QSnatch

QSnatch说明

qsnatch众所周知,被称为QSnatch的恶意软件威胁将针对台湾QNAP Systems,Inc制造的NAS(网络附加存储)设备。芬兰国家网络安全中心(NCSC-FI)的恶意软件研究人员是第一个发现这种行为的人在2019年10月中旬出现了新的威胁。对该中心专有的Autoreporter服务提供的自动报告进行了详细分析,使他们能够暴露出许多受QSnatch感染的存储设备,试图与远程C&C(命令与控制)服务器建立通信。尽管芬兰专家最初认为他们正在处理MS Windows定制的Caphaw恶意软件,但对C2通信的彻底检查显示,该恶意软件的主要目标是QNAP NAS设备。此后,威联通(QNAP Systems,Inc.)发布了固件更新,目的是消除所有受感染设备的QSnatch。

QSnatch损坏潜力

研究人员尚未确定由负责人员部署的感染媒介(IV),以在QNAP的硬件之间传播QSnatch。但是,他们真正知道的是QSnatch将其恶意代码直接植入到主机设备的固件中,然后在QNAP(QNAP针对NAS定制的操作系统)中作为合法进程运行它。一旦运行,QSnatch就会尝试与可能由同一网络骗子操作的远程C&C服务器建立连接。如果成功,则这种连接将允许QSnatch通过“ HTTP GET https://”将其他恶意软件提取到受感染的设备上。 /qnap_firmware.xml?=t ”要求。

一旦完成,QSnatch恶意软件将能够在受感染的主机中引起轰动。根据当前从C2服务器检索到的恶意模块(由于QSnatch的模块化功能,更多的潜在可能性),QSnatch可能能够:

  • 阻止应用程序和固件应用更新,因为这可能会篡改其恶意行为。
  • 如果用户已在其PC上安装了该程序,请禁用QNAP MalwareRemover应用程序。
  • 从攻击者的C&C服务器引入新的恶意软件。
  • 更改活动的基于时间的作业计划程序(cronjobs)和初始化文件(执行初始化脚本以作为启动过程的一部分而执行的初始化脚本)。
  • 收集受感染主机上存在的所有登录凭据和系统配置文件,并将它们传输到其操作员的C&C服务器。

从受感染的设备中删除QSnatch

作为对QSnatch恶意软件攻击的最初报告于2019年10月25日的回应,QNAP Systems迅速为QTS OS本身提供了实时固件更新,可从QTS控制面板菜单访问该固件。供应商还发布了其可从QTS的应用程序中心获取的恶意软件删除器应用程序的更新。虽然这些新版本的恶意软件卸妆-分别为3.5.4.2和4.5.4.2-足以从受感染的设备中删除QSnatch,但用户还应更改其已经被破坏的登录凭据,以避免重新感染。最后但并非最不重要的一点是,QNAP敦促客户安装QTS安全顾问应用程序(也位于QTS App Center中),以将其NAS设备的网络安全性提高到更高的水平。

除上述步骤外,NAS用户可能并且应该采取多种措施来保护其设备免受将来的攻击,包括但不限于:

  • 避免使用默认端口号-8080 / 81、443、80和22仅举几例
  • 激活IP保护以防止暴力破解
  • 删除不活动的帐户,可疑应用程序和未使用的应用程序/服务(Web服务器,SQL Server,SSH,Telnet等)

有关如何实施上述措施的其他指南,可以在专门针对QSnatch恶意软件的QNAP System的安全公告中找到。

发表评论

请不要将此评论系统用于支持或结算问题。 若要获取SpyHunter技术支持,请通过SpyHunter打开技术支持问题直接联系我们的技术团队。 有关结算问题,请参考“结算问题?”页面。 有关一般查询(投诉,法律,媒体,营销,版权),请访问我们的"查询和反馈"页面。