Vorsicht - Download Station pingt nach draußen

[Recalion]

Hallo Zusammen,
womöglich ist hier Vorsicht geboten. Meine Unifi History meldet "Intrusion Prevention" am Synology NAS Port seit dem 6-Dez-25. Seitdem über 130 Incidents.
Ich habe keine Downloads offen und das Problem tritt plötzlich auf.

DS716+II
DSM = Version: 7.3.1-86003 Update 1
Download Station Version: 4.1.0-5005

Start: Dec 6, 2025 at 01:21:23
Event Type: Threat Detected and Blocked
Policy Type: Intrusion Prevention
Signature: ET P2P BitTorrent DHT ping request
Source: Synology NAS, Port 6881

Incidents: >130

Ziel, diverse Länder:
South Korea, many from China, Malaysia, Australia, USA, Sweden, Lithuania, Austria, etc.

Ich habe jetzt die App gestoppt und damit hörten auch direkt die Einträge auf.

Ansonsten hatte ich am Donnerstag noch den UGreen 2,5 GbE USB-A Adapter installiert mit der Software von https://github.com/bb-qq/r8152.
Theoretisch kann auch hier ein Zusammenhang bestehen.

 

[stealthT]

Ok. Ich verlinke an der Stelle auch mal auf den anderen Faden:

https://www.synology-forum.de/threads/angriff-nach-update.140603/

Ich hatte anfangs bei mir nur "Detection" an. Erst später auf "Detect und Block" umgestellt. Meinst du, dass ist jetzt ein Problem?

 

[maxblank]

Meldet das bitte per Ticket trotzdem an Synology.
Nur so wird das Problem dauerhaft gelöst werden. Danke euch.

 

[Recalion]

Wenn Du die Download Station aktuell nicht nutzt, würde ich diese deaktivieren, bis das Problem behoben wurde.
Ich vermute, dass sich Schadcode eingeschlichen hat.
Denn es ist merkwürdig, dass das nach draußen telefonieren erst am 6.12. nachts anfängt, so als ob es geplant ist, während das Paket schon ein paar Tage früher aktualisiert wurde.
Ich habe auch keine Downloads laufen, so dass es keinen Grund für die Aktivität gibt.
Genau um so etwas direkt zu verhindern, habe ich im Unifi die Firewall auf Blocken stehen und nicht nur warnen. Ich schaue da nicht jeden Tag rein.
Grundsätzlich läuft die Download Station nach draußen über Port 6881. daher würde ich den Port nicht grundsätzlich schließen.

 

[stealthT]

Ja. Wird an Synology gemeldet.

Wie gesagt: Habe in Unifi die Einstellungen angepasst. In Zukunft wird dann direkt automisch geblockt. Wieder was dazu gelernt.

Ansonsten hatte und habe ich keine Ports offen! Einzig allein die "Download-Station-App" installiert. Aber ungenutzt und keine Rechte vergeben.

Seit ca. 2 Stunden ist Ruhe. Also Problem gelöst. Bleibt jetzt nur zu hoffen, dass keine weitergehenden Probleme eingesickert sind.

 

[Recalion]

Ich habe eine Sicherheitsmeldung an Synology Support gesendet.

 

[maxblank]

Danke euch

 

[senderversteller]

Da die Download Station kein Paket ist, was ich regelmäßig benutze, hab ich dieses nun erst einmal gestoppt und bin gespannt, was Synology dazu sagt.

 

[DaveR]

Download Station version 4.1.0-5005 also has a bug where completed downloads no longer show the completed date and time.
https://www.reddit.com/r/synology/comments/1pe2y3e/download_station_newly_completed_torrents_no/

 

[Recalion]

Ein weiteres Problem ist die Abhängigkeit von Python2, welches auch nicht mehr taufrisch ist.
Ich habe jetzt Download Station und Python2 sicherheitshalber deinstalliert, da ich deaktivierter Download Station das Python2 weiter lief und ich weiterhin den ein oder anderen suspicious Eintrag hatte. Werde weiter beobachten.

Zudem habe ich bei der Gelegenheit den Kernel-Schutz aktiviert.

 

[plang.pl]

Zudem habe ich bei der Gelegenheit den Kernel-Schutz aktiviert.

Was ist das und wo aktiviert man das?

 

[Recalion]

Was ist das und wo aktiviert man das?

Systemsteuerung > Sicherheit > Erweitert
Kernel Page-Table Isolation aktivieren (hilft vielleicht etwas, da die Kernel auf den Versionen bis x18 auf Version 4.x laufen und auf meiner x16 sowieo davor auf 3.x - und damit steinalt sind)

 

[DaveR]

Systemsteuerung > Sicherheit > Erweitert Kernel Page-Table Isolation

Which Synology NAS and DSM version do you have?

My DS1821+ with DSM 7.3.1 and DS925+ with DSM 7.3.2 do not have a "Kernel Page-Table Isolation" option.

 

[Recalion]

Which Synology NAS and DSM version do you have?

See first post, DS716+II

 

[Ronny1978]

@DaveR : I think, the option "Enable Spectre and Meltdown Protection ...." is meant, isn't it?

 

[DaveR]

Thanks @Ronny1978 Looking at https://www.synology.com/de-de/security/advisory/Synology_SA_18_01 I see that "Enable Spectre and Meltdown Protection" implements up to 4 things, depending on the Synology model (CPU arch).

1. array_index_mask_nospec
2. minimal ASM retpoline
3. Kernel Page Table Isolation (KPTI)
4. Indirect Branch Prediction Barrier (IBPB)