News Manipulierte Hosts: NAS-Systeme von QNAP mit unbekannter Malware infiziert

[Ravenstein]

begrüdnung?
sowohl qnap als auch synolgie fixe bekannte sicheheitslücken systemrelevanter komponenten sehr schnell, mann muss eben nur zügig die updates für die systeme einspielen.

zumindst gibt es hier keinerlei probleme beim einsatz von nas sstemen der beiden hersteller


ich habe jedenfalls keine bauchschmerzen wenn ich ports für ftp oder sftp freigebe die direkt aufs nas zeigen.
die vpn funktion einer z.b. fritzbox dürftee nicht sonderlich anfälliger sein als die funktionen des nasses.

 

[mkdr]

Das wirft aber kein gutes Licht auf QNAP...

QNAP war noch nie gut. Wenn man ne NAS will baut man eine selber oder nimmt Synology. QNAP ist völlig inkompetent. Der Server antwortet Wochen nicht. Ich hab zB einen Bug gefunden den sie nie lösen konnten und katastrophal ist:

Ich habe ein TS-431P. Erst mit 2x WD RED 2TB betrieben. Beide im mirror Raid und mit HW Verschlüsselung. So. Wenn man das so einrichtet, bootet die NAS um die 2-3 mal Neu mit Fehler-Piep was jedesmal 5 Minuten dauert (auch total unverständlich), vermutlich kernel panic beim booten. Zichmaliges reset und von neu führte jedesmal zum selben Verhalten. Der inkompetente Service konnte mir nicht helfen. Habe das ganze dann so gelöst, indem ich eine dritte SSD eingebaut habe und dort System/root installiert habe und die 2x WD RED nur für Daten benutzt habe. SO EIN ZUFALL! Damit klappte es dann. Scheinbar ist da irgend ein bug irgendwo, wenn man nur HDDs hat und diese voll-verschlüsselt. Wie soll das ganze auch gut funktionieren, wenn da dann auch noch das System/configs drauf liegt.

 

[Ravenstein]

QNAP war noch nie gut. Wenn man ne NAS will baut man eine selber oder nimmt Synology.

meiner erfahrung nach schneken die sich nicht viel, weder qnap noch synolgie erlauben sich größere patzer, habe beide im einsatz, aufgrund der systemmischung

 

[Helge01]

begrüdnung?

Ich habe es doch schon mehrfach geschrieben, ehe Updates kommen sind diese schon lange wieder veraltet. Wenn ein NAS täglich Sicherheitsupdate erhält und diese selbständig einspielt, dann wäre das der erste Schritt um sowas überhaupt ins Internet zu stellen.

Meiner Meinung nach reicht selbst das nicht aus, eine WAF und / oder IPS wäre zusätzlich hilfreich. Das liegt einfach daran, weil das Sicherheitsverständnis der Hersteller in diesem Bereich nicht sehr hoch ist. Die Funktionalität geht immer vor Sicherheit.

ich habe jedenfalls keine bauchschmerzen wenn ich ports für ftp oder sftp freigebe die direkt aufs nas zeigen.
die vpn funktion einer z.b. fritzbox dürftee nicht sonderlich anfälliger sein als die funktionen des nasses.

Du machst den Fehler davon auszugehen, dass die Dienste keine bekannten Schwachstellen hat, sonst würdest du die Ports ganz schnell wieder schließen.

Ich würde schon einer Fritzbox nicht über den Weg trauen, aber das VPN ist selbst dort um ein vielfaches sicherer als alles andere was über dein NAS geht.

 

[mkdr]

meiner erfahrung nach schneken die sich nicht viel, weder qnap noch synolgie erlauben sich größere patzer, habe beide im einsatz, aufgrund der systemmischung

Nein, aber QNAP ist noch mal ne ganze Nummer inkompetenter als Synology.

 

[Ceiber3]

Also ich habe beide Systeme und schon seit einigen Jahren Synology Nas Server und habe erst seit kurzen Qnap Systeme und hatte in den vielen Jahren nie Probleme mit einen meiner Synology Server. Obwohl ich da alle Cloud features genutzt habe. Frage mich immer wieder, warum bekommen es die einen hin und die anderen scheinbar nicht. Bei Synology habe ich mir nie ein Kopf um Probleme gemacht, angesteckt, Raid eingerichtet, Apps installiert und lief Jahre lang. Bei Qnap habe ich von anfang kleinere und größere Probleme. Was kein gutes licht auf den Qnap Support legt, die Hardware ist echt Top, und QTS selber ist auch gut aufgebaut, nur Bug's und Sicherheitslücken gehen einen extrem auf den nerv.

