DeadBolt Ransomware
Кампания за ransomware, провеждана от нови заплахи, наричащи себе си DeadBolt, е насочена към устройствата NAS (Network-Attached Storage), произведени от QNAP. Нападателите твърдят, че са открили уязвимост от нулев ден в устройствата и я използват, за да доставят заплаха за рансъмуер. Атаките бяха забелязани за първи път на 25 януари 2022 г. Засегнатите потребители забелязаха, че техните файлове, съхранявани на QNAP устройства, са станали недостъпни и вече имат добавен „.deadbolt“ към имената им като ново файлово разширение.
Вместо да доставят текстови файлове с бележка за откуп на компрометираните устройства, киберпрестъпниците на DeadBolt избраха различен метод за предаване на инструкциите си. Нападателите отвличат страницата за вход на QNAP устройството и я заменят с нов екран, съдържащ тяхното съобщение, изискващо откуп. Посоченият откуп е определен на 0,03 BTC (Bitcoin) на стойност приблизително $1100 при текущия обменен курс на криптовалутата. Друга особеност, показана от групата DeadBolt, е начинът, по който трябва да се осъществява комуникацията с жертвите. За разлика от повечето оператори за рансъмуер, които разчитат на имейл адрес или специален уебсайт на TOR, за да действат като комуникационен канал, DeadBolt обменя информация единствено чрез транзакции с биткойн, направени до уникалния адрес на портфейла, предоставен на всяка жертва. Всъщност, след като прехвърли откупа на адреса, жертвите също трябва да изчакат хакерите да направят транзакция. Предполага се, че неговите данни съдържат ключа за декриптиране, който може да отключи засегнатите файлове, като бъде въведен в екрана за вход на компрометираното устройство.
DeadBolt също прави няколко оферти директно към QNAP. На цената от 5 BTC киберпрестъпниците са готови да споделят подробности за уязвимостта на нулевия ден с компанията. Ако QNAP е готов да плати 50 BTC (около 1,85 милиона долара), хакерите също ще предоставят главния ключ за декриптиране, за който твърдят, че ще може да отключи файловете на всички засегнати потребители.
QNAP заяви, че разследва атаката. Засега компанията е предоставила начини за потребителите да заобиколят екрана за вход на DeadBolt и да възстановят достъпа до неговата администраторска страница чрез http://nas_ip:8080/cgi-bin/index.cgi и https://nas_ip/cgi-bin /index.cgi URL адреси. Потребителите силно се насърчават да изключат устройствата си от интернет и да активират защитата на защитната стена. QNAP също така предостави страница със стъпки за това как потребителите могат да защитят своите данни и NAS устройства.
