News Manipulierte Hosts: NAS-Systeme von QNAP mit unbekannter Malware infiziert

[Andreas_]

@Ceiber3
Was macht Dich glauben, dass dieselbe Lücke nicht von verschiedener Malware genutzt werden kann? Oder dass eine Malware nicht andere Malware nachladen kann?

 

[mkdr]

@Andreas_ Was zum Teufel ist eine "MusicStation"? Und wieso ist die vom Internet offen erreichbar? Auf einer NAS haben im Grunde gar keine Dienste zu laufen, außer aus Faulheit eine Samba Share fürs LAN, das wars. """Vielleicht""" noch ein SSH/SCP Server und sFTP.

 

[fuyuhasugu]

DMZ/abgetrennten Netzbereich

Eine DMZ, in der ein Rechner, NAS oder sonstiges komplett offen am Internet hängt, statt ein paar weitergeleiteter Ports, ist nun wahrlich nicht besser.

Exakt das - aber bitte nicht auf die Idee kommen den "VPN Server" Dienst des NAS dafür zu verwenden...

Stimmt, die VPN-Software im Router, bei der die meisten Hersteller nie an Updates denken und wo oft genug auch noch PPTP Standard ist, ist natürlich besser als ein regelmäßig gewarteter Dienst.

Ergänzung (12. Februar 2019)

QNAP ... lässt die Nutzer im Regen stehen.

Ich würde einfach sagen, der Support ist überfordert. Aber da ist Synology keinen Deut besser und die anderen Hersteller haben ehrlicherweise gleich gar keinen Support.

 

[Raijin]

Mich würde mal interessieren was die Malware sonst noch so tut. Bisher ist wohl nur ein Symptom bekannt, die modifizierte hosts-Datei. Weder ist bekannt was der eigentliche Zweck der Malware ist noch ob die hosts-Datei das einzige Symptom ist. Genau genommen weiß man auch noch nicht ob eine saubere hosts-Datei überhaupt tatsächlich darauf hindeutet, dass das System sauber ist. Zumindest geht aus der News nichts dergleichen hervor.
QNAP bietet zwar ein Removal-Skript, aber erwarten die jetzt ernsthaft, dass Otto Normal via ssh auf's NAS geht? Ich behaupte mal, dass <5% der Nutzer überhaupt weiß was ssh ist....

 

[d4rksen]

Eine DMZ, in der ein Rechner, NAS oder sonstiges komplett offen am Internet hängt, [...]

Eine DMZ, hat nichts mit dem zu tun, was du beschreibst. Eine richtige DMZ dient dem Zweck, das interne Netz vom externen - wo sich Hosts befinden, die Dienste auch im Internet anbieten - zu trennen. Dabei werden lediglich die benötigten Ports freigegeben und nicht alle. Und das interne Netz wird entsprechend abgeschottet.

Es ist ratsam alle nicht verwendeten Dienste zu deinstallieren und/oder zu deaktivieren und das Gerät hinter einer Firewall mit Intrusion Detection/Prevention zu betreiben um die Sicherheit zu erhöhen. Auch für den Benutzer daheim gibt es erschwingliche Lösungen - pfsense mit APU Board zum Beispiel. Auf kurz oder lang sicherlich eine hilfreiche Investition in die Sicherheit des eigenen Netzwerkes.

 

[martinallnet]

Ich greife nur über mein Tinc-VPN oder SSH auf mein Netzwerk zu.
Der Mediaserver ist zwar auch über das Internet erreichbar, dafür ist aber ein Reverse Proxy mit SSL/TLS eingerichtet, da der Serviio-Mediaserver selbst nur reines http und kein https kann.

 

[SirSilent]

Ui das war qnap, glücklicherweise habe ich eine Synology.

 

[k0ntr]

Autsch, das ist ganz gefährliches Halbwissen und ein schlechter Vergleich.

Dann lasse ich mich gerne eines besseren belehren. Bin ganz Ohr.