 

[trpna]

War schon immer skeptisch gegenüber QNAP und Synology. Ich bevorzuge FreeNAS. Dort können "Apps" in Jails vernünftig isoliert werden. Damit lässt sich auch verhindern, dass eine "MusicStation" das Hosts file überhaupt manipulieren bzw. systemrelevante Funktionen verändern kann. Apps, die direkt auf Systemebene agieren können, schreien doch nach Sicherheitslücke...

 

[hurga_gonzales]

Ich kenne keine Consumer-NAS, die man guten Gewissens ins Internet hängen kann.

 

[NobodysFool]

Ein NAS ist ganz klassisch erst einmal einfach nur ein "network attached storage". Nicht mehr und auch nicht weniger.

Na gut dass Du das sagst, und ich dachte bisher das Internet wäre auch ein Netzwerk.

 

[Ceiber3]

Hab das schon mal irgendwo geschrieben, bei Synology heist Nas nicht mehr network attached storage, sondern network application server.

 

[Weyoun]

Dafür wäre eine VPN Verbindung zwischen den zwei Standorten die richtige Wahl.

Exakt das - aber bitte nicht auf die Idee kommen den "VPN Server" Dienst des NAS dafür zu verwenden...

Und das funktioniert simultan bidirektional? Ich kannte VPN bisher nur so, dass ich von Rechner A eine sichere Verbindung zu Rechner B aufbaue. Aber bei der Synchronisierung zweier NAS muss ja, je nachdem, auf welchem NAS gerade eine Datei geändert oder kreiert wurde, augenblicklich auf dem Spiegel-NAS die Änderung dupliziert werden. Also eine Art "bidirektionales-VPN". Wie soll man das ohne die integrierten Bord-Tools der NAS-Hersteller anstellen?

 

[Helge01]

Eine VPN Verbindung zwischen 2 Routern verbindet 2 private Netzwerke miteinander. Das bedeutet beide NAS verhalten sich so, wie wenn sie bei dir im gleichen lokalen Netz stehen. Man kann dann problemlos eine NAS to NAS Synchronisation einrichten.

 

[FranzvonAssisi]

QNAP äussert sich nicht zu dem Thema und lässt die Nutzer im Regen stehen.

Naja, nicht ganz, oder?

Die Nutzer hatten sich in den vergangenen Wochen bei QNAP mit den Problemen gemeldet, woraufhin das Unternehmen einzelnen Betroffenen den Kommandozeilenbefehl „curl https://download.qnap.com/Storage/tsd/utility/derek-be-gone.sh | sh“ mitteilte, durch dessen Shell-Script-Aufruf das Problem behoben werden soll.

D.h. wenn du dich beim Support meldest kriegst du schon ne Lösung geliefert. Der Angriffsvektor ist scheinbar noch nicht bekannt.

Ergänzung (11. Februar 2019)

Also eine Art "bidirektionales-VPN". Wie soll man das ohne die integrierten Bord-Tools der NAS-Hersteller anstellen?

Ein NAS als VPN-Client, das andere als Server und dann ganz normal per IP im normalen Netz?(!)

VPN ist ja immer bidirektional, sonst könnte da ja keine einzelne Webseite drüber aufgebaut werden

Ich sehe es jetzt aber auch nicht so kritisch die integrierten NAS-Dienste zu nutzen. Zumindest nicht im Heimnetzwerk. Im Unternehmensbereich sind da vielleicht andere Hersteller angemessener, je nach Größe etc.

Lg

 

[Hansdampf12345]

Lesen bildet. QNAP äussert sich nicht zu dem Thema und lässt die Nutzer im Regen stehen.

Genau, Lesen bildet!

[...] Die Nutzer hatten sich in den vergangenen Wochen bei QNAP mit den Problemen gemeldet, woraufhin das Unternehmen einzelnen Betroffenen den Kommandozeilenbefehl „curl https://download.qnap.com/Storage/tsd/utility/derek-be-gone.sh | sh“ mitteilte, durch dessen Shell-Script-Aufruf das Problem behoben werden soll.[...]

[...]Einigen Nutzern wurde vom Support dabei auch gesagt, dass ihr NAS-System Ziel eines Angriffs geworden sei,[...]

