin-Konten auch als Admin für die NAS zu nehmen. Kann das jemand bestätigen? Das hatte ich so nicht auf der Uhr.
Der User auf der mutmaßlich kompromittierten Maschine hat sich nämlich verbunden und auf die Shares zugegriffen.

 

[Aevin]

Wenn du den Domain - Admin nicht auch abgeschaltet hast, ist der aktiv. Ich habe den in meiner Domain deaktiviert und schalte den nur kurz zu, wenn ich neue PC's einfüge.

 

[Fusion]

Active Directory und Domain Admins sind Ziel Nummer Eins im Windows Netz.

Und auch wenn shares nicht eingebunden sind, solange sie existieren und auf dem PC ein Benutzer existiert der kompromittiert werden kann für die Zugangsdaten... Tor offen.
Mit ein Grund wieso Lösungen mit pull-backups arbeiten. Da holt sich der Server das Backup vom Client und auf dem Client müssen keine credentials hinterlegt sein und der Backup Server hat auch sonst keine Dienste im Angebot.