News Manipulierte Hosts: NAS-Systeme von QNAP mit unbekannter Malware infiziert

[Wilhelm14]

Laut News ist x86 bestätigt, andere Architekturen aber nicht ausgeschlossen. Wegen ARM würde ich mich nicht auf der sicheren Seite fühlen.

Ob alle NAS-Systeme von QNAP unabhängig ihrer Architektur potentiell betroffen sind, ist noch nicht bekannt. Sicher ist aber, dass x86-basierte Systeme gefährdet sind.

 

[Coenzym]

Meine Nas ist trotz allem im Internet erreichbar. Muss immer wieder von extern auf Daten zugreifen und schaue auch manchmal Videos (selbst 4k geht), zb im Urlaub.
Sehr praktisch.

 

[arktom]

Ich finde es etwas bedenklich, wie hier alle wild um sich schmeißen, die Dinger würden nicht ins Netz gehören. Sorry, aber das zeugt nicht von technischer Kompetenz.

Per DNAT natürlich nicht! So sollten sie nicht ins Netz!
Per z. B. Webserver Protection und gesicherter Verbindung, sieht das anders aus.

 

[FranzvonAssisi]

Wenn der Hersteller das so bewirbt hat es auch so zu funktionieren.
Das Gerät als eigenen Cloudspeicher nutzen zu können ist eines der Kernfeatures dieser Geräte.

Funktionierts ja auch. Auf der anderen Seite steht der Wunsch möglichst alles machen zu können. Daher ist nicht alles von vornherein sicher.

Die Nutzer stört das natürlich nicht und klicken sich durch die Menüs ohne zu bemerken, was sie im Hintergrund alles für Sicherheitslücken öffnen.

Meine Nas ist trotz allem im Internet erreichbar. Muss immer wieder von extern auf Daten zugreifen

Klar, ist ja auch vollkommen okay, wenn man halt weiß, was sicher ist.
Du hast ja sicherlich nicht die Samba-Ports offen, oder?


Ihr könnt es ja einfach Mal ausprobieren (BITTE NICHT!):
Installiert euch Xampp und lasst es auf alle Anfragen antworten.
Öffnet Port 80 für euren PC.

Mit ziemlicher Sicherheit habt ihr nach ein paar Minuten nem Coinminer oder ähnliches drauf, je nach Scanner findet der vielleicht auch ne andere Lücke und zack, weg ist euer Rechner

Das eknzige, was man Qnap vorwerfen kann ist, finde ich, dass sie nicht schnell genug darauf eingehen, aber jetzt war ja auch gerade Wochenende und bis die den Fehler finden, kann es halt auch Mal ne Weile dauern.

Lg

 

[MidwayCV41]

Wie wär es dann mit dem Support von QNAP?
Die können dir sicherlich auch verraten, wie du herausfindest, ob du betroffen bist.

Lesen bildet. QNAP äussert sich nicht zu dem Thema und lässt die Nutzer im Regen stehen.

 

[corvus]

Und genau deswegen baue ich selber 😅

Und wenn die Selbstbau NAS ins Netz hängst? Das eine hat mit dem anderen doch überhaupt nix zu tun...
Rest wurde ja schon gesagt: NAS nur per VPN erreichbar machen, ansonsten noch 2FA nutzen und halt auch aufpassen, was man da noch für Apps installiert.

 

[fdsonne]

Was wäre besser? VPN direkt über VPN-Router statt Portweiterleitungen durch den Router auf VPN im NAS oder Raspberry Pi?

Wäre eine mögliche Lösung - ob das "VPN" deines/eines Consumer Routers taugt, muss jeder selbst entscheiden. Mit nem RasPi und bisschen Bastelarbeit geht das aber defakto. Paar kleine Herausforderungen werden möglicherweise in Sachen Routing aufkommen - hier hilft dann ein besserer Router, der bspw. auf der privaten Seite statische Routen händeln kann.

