SynoLocker TM - Daten auf NAS gecrypted worden durch Hacker

[BesterKunde]

Ich würde gerne eine Schadensbegrenzung durchführen. Kennt jemand eine gute Möglichkeit unverschlüsselte Dateien auszusortieren ohne jede einzelne Datei testen zu müssen?

 

[Frogman]

Erster Ansatzpunkt könnte das Datum der Datei sein - wie berichtet wurde, erhält eine verschlüsselte Datei einen aktuellen Zeitstempel.

 

[BesterKunde]

Vielen Dank! Gute Idee. Schönes WE

 

[rumknapser]

Hallo miteinander,

gibt es schon irgendwelche veröffentlichungswürdigen Erkenntnisse von den Analysten oder Beobachtern des SynoLocker, oder denjenigen, die mal analysieren wollten?

Oder geht das eher im täglichen Wahn unter?

 

[m3t4]

Hallo zusammen,

es gab ja gerade ein FW Update:

Version : 5.0-4528 (2014/10/22)

What’s New
This hotfix includes all bug fixes as well as security fixes in the previously released critical updates since DSM 5.0-4458.
This hotfix will remove the current known malware on your Synology NAS
Quelle: https://www.synology.com/en-global/releaseNote/DS214

Was bedeutet das genau bzw. wie verhält sich das mit einer von SynoLocker infizierten Synology?

Viele Grüße

 

[amarthius]

So wie es da steht. Die Malware wird entfernt. Was allerdings nicht gleichbedeutend ist mit verschlüsselte Dateien werden wieder entschlüsselt.

 

[m3t4]

Ja, das steht da. Allerdings steht da nicht, wie genau man hierzu vorgeht - dazu bin ich zu sehr Anfänger.


Ich checks nicht;
Ich hatte mir den Synolocker eingefangen (entsprechender Screen bei Zugriff über Webfrontend, Festplatte schön am arbeiten). Als ich dies zufällig (ich nutzte das FE sehr selten) bemerkt habe, habe ich die DS direkt vom Netz genommen, ausgeschaltet und ne ganze Weile liegen lassen.
Jetzt erst habe ich mich daran gemacht die DS wieder operabel zu machen:
Habe die Platten gezogen, per Synology Assistant das Setup gemacht / aktualisiert (hierbei auch wieder die alten platten unverändert eingesetzt).
Jetzt läuft die DS scheinbar normal.

Was ich nicht verstehe, per Stichprobe habe ich verschiede Dateien geöffnet. Bisher bin ich noch auf keine verschlüsselte gestoßen. Wie kann ich denn nun herausfinden was vom Synolocker verschlüsselt wurde?

Grüße

 

[borg2k]

geht wohl am besten über das Datum, die verschlüsselten Files haben das Datum von dem Tag wo du die DS vom Netz genommen hast.

 

[m3t4]

Danke. Hat wohl doch einiges erwischt : ) Verschlüsselung lief scheinbar 13 Tage lang auf meiner DS213+ Ergebnis ca. 35% der Dateien verschlüsselt (Anzahl) bzw. nur ca. 2% an Daten (80GB von 5TB).

Alle Dateien mit Datum ab 03.08. bis 16.08. -> hab sie gelöscht...

 

[borg2k]

Da war es dann ausnahmsweise mal eher von Vorteil eine der nicht ganz so schnellen DS'en zu haben, bei 13 Tagen finde ich 80GB noch relativ wenig.