 

[Minutourus]

Habe beides Synology und QNAP, gestern meine sicherheitshalber gecheckt, alles ok aber gut ich habe keinen direkten Zugriff über das Internet darauf sondern über die virtuellen Server die in einer DMZ laufen...

Und ja bei Synology fühlt es sich zumindest bei mir um einen Ticken runder an... Aber komme mit der QNAP genauso klar, läuft und läuft und läuft...

 

[erazzed]

@Andreas_ Was zum Teufel ist eine "MusicStation"? Und wieso ist die vom Internet offen erreichbar? Auf einer NAS haben im Grunde gar keine Dienste zu laufen, außer aus Faulheit eine Samba Share fürs LAN, das wars. """Vielleicht""" noch ein SSH/SCP Server und sFTP.

Du hast dich noch nie mit Consumer NAS beschäftigt, oder? Die Kisten sind schon lange mehr als nur Linux mit SMB.

Das Einzige was ich QNAP und Synology vorwerfen würde ist, dass sie den Fernzugriff über WAN viel zu trivial darstellen und zu keiner Zeit auf Risiken hingewiesen wird.

Meine Synology war noch nie über das Internet erreichbar - und wird es auch nie sein. Wer unbedingt von Extern Zugriff auf sein NAS haben möchte, sollte wenigstens ein vernünftiges VPN einrichten.

 

[gaym0r]

Dann lasse ich mich gerne eines besseren belehren. Bin ganz Ohr.

Der eine Host hängt im Netzwerk und greift auf das Internet zu. Bei so einem NAS ist es schonmal umgekehrt
Theoretisch, Praktisch und technisch sind das große Unterschiede.

 

[mkdr]

@erazzed Doch, ich habe sogar eine. Und wie gesagt, da läuft nur Samba drauf das wars. Für mehr sind diese überteuerten Dinger auch nicht zu gebrauchen mit den ARM Popel-CPUs und 512-1GB RAM. Und wenn man dann die nöchst höhere NAS kauft blettert man direkt 600+Euro hin und dann wird "Consumer NAS" wieder ad absurdum geführt.

 

[Xes]

Was heist denn bei dir "keine Scheiße"?
Sicherheitslücken freie Software gibt es nicht - "Keine Scheiße" gibts nach deinem Sprech also nicht.

Das ist klar. Ich bezog mich hier mehr auf den ungewohnt schlechten Umgang mit der Sicherheitslücke:

QNAP schweigt
QNAP selbst hat sich bislang nicht öffentlich zu den Fällen geäußert und auch keine Warnung oder Hilfestellung veröffentlicht, was einigen Nutzern im Forum von QNAP bereits negativ aufstößt.

 

[MADman_One]

Mich stört dieses allgemeine Gebashe gegenüber Consumer NAS Systemen immer ein wenig, denn es ist immer noch der User selbst der die Verantwortung für die Konfiguration trägt. Sowohl mit Synology als auch QNAP kann man ein sehr akzeptables Sicherheitslevel erreichen, wenn man sich damit ausführlich auseinander setzt. Es ist nicht alles per se schlecht. Wenn man hirnlos einfach mal alles freigibt oder nur per Plug&Play alles anstöpselt, dann ist einem auch nicht mehr zu helfen.
Ja zugegeben, meine NAS-Systeme waren etwas teurer als das was üblicherweise zuhause steht und möglicherweise geht das auf den günstigeren so nicht. Selbstbau kam für mich aber nicht in Frage, weil ich kein so kleines Gehäuse gefunden habe, in denen ich ein 8-bay NAS mit mittlerweile 7 NICs (4x1GBit, 3x 10GBit) mit so wenig Verbrauch realisieren konnte. Und der Software-Support von QNAP/Synology für diese Geräte ist ziemlich lang, weit länger als das was man so von Smartphones gewohnt ist und Firmware-Updates kommen bei mir immer noch regelmäßig.

Auf einer NAS haben im Grunde gar keine Dienste zu laufen, außer aus Faulheit eine Samba Share fürs LAN, das wars. """Vielleicht""" noch ein SSH/SCP Server und sFTP.

