NAS Synology dính mã độc tống tiền do chủ nhân bỏ quên bản vá lỗi

Các quản trị viên hệ thống thường là những người đầu tiên chỉ trích chính sách bảo mật lỏng lẻo trong hệ thống của công ty hoặc người khác. Đôi khi, chính họ lại là nạn nhân vì đã không tuân theo những lời khuyên mà họ sẵn sàng đưa ra. Đó là câu chuyện của người dùng Reddit NakamuraHwang, người có các tập tin trên thiết bị NAS Synology DS918+ bị mã hóa bởi một cuộc tấn công ransomware sau một chuỗi các sai lầm không đáng có.

Hwang có vẻ rất am hiểu kỹ thuật và đã cung cấp một bài viết chi tiết về tình huống này. Tuy nhiên, các điểm chính là thiết bị nói trên (a) bị lộ giao diện web ra internet và (b) chậm trễ khoảng 18 tháng trong việc áp dụng các bản vá bảo mật. Giống như sự cố PHP gần đây đã cho thấy, sự tự mãn là kẻ thù tồi tệ hơn nhiều so với một đội ngũ bot AI.

Chuyên gia này có thiết lập sao lưu theo mô hình 3-2-1, vì vậy có vẻ họ không bị mất bất kỳ dữ liệu nào. Họ đã gắn các ổ cứng vào một cỗ máy Proxmox để kiểm tra thêm — hệ điều hành DSM của Synology sử dụng mdraid bên dưới, vì vậy bạn có thể mang các ổ đĩa sang một máy khác và gắn chúng vào đó. Việc kiểm tra nhật ký và các tệp hệ thống điều hành cho thấy cuộc tấn công có khả năng được thực hiện bằng cách lợi dụng lỗ hổng thực thi mã từ xa CVE-2024-10441, được tiết lộ cách đây một năm rưỡi.

Như hầu hết các quản trị viên hệ thống khác sẽ nói với bạn, không bao giờ nên phơi bày các thiết bị trực tiếp ra internet mà không có một lớp bảo vệ ở giữa, chủ yếu nhưng không giới hạn ở VPN hoặc đường hầm SSH. Ví dụ, Tailscale giúp việc có được VPN trở nên khá dễ dàng vào những ngày này và gói miễn phí của nó đáp ứng hầu hết việc cài đặt tại nhà.

Synology đã xuất bản khuyến nghị của riêng mình liên quan đến lỗ hổng khai thác này, nhưng đó là lúc hành vi của NAS liên quan đến các bản cập nhật làm phức tạp vấn đề. Theo nhiều bình luận trong chuỗi bài và trên các diễn đàn khác, giao diện người dùng sẽ thông báo rằng thiết bị của bạn đã được cập nhật mới nhất, trong khi thực tế vẫn có các bản cập nhật bảo mật quan trọng cần được cài đặt thủ công. Sách hướng dẫn cho DSM cho thấy các thiết bị từ năm 2025 trở đi có tính năng tự động cập nhật, rõ ràng ngụ ý rằng các phiên bản trước đó cần phải được định cấu hình thủ công.

Hơn nữa, Synology dường như không có kênh trực tiếp để cảnh báo khách hàng về các lỗ hổng bảo mật quan trọng — một thông báo qua email đơn giản là đủ. Mặc dù công ty dường như đang chuyển hướng khỏi thiết bị tiêu dùng, họ vẫn bán các thiết bị nhỏ mà người dùng thông thường có thể mua, và việc mong đợi họ thậm chí nhận thức được các bản tin bảo mật là điều không hợp lý. Thêm vào đó, các bản cập nhật gói như bản vá cho lỗ hổng PHP2Shell cũng phải được cài đặt riêng biệt.