Wenn der Hersteller das so bewirbt hat es auch so zu funktionieren.
Das Gerät als eigenen Cloudspeicher nutzen zu können ist eines der Kernfeatures dieser Geräte. Wer einfach nur Netzwerkspeicher brauch kann sich blöd gesagt auch einfach eine externe Platte an die Fritzbox klemmen. Bis auf Raid erfüllt die fast den gleichen Zweck.

Es funktioniert ja wie beworben - ich sehe nirgends den Umstand, dass eine 100% Sicherheitsgarantie seitens der Hersteller gegeben wird.
Der Einsatz solcher "Funktionen" im Internet wo sich jedes Scriptkiddy dran versuchen kann ist damit schlicht und ergreifend ein Risiko, was jeder für sich selbst abschätzen kann - und vor allem auch tun sollte!

Sofern der Hersteller (nicht wie hier) keine Scheise baut, dürften diese Fertig-Systeme auch wesentlich sicherer sein, als die vom elitären Freizeit Computerbild-Admin eingerichteten Selbstbaulösungen, die nach dem nachklicken eines Tutorials jahrelang keinerlei Updates mehr sehen.

Was heist denn bei dir "keine Scheiße"?
Sicherheitslücken freie Software gibt es nicht - "Keine Scheiße" gibts nach deinem Sprech also nicht. Egal ob das nun die Software ist, die QNAP/Synology und Co. nutzen/entwickeln, irgend ein Geheimdienst oder der "elitären Freizeit Computerbild-Admin" nutzt.
Hier ist effektiv Mitdenken notwendig...

Übrigens, kleiner Witz am Rande zu QNAP und Co. -> wenn du meinst die bauen so viel sicheres Zeugs, kannst du mir erklären warum zur Hölle die in vielen QNAPs integrierte Twonky Server (der funktioniert übrigens 1A) Adminoberfläche nicht auf TLS umgebaut wird?
Sicherheit vom Gerät? Wenn jeder Dödel im WLAN die Anmeldedaten mitsniffern kann? Netter Witz würde ich sagen...

 

[Wilhelm14]

aber da weiß ich, dass niemand durch Firmware-Fehler unbefugt auf meine Daten zugreift o.ä.

Woher weißt du das? Welches Betriebssystem hast du installiert und meinst zu wissen, dass das unangreifbar ist? Was hast du für Software installiert und woher meinst du zu wissen, dass die hundertprozentig dicht ist?

PS: Konntest du den Namen naddel81 wieder frei wählen, das Konto war doch mal gebannt.

 

[fdsonne]

Per DNAT natürlich nicht! So sollten sie nicht ins Netz!
Per z. B. Webserver Protection und gesicherter Verbindung, sieht das anders aus.

Ist im konkreten Fall allerdings wohl absolut kein Unterschied... Nur die aller wenigsten haben (Zuhause) eine Art Web Application Firewall mit vorgeschaltener Authentication stehen. Sobald sich der "Angreifer" 1:1 an der bereit gestellten Anwendung versuchen kann ohne das ihn ein Drittgerät daran hindert bringt dir das exakt gar keinen Sicherheitsgewinn.
Und wie es hier ausschaut ist der Schädling durch die Applikation reingekrochen - dagegen hilft nur eine Sicherheitslückenfreie Software (gibt es in der Form nicht) oder die simple Methode des Kabel ziehens. Was nicht "Online" ist kann nicht in der Form angegriffen werden.

 

[MADman_One]

Meine QNAPs habe ich gecheckt, die hosts Dateien waren sauber. Es hängt aber auch nur eines davon am Internet und das ist auch ausschließlich über IPv6 erreichbar und hat nur die Dienste nach außen geöffnet die ich wirklich brauche, der Rest ist im NAS per Servicebindung blockiert und zusätzlich per Firewall gesichert. Firmwares sind auch aktuell. Ich behalte das aber im Auge.