Bei meinen QNAP NAS kann ich pro Netzwerkkarte festlegen, welche Dienste dort aktiv sind. Die Verbindung von außen läuft über eine eigene Netztwerkkschnittstelle, wo ausschließlich das aktiv ist was auch gebraucht wird und nur diese hat eine Verbindung über ein direktes Kabel zum Internet-Router. Der Samba-Dienst ist dagegen nur auf den Glasfaser-Direktverbindungen zu meinem Haupt-PC und im internen Netz für die restlichen Geräte aktiv, welcher in einem zweiten Netz und hinter einer zweiten Firewall sitzt, welche einen Zugriff von externen IPs auf die internen Schnittstellen des NAS zusätzlich blockt. Damit können meine internen Geräte die Daten vom NAS frei nutzen, extern komme ich nur über die vorgesehenen Dienste an das NAS. Zusätzlich ist TFA für die Anmeldung an Weboberflächen erforderlich. Ist sicher nicht Fort Knox, aber ausreichend für mich.

 

[Hansdampf12345]

Ne, nix "zitieren". Verlinken bitte.

Ich muss dir die News bei ComputerBase, um die es hier in dem Thread geht verlinken?!

 

[DeusoftheWired]

Ist trotzdem ein Unding, daß ein Fehler solchen Ausmaßes von QNAP nicht öffentlich gemacht, sondern lediglich auf Einzelanfrage per Mail ein Workaround mitgeteilt wird. Man stelle sich mal vor, ein Autohersteller würde so mit einem Fehler in der Airbagsteuerung verfahren. Da hat die Führungsriege Angst, das öffentliche Besprechen und Beheben einer Lücke würde dem Ansehen der Firma/Marke mehr schaden als dieses versuchte Totschweigen.

 

[erazzed]

@erazzed Doch, ich habe sogar eine. Und wie gesagt, da läuft nur Samba drauf das wars. Für mehr sind diese überteuerten Dinger auch nicht zu gebrauchen mit den ARM Popel-CPUs und 512-1GB RAM. Und wenn man dann die nöchst höhere NAS kauft blettert man direkt 600+Euro hin und dann wird "Consumer NAS" wieder ad absurdum geführt.

Und was genau hat dein Nutzungsverhalten mit dem Thema zutun? Es geht darum, dass ein NAS heutzutage nicht mehr bloß als reiner Netzwerkspeicher verkauft wird, sondern als Multimedia-, Smart-Home-, Applikationsserver, etc.

Der 0815-Käufer kennt sich allerdings mit Technik nicht aus und kennt auch die damit verbundenen Risiken häufig nicht. Wenn ein NAS jedoch als eierlegende Wollmilchsau verkauft wird, wird sie auch als solches vom Käufer genutzt - ist doch klar.

 

[fuyuhasugu]

Eine richtige DMZ ...

Schon klar, nur ist das hier das falsche Forum für Lösungen auf diesem Niveau.

Auch für den Benutzer daheim gibt es erschwingliche Lösungen - pfsense mit APU Board zum Beispiel. Auf kurz oder lang sicherlich eine hilfreiche Investition in die Sicherheit des eigenen Netzwerkes.

Und der Anteil der Nutzer, die das auch nur versuchen umzusetzen, liegt weder im %- noch im ‰-Bereich sondern eher im ppm-Bereich, global gesehen sollte man den Anteil wohl besser gleich in ppb ausdrücken. Also echt realitätsnah.

 

[Helge01]

In einem Computerforum sollte der Anteil höher liegen, aber vermutlich hast du Recht. Das ist hier eher ein GameBase statt ComputerBase.

 

[Botcruscher]

Der Anteil der Nutzer mit pfsense oder einer anderen Hardwarefirewall dürfte selbst hier bei 1% liegen. Keine Ahnung warum euch das verwundert. Die Masse ist nun mal Vieh auf der "Datenweide". An der Herden muss man sich nur bedienen.