QNAP-Netzwerkspeicher erneut Ziel von Ransomware-Angriffen

Hacker nutzen erneut Sicherheitslücken im Betriebssystem von Netzwerkspeichern von QNAP aus, um die NAS-Geräte mit Ransomware anzugreifen. Aktuell nehmen sie offenbar drei als kritisch eingestufte Anfälligkeiten ins Visier, die in der Photo-Station-Software stecken, die auf rund 80 Prozent aller NAS-Systeme von QNAP installiert ist. Aktiv ist die dafür verantwortliche Gruppe jedoch schon seit Juni 2019.

Für die ersten Version der Erpressersoftware eCh0raix liegt inzwischen ein Entschlüsselungstool vor. Eine neuere Version, die derzeit zum Einsatz kommt, konnten Sicherheitsforscher bisher noch nicht knacken.

Details zu den aktuell ausgenutzten Sicherheitslücken sind seit 18. Mai bekannt. Nur wenige Tage später traten die Cyberkriminellen ihre neue Angriffswelle los, die auch Leser von ZDNet.com betrifft, und in der vergangenen Woche einen ersten Höhepunkt erreichte. Das berichtet Bleeping Computer unter Berufung auf Zahlen von ID-Ransomware.

Allerdings ist bisher unbestätigt, ob die zuletzt von Nutzern gemeldeten Angriffe tatsächlich über die aktuellen Sicherheitslücken erfolgten. Denn die eCh0raix-Hintermänner setzen bisher stets nicht nur auf ungepatchte Schwachstellen, sondern auch auf Brute-Force-Attacken auf schwache oder bekannte Passwörter. Allerdings sollen die fraglichen drei Lecks in der Photo-Station-Software laut ihrem Entdecker leicht für automatisierte Angriffe nutzbar sein und dem Angreifer den benötigten vollständigen Zugriff auf die Netzwerkspeicher verschaffen.

Nutzer von QNAP-Geräten sollten die angebotenen Sicherheitsupdates nun schnellstmöglich installieren. Auch ist es offenbar sinnvoll, schwache oder auf Wortlisten verfügbare Passwörter durch starke und nicht zu erratende Kennwörter zu ersetzen. Anleitungen für beide Maßnahmen finden sich auf der Support-Website von QNAP.

Da die Verschlüsselung der aktuellen Versionen der eCh0raix-Malware bisher nicht geknackt wurde, kommen Opfer erst nach Zahlung eines Lösegelds wieder an ihre Dateien. Dafür müssen Betroffene einem in der Lösegeldforderung enthaltenem Link ins Dark Web folgen. Allerdings ist von einer Zahlung stets abzuraten – ein Lösegeld motiviert die Cyberkriminellen ihre Angriffe fortzusetzen. Und ein erneuter Angriff könnte auch wieder das System eines Nutzers treffen, der bereits bezahlt hat.