QNAP äußert sich lediglich nicht öffentlich zu dem Problem. Soll ich dir die Stelle auch noch zitieren oder probierst du es noch mal mit Lesen?!

 

[SKYBW]

Hatte vor über einem Monat festgestellt, das meine beiden TS 251+ unterschiedliche FW Versionen hatten. Die mit der alten FW meldete aber keine neue Firmware. Hat mich nicht weiter interessiert... Plötzlich tauchte eine Meldung meiner Sophos UTM in meinen Emails auf.

Advanced Threat Protection

A threat has been detected in your network
The source IP/host listed below was found to communicate with a potentially malicious site outside your company.

Details about the alert:

Threat name....: C2/Generic-A
Details........: http://www.sophos.com/en-us/threat-center/threat-analyses/viruses-and-spyware/C2~Generic-A.aspx
Time...........: 2018-12-21 07:11:41
Traffic blocked: yes

Source IP address or host: 36.248.162.75

Hab darauf hin, den Bericht meiner UTM geprüft. Es lief was unnormales über den Port 8088 der auch für die Virtualisierung genutzt wird.

Hab daraufhin auf beiden meiner TS251+ den Malware Remover installieren wollen. Auf der Nas mit der Neuen FW war die im Store sichtbar. Auf der betroffenen Nas nicht. Habe die das Paket manuell von der qnap.com Webseite geladen und installiert. 5 Funde, reboot und zack hatte ich eine Meldung über 3 FW Updates. Habe daraufhin Qnap kontaktiert und nie eine Antwort erhalten. Meine Freunde nutzen die gleiche Nas und habe die informiert. Ebenfalls das selbe Szenario. Heute habe ich die hostsfile geprüft und bei mir ist alles in Ordnung. Daher kann ich nur jedem empfehlen, eine UTM zu nutzen. Die Software von Sophos ist für Heimanwender kostenlos und schützt 50 IP-Adressen im internen Netzwerk. Ein Virenscanner ist ebenfalls enthalten, den man auf die PCs installieren kann. (für 10 Windows endpoints)

 

[gaym0r]

Kannst ja gleich sagen, wer sein PC ins WWW hängt... solches Denken ist einfach falsch. Eine Sperre ist nie die Lösung.

Autsch, das ist ganz gefährliches Halbwissen und ein schlechter Vergleich.

 

[T_55]

Vielleicht einfach ein gewolltes Backdoor das ungeplant aus dem Ruder gelaufen ist
Man ist es ja inzwischen gewöhnt, erinnert an die die Backdoors von WD
https://www.kuert-datenrettung.de/blog/backdoor-in-wd-my-cloud-nas-systemen
https://www.golem.de/news/festplatt...-kommen-mit-backdoor-account-1801-132169.html

 

[mkdr]

Soll ich dir die Stelle auch noch zitieren

Ne, nix "zitieren". Verlinken bitte.

 

[Andreas_]

QNAP ... lässt die Nutzer im Regen stehen.

Das ist völliger Unsinn. Zum einen stellt der Support ein Skript zur Entfernung des Schädlings bereit, zum anderen hilft er per Remote Access und beseitigt das Problem direkt, sollte daran Bedarf bestehen. Einfach mal im QNAP-Forum nachlesen.

Vorwerfen kann man denen eigentlich nur, dass sie die Dringlichkeit des Updates nicht kommuniziert haben und nicht in der Lage waren, zeitnah ihre Antimalware-Lösung anzupassen.

Das eknzige, was man Qnap vorwerfen kann ist, finde ich, dass sie nicht schnell genug darauf eingehen, aber jetzt war ja auch gerade Wochenende und bis die den Fehler finden, kann es halt auch Mal ne Weile dauern.

Im QNAP-Forum gibt es mehrere Wochen alte Threads zu dem Thema, auf Reddit findet man Posts von betroffenen Usern aus Oktober 2018. Wenn es wirklich an der Sicherheitslücke in der Music Station lag, dann ist diese Lücke schon seit 4 Monaten behoben. Vielleicht haben die Betroffenen einfach das Update nicht zeitnah installiert ...

/edit:
Anscheinend machte der erste Fix die Music Station unbenutzbar https://forum.qnap.com/viewtopic.php?t=144262

 

[Ceiber3]

Es gibt einige Versionen der Malware. Die momentane ist eine komplett andere als die wo noch die Musik station eine lücke hatte.