Si tienes un servidor NAS de ASUSTOR conectado a Internet, estás en peligro debido a la aparición de una nueva variante del ransomware Deadbolt. Aunque los servidores NAS están diseñados para acceder desde cualquier lugar a su información, debido a los últimos ataques de ransomware una de las mejores formas de acceder remotamente a ellos es utilizando única y exclusivamente una VPN, no dejando expuesto ningún otro puerto ni tampoco el puerto de la administración del servidor NAS.

Este es el mismo ransomware que causó graves problemas en los dispositivos NAS de QNAP.

El ataque infecta el NAS del usuario y procede a cifrar su contenido, dejando a cada usuario con un mensaje que apunta a una dirección única de Bitcoin. 

Por ahora, Asustor no ha emitido ninguna guía para los usuarios afectados, aparte de apagar y desconectar de manera segura su NAS de las redes hasta que la compañía publique una solución (la forma exacta en que tomará esta solución es un misterio).  Se especula que obtuvieron acceso a los productos Asustor NAS a través de su utilidad EZ Connect.

Actualmente no hay disponible una lista oficial de los productos afectados. Sin embargo, los usuarios afectados han recopilado una especie de lista según sus propios informes. En ellos, los modelos afectados hasta ahora parecen estar restringidos a los dispositivos NAS AS5304T, AS6204T, AS6404T, AS5104T y AS7004T. Otros, como AS5004T, AS6602T, AS-6210T-4K y AS6102T, están (al menos hasta ahora) libres de informes de infección. 

Los usuarios dentro de los foros recomiendan que otros consumidores que implementen Asustor deshabiliten la utilidad EZ Connect, las actualizaciones automáticas y SSH, además de bloquear todos los puertos NAS y solo permitir conexiones desde dentro de la red de los usuarios.

ASUSTOR avisa de ataques de ransomware

El popular fabricante de servidores NAS ASUSTOR ha lanzado un aviso urgente a través de diferentes medios, incluyendo las redes sociales. Parece ser que en los últimos días el popular ransomware Deadbolt está atacando este tipo de dispositivos para hackearlos y encriptar todos los archivos de su interior, por lo que no podríamos recuperar la información, o al menos, será bastante complicado hacerlo.

De forma preventiva, el fabricante ha desactivado por completo los siguientes servicios con el objetivo de minimizar el número de usuarios que podrían infectarse:

• EZ-Connect
• EZ-Sync
• ezconnect.to

https://forum.asustor.com/viewtopic.php?f=4&t=12639

 

 

Ransomware DeadBolt 

Si has tenido la mala suerte de que este ransomware ha infectado tu servidor NAS y toda tu información está cifrada, el fabricante ASUSTOR recomienda realizar los siguientes pasos:

• Desconectar el cable Ethernet del servidor NAS, para dejarlo sin conexión a la red e Internet.
• Apagar el NAS de forma segura, presionando y manteniendo pulsado el botón de apagado durante 3 segundos.
• No iniciar el servidor NAS porque esto hará que tus datos continúen cifrándose y no podrás recuperarlo.
• Rellenar este cuestionario de Google donde los técnicos de ASUSTOR contactarán con nosotros.

El fabricante ahora mismo se encuentra analizando este ataque y creando un procedimiento para la restauración completa del sistema y recuperar todos los datos, ya sea del backup o de los snapshots que tengamos en el sistema operativo. Por supuesto, el fabricante también lanzará una actualización lo antes posible para parchear la vulnerabilidad que explota este ransomware.

 

Algunos usuarios de Internet en Reddit y en otros foros han estado investigando y se puede parar la infección del ransomware «matando» el proceso en cuestión.

Para los usuarios que tenían su NAS de 2 bahías configurado en RAID-1, ahora hay un tutorial no oficial que requiere una PC vinculada a Linux que tiene como objetivo ayudarlo a recuperar sus archivos cifrados. 

• https://thearchitect.wordpress.com/2022/02/21/deadbolt-on-asustor-nas/

 Fuentes:

https://www.redeszone.net/noticias/seguridad/desconecta-nas-asustor-internet-ransomware/

https://www.reddit.com/r/asustor/comments/sxywfv/ransomware_attack_megathread/