Hackers vragen om losgeld na het wissen van Lenovo NAS-apparaten
Een hackergroep onder de naam 'Cl0ud SecuritY' breekt in op LenovoEMC-netwerkgebonden opslagapparaten. Ze wissen bestanden en laten losgeldnota's achter voor eigenaren, waarbij ze $ 200 tot $ 275 vragen om toegang te krijgen tot de gegevens.
Aanvallen vonden niet minder dan een maand plaats, volgens berichten op BitcoinAbuse. Op de website kunnen gebruikers bitcoin-misbruik met ransomware en andere cybercriminaliteit melden. De aanvallen waren specifiek gericht op LenovoEMC/Iomega NAS-apparaten met onbeschermde beheerinterfaces die niet met een wachtwoord zijn beveiligd.
Veel NAS-apparaten bleken een losgeldbrief te bevatten met de naam 'RECOVER YOUR FILES !!!!.txt'. Alle losgeldnota's waren ondertekend met de naam 'Cl0ud SecuritY' en de e-mail 'cloud@mail2pay[.]com' als contactpersoon . De aanvallen die werden geregistreerd tijdens de maand van activiteit toen de dreiging werd opgemerkt, leken aanvankelijk verband te houden met aanvallen die in 2019 begonnen en gericht waren op LenovoEMC NAS-stations. Hoewel die aanvallen niet waren ondertekend en een ander e-mailadres gebruikten, waren er overeenkomsten tussen de losgeldnota's in 2019 en 2020, waardoor onderzoekers dachten dat in beide gevallen dezelfde dreigingsacteur betrokken was.
Geen bewijs dat slachtoffergegevens worden bewaard
De hackers beweerden de bestanden van de slachtoffers naar hun servers te hebben gekopieerd en dreigden de bestanden te lekken als er binnen vijf dagen geen losgeld werd betaald. Er is geen bewijs dat de gegevens ergens een back-up hadden of dat gegevens van eerdere slachtoffers vorig jaar online zijn gelekt. Op basis van het door beveiligingsonderzoekers gevonden bewijs waren de aantekeningen loze dreigementen, bedoeld om slachtoffers te laten schrikken om het losgeld te betalen voor de gegevens die al door de aanvallers waren gewist.
Lenovo heeft de LenovoEMC- en Iomega NAS-lijnen sinds 2018 stopgezet. Een klein aantal apparaten is nog steeds online beschikbaar, omdat de NAS-stations door veel gebruikers over de hele wereld buiten gebruik worden gesteld. Sommige NAS-apparaten zijn nog steeds actief en Lenovo biedt ondersteuning bij het beveiligen van deze apparaten voor iedereen die zijn kwetsbare gegevens wil beveiligen.
De aanvallen op de LenovoEMC/Iomega NAS-apparaten waren niet de eerste gerichte NAS-apparaten in de afgelopen jaren. NAS-apparaten zijn meestal het doelwit van DDoS-malware, maar veel ransomware-bendes richten zich ook op hen. De recente aanvallen zijn afpersingspogingen en geen ransomware-aanvallen vanwege het gebrek aan codering, maar het wissen van gegevens is het primaire mechanisme.