 

[BrollyLSSJ]

Da ja auch ARM betroffen sein kann, was ich so überlesen hatte, habe ich mal meine hosts Datei geprüft und die ist sauber.

 

[sparks]

Per SSH aufschlagen und halt "sudo nano /etc/hosts"

sudo: nano: command not found

vi /etc/hosts klappt bei mir

Beim ersten NAS ist die hosts sauber, trotzdem rödelt er ständig rum und hat 20-30% CPU last, obwohl nix zugreift.. bleibt verdächtig...

 

[wus]

Jetzt dachte ich schon mich hätt's auch erwischt... nach 3-monatiger Abwesenheit (Indonesien!) habe ich heute mal wieder auf das NAS geschaut (ein TS-251+), das natürlich sofort einen Firmwareupdate anzeigte. Ich genehmigte den, leider blieb das NAS danach im Netzwerk lange Zeit unsichtbar. Erst nach mehreren harten Shutdowns und Neustarts meldete es sich wieder normal zurück.

Kann ich sicher sein, nicht infiziert zu sein? Gibt es eine Methode nachzuschauen?

 

[FranzvonAssisi]

sudo: nano: command not found

vi /etc/hosts klappt bei mir

Beim ersten NAS ist die hosts sauber, trotzdem rödelt er ständig rum und hat 20-30% CPU last, obwohl nix zugreift.. bleibt verdächtig...

Wie checkst du die CPU-Last denn?

Der Taskmanager zieht ja auch Ressourcen

Dass nano auf den Qnaps nicht installiert ist, vergesse ich immer wieder...

 

[Ravenstein]

Dafür wäre eine VPN Verbindung zwischen den zwei Standorten die richtige Wahl.

und wofür soll das vpn gut sein? ein SFTP/FTPS ist genauso sicher unsicher wie ein vpn, ist schleißlicha uch nur ein dienst den man aktuell halten muss.

 

[Cokocool]

Wenn man bedenkt was für ein Aufwand notwendig ist, um einen Webserver halbwegs sicher im Internet zu betreiben, dann ist sowas bei einem NAS schlicht unmöglich.

Hast du schon einfach auf einen Server zugreifen können, der nur per Private+SFTP erreichbar war ?

Ich glaube kaum... das ist schon sicher

 

[Helge01]

und wofür soll das vpn gut sein? ein SFTP/FTPS ist genauso sicher unsicher wie ein vpn, ist schleißlicha uch nur ein dienst den man aktuell halten muss.

VPN ist ein Beispiel wie man so ein Problem besser lösen kann. Das alle Komponenten aktuell gehalten werden müssen, ist selbstverständlich. Du kannst natürlich auch andere verschlüsselte Übertragung wählen, dieser Dienst sollte aber nicht vom NAS selbst bereit gestellt werden.

Hast du schon einfach auf einen Server zugreifen können, der nur per Private+SFTP erreichbar war ?

Ich glaube kaum... das ist schon sicher

Wenn dieser Dienst auf dem NAS läuft und es eine bekannte Sicherheitslücke darin gibt die, wenn überhaupt, erst in mehreren Monaten gefixt wird schon.

 

[Ravenstein]

VPN ist ein Beispiel wie man so ein Problem besser lösen kann. Das alle Komponenten aktuell gehalten werden müssen, ist selbstverständlich. Du kannst natürlich auch andere verschlüsselte Übertragung wählen, dieser Dienst sollte aber nicht vom NAS selbst bereit gestellt werden.

und aus welchem grund sollte ich ein weitres system dazwischenschalten dass geg. auch nur wieder sicherheitslücken haben kann?

 

[Helge01]

und aus welchem grund sollte ich ein weitres system dazwischenschalten dass geg. auch nur wieder sicherheitslücken haben kann?

Weil vermutlich alle anderen Systeme um ein vielfaches sicherer sind als ein NAS.

 

[lutzpime]

Ist es nicht einfacher zu probieren, ob man die aktuelle virendefinition updaten kann?