Malver napada QNAP NAS uređaje, ažurirajte ih!

Više od polovine inficiranih uređaja je u Evropi.

05 Aug 2020

Malver napada QNAP NAS uređaje, ažurirajte ih!

Američka agencija za sajber i infrastrukturnu bezbednost (CISA) u saradnji sa nacionalnim centrom za sajber bezbednost Velike Britanije (NCSC) izdala je upozorenje na opasnost od QSnatch malvera. Svi QNAP NAS uređaji su potencijalno ranjivi ukoliko nemaju instalirane najnovije bezbednosne zakrpe. Do sada je QSnatch zarazio na hiljade ovih uređaja širom sveta, a najviše u Severnoj Americi i Evropi. Poseban problem kod inficiranih uređaja je što napadači mogu onemogućiti administratore da pokrenu neophodna ažuriranja.

Kampanje

CISA i NCSC su identifikovale dve QSnatch malver kampanje. Prva trajala od 2014. do sredine 2017, dok je druga počela krajem 2018. i trajala je tokom čitave 2019. godine. Upozorenja se odnose na drugu, noviju kampanju. Važno je znati da infrastruktura koju su napadači koristili u obe kampanje trenutno nije aktivna, ali pretnja po neažurirane uređaje i dalje postoji.

Nisu poznati ciljevi niti akteri koji stoje iza QSnatch operacije, ali se radi o relativno sofisticiranom malveru. Sredinom juna registrovano je oko 62.000 zaraženih uređaja širom sveta, a više od polovine njih se nalazi u Evropi.

CISA - QNAP NAS

Slika 1. Globalna rasprostranjenost zaraženih QNAP NAS uređaja. Izvor slike: CISA.

Vektor infekcije još uvek nije identifikovan, ali čini se da napadači ubacuju malver u firmware uređaja tokom faze infekcije, sa malicioznim kodom koji se naknadno pokreće na uređaju i koji ga kompromituje. Zatim koriste algoritam za generisanje domena (DGA) da uspostave C2 kanal koji periodično generiše veći broj domenskih imena za C2 komunikaciju, koristeći sledeći HTTP GET zahtev:

HTTP GET https[:]//[generated-address]/qnap_firmware.xml?=t[timestamp]

Funkcionalnosti QSnatch malvera

Analiza je otkrila sledeće funkcionalnosti:

CGI password logger. Instalira lažnu verziju admin stranice za prijavu na uređaj, obavlja uspešnu autentifikaciju i šalje vas na legitimnu stranicu za prijavu.
Izvlači kredencijale.
SSH backdoor. Omogućava napadaču izvršenje proizvoljnog koda na uređaju.
Izvlači podatke. QSnatch krade fajlove sa unapred utvrđene liste koja uključuje konfiguraciju sistema i log fajlove. Podatke kriptuje javnim ključem napadača i preko HTTPS-a šalje na njihovu infrastrukturu.
Webshell funkcionalnost za udaljeni pristup.

Trajno prisustvo

Malver obezbeđuje trajno prisustvo tako što sprečava instaliranje ažuriranja na zaraženim QNAP uređajima. Napadač modifikuje host fajl sistema, preusmeravajući ključna domenska imena koja NAS koristi za detekciju zastarelih verzija tako da ažuriranje ne može biti instalirano.

Mitigacija

Kao što smo gore pomenuli, kada je uređaj inficiran, gotovo je nemoguće pokrenuti ažuriranje. Zbog toga je veoma važno da ne dozvolite kompromitovanje. Organizacije koje i dalje koriste ranjive verzije QNAP NAS uređaja bi trebalo da urade kompletan reset na fabrička podešavanja pre firmware ažuriranja kako bi bile sigurne da je ranjivost uklonjena.

Uobičajene provere kojima se utvrđuje da li su najnovija ažuriranja instalirana i dalje važe. Da biste sprečili ponovnu infekciju, ova preporuka važi i za prethodno inficirane uređaje sa kojih je malver uklonjen.

Za sprečavanje QSnatch infekcije, CISA I NSCS preporučuju sledeće:

Ažurirajte QTS na najnoviju dostupnu verziju.
Instalirajte i ažurirajte Malware Remover na najnoviju verziju.
Instalirajte i ažurirajte Security Counselor na najnoviju verziju.
Ažurirajte instalirane QTS aplikacije na najnovije dostupne verzije iz App centra.
Konfigurišite sledeća podešavanja za podizanje bezbednosti:

Promenite admin lozinku.
Promenite lozinke ostalih korisnika.
Promenite QNAP ID lozinku.
Koristite jaču database root lozinku.
Uklonite nepoznate i sumnjive naloge.
Omogućite IP zaštitu i zaštitu pristupa nalogu kako biste sprečili brute-force napade.
Onemogućite SSH i Telnet konekcije ukoliko ne koristite ove servise.
Onemogućite Web Server, SQL server ili phpMyAdmin aplikacije ukoliko ih ne koristite.
Uklonite nepoznate, sumnjive i aplikacije koje neispravno funkcionišu.
Izbegavajte default portove poput 22, 443, 80, 8080 i 8081.
Onemogućite Auto Router Configuration i Publish Services i ograničite kontrolu pristupa u myQNAPcloud.
Pretplatite se na bilten o QNAP bezbednosti.

Dodatni saveti:

Proverite da li ste QNAP uređaj nabavili od proverenog dobavljača. Ukoliko sumnjate, pokrenite kompletan fabrički reset na uređaju pre firmware ažuriranja. Dodatne preporuke o bezbednosti infrastrukturnih mrežnih uređaja možete pronaći na ovom linku.
Blokirajte eksterne konekcije kada se uređaj koristi striktno za interno skladište.