Daten auf NAS durch Kriminellen verschlüsselt!!
-
Gesundes Neues Jahr allerseits
ich habe folgendes Problem:
Einen Tag nach dem Heiligen Abend würden meine beiden Synologis NAS + 2 Externe Festplatten von einem Hacker verschlüsselt so dass ich meine Daten nicht mehr sehen und auch nicht mehr nutzen kann. Sie haben von mir ein Lösegeld in Höhe von knapp 5000€ verlangt. Natürlich ist das für mich ein Geldbetrag den ich erst mal auf meinem Konto gerne haben möchte.
Ich denke, dass es sich bei dem Angriff um Ransomware handelt.Sollte jemand sich damit auskennen, dann bitte gerne melden ich bin für alle Vorschläge dankbar.
Jedenfalls ich kann keine iobroker Backups auf meinen NAS mehr machen und hab das auf intern umgeleitet (opt/iobroker/backups) das kostet aber Speicherplatz. Bis ich dahinter gekommen bin, dass ich das auch auf Google Drive oder OneDrive machen kann.
Meine Frage ist wie kann ich die Backups von intern löschen und auch deaktivieren?
Vielen Dank und ich würde mich über Eure Antworten sehr freuen. -
@krisiun
Du bist dir hoffentlich bewusst dass du da Ransonware auf einem (oder wahrscheinlich auf allen) deinen PCs hast.Ich würde also zunächst mal absolut kein Backup an dein Netz bringen solange da noch irgendwas läuft das nicht 200% gechecked wurde oder noch besser vollständig neu installiert wurde.
-
@mcm1957
Ich habe meinen Laptop schon mit BitDefender und Ransomware durchsucht. Da ist nichts. Außerdem das ist nur meine Vermutung dass es sich da um Ransomware handelt -
@mcm1957
Ich würde eher behaupten die Synology war durch QuickConnect im Internet erreichbar? -
@shadowhunter23
ja aber auch wenn schon das bring mich jetzt auch nicht weiter. Ich suche nach Lösungen
Der war über QueckConnect im Netz aber das kann ich jetzt leider nicht rückgängig machen.
Jetzt ist der komplett OFF
Und wie kann ich die Backups von opt/iobroker/backups löschen und verhindern dass neue erstellt werden? -
Nutzt du denn den BackitUp Adapter?
Dann den einfach deaktivieren
-
@krisiun das ist der Standard Backup Ordner und kann nicht gelöscht werden. Wenn du kein Backup über CIFS oder NFS machst, landen die Backups immer dort
-
Danke. Wie ich schon gesagt habe werden die Backups auf GoogleDrive und OneDrive bei mir gespeichert. Das ganze so lange bis ich den Synology nicht neu aufgesetzt habe. Meine Frage war wie ich die Backups in der Verzeichnis opt/iobroker/backups löschen und weitere verhindern kann?
-
@simatec sagte in Internes Backup Verzeichnis Löschen:
@krisiun das ist der Standard Backup Ordner und kann nicht gelöscht werden. Wenn du kein Backup über CIFS oder NFS machst, landen die Backups immer dort
Das muss aber eine Lösung geben um die interne Backups zu stoppen und zu löschen.
Wenn mein Synology mal wieder läuft dann möchte ich die ganzen Backups von intern los werden um mein speicher zu schonen -
Ich habe hier im Forum das gefunden aber das funktioniert bei mir leider nicht
sudo rm -rf /opt/iobroker/backups/* -
@krisiun sagte in Internes Backup Verzeichnis Löschen:
Wenn mein Synology mal wieder läuft dann möchte ich die ganzen Backups von intern los werden um mein speicher zu schone
So wird nur eins behalten:
-
@shadowhunter23
Vielen Dank. Aber ich denke das ist nicht die Lösung nach der ich gesucht habe.
Bei mir wird momentan ein iobroker backup auf GoogleDrive , OneDrive erstellt. Und das ist OK solange mein Synology noch nicht läuft. Aber zusätzlich wird noch ein Backup auch noch intern also im Verzeichnis opt/iobroker/backups erstellt und eben das möchte ich löschen und weitere Backups in diesen Verzeichnis verhindern. Also löschen will ich nur in diesen Verzeichnis erreichen nicht auf googledrive oder onedrive? -
@krisiun
Dafür gibt es jeweils eine Einstellung:
Ich sichere nur per FTP und dort bleiben alle erhalten und im Ordner/opt/iobroker/backups ist eins vorhanden.
-
Ich glaube ich habs geschafft. Unter Local gibts keine Backups mehr zu finden. Ich bin mir nur nicht sicher ob die fertigen Backups auch wirklich gelöscht sind.
-
Sollte noch jemand wissen wie man verschlüsselte Festplatte entschlüsseln kann dann bitte, bitte meldet Euch mal bei mir.
-
-
@shadowhunter23
ja super. Aber soviel Geld habe ich nicht. Selbst wenn ich es hätte hast du keine Garantie dass du den Schlüssel auch wirklich bekommst. Das sind doch Verbrecher und da zählt nur das Gewinn und weiter nichts -
Mir bleibt nichts anderes übrig als die Festplatten zu formatieren und die beiden Synologys zurück zu sätzen.
Es seiden weiß noch jemand andere lösung? -
Leider hab ich da auch keine Lösung.
Je nach Synology Modell gibts ein paar Massnahmen die man VORHER setzen kann um das Risiko zu minimieren.
a) Einrichten von Snapshots
Das kostet kaum Platz, das Erstellen geht extrem rasch und man kann ziemlich rasch zurücksteigen.
Allerdings nutzt dies nur solange der Bösewicht nicht direkt auf der Synology rumwerken kann und die Snapshots z.B. löschen kann. Solange er z.B. nur einen PC infiziert hat, kann er nicht via SMB die Snapshots löschen. Und solange der SMB User nicht Admin auf der Synology ist, nutzt ihm der User auch nichts.
b) Hyperbackup versioniert in die Cloud
Solange der Bösewicht die Cloudzugangsdaten nicht hat - was er theoretisch aus der Hyperbackupconfig rausholen kann - kann er diesem Backup nichts anhaben.
c) Offline backup
Ich erstell für die wichtigsten Daten alle 3 h einen Snapshot und schreib alle 3h ein Hyperbackup auf eine externe Disk an der Synology. Täglich gibts ein Backup in die Cloud und monatlich ein offline Backup (2 Disken alternierend). Das Cloud Backup wird täglich nochmal auf nen zweiten Account kopiert - per pull vom zweiten Account. Die Logindaten des 2. Cloud Accounts sind daher nirgends auf der Synology oder meinen PCs zu finden.
Ich hoff dass es damit eher schwierig wäre die wichtigen Daten zu verschlüsseln. Allerdings würde der Verlust der weniger wichtigen Daten auch schmerzen und alles in die Cloud ist bei mehreren TB nicht (privat) finanzierbar.
-
@krisiun
Keine Lösung garantiert - aber lies dir das mal durch:
https://www.heise.de/tipps-tricks/Ransomware-So-entfernen-Sie-Verschluesselungs-Trojaner-3907507.html
