QNAP द्वारा डिज़ाइन किए गए नेटवर्क अटैच्ड स्टोरेज या NAS उपकरणों को QSnatch नामक मैलवेयर के प्रति संवेदनशील पाया गया है। यह चेतावनी संयुक्त राज्य साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) द्वारा UK के नेशनल साइबर सिक्योरिटी सेंटर (NCSC) के साथ जारी एक सलाह के अनुसार है।
QNAP NAS उपकरण बनाता है जिनका उपयोग विभिन्न उपकरणों जैसे कंप्यूटर और फोन, साथ ही कई अन्य प्रोग्राम के लिए स्थानीय क्लाउड बैकअप के रूप में किया जाता है। यह एक कस्टम-बिल्ट लिनक्स ऑपरेटिंग सिस्टम का उपयोग करता है, जो QSnatch मैलवेयर को और भी प्रभावशाली बनाता है। यह अभी भी स्पष्ट नहीं है कि मैलवेयर कैसे वितरित किया जाता है, हमलावर कौन हैं, और उनके उद्देश्य क्या हैं।
QSnatch मैलवेयर क्या है?
QSnatch 2020 में खोजा गया चौथा मैलवेयर स्ट्रेन है जिसने NAS उपकरणों को लक्षित किया है। यह घटना Synology उपकरणों को प्रभावित करने वाले रैंसमवेयर स्ट्रेन की खोज के साथ-साथ QNAP उपकरणों को संक्रमित करने वाले eCh0raix और Muhstik रैंसमवेयर के बाद हुई।
इस बार, हैकर्स ने ताइवानी निर्माता QNAP के दसियों हजारों नेटवर्क-अटैच्ड स्टोरेज उपकरणों को QSnatch नामक एक नए मैलवेयर से संक्रमित किया है।
QSnatch मैलवेयर के विभिन्न संस्करण कई वर्षों से देखे गए हैं, 2014 और 2017 की शुरुआत से। सुरक्षा एजेंसियों ने इस संक्रमण को फैलाने के लिए डिज़ाइन किए गए दो विशिष्ट अभियानों की पहचान की है, अंतिम नवंबर 2019 तक डेटिंग।
दिलचस्प रूप से, सुरक्षा विशेषज्ञ अभी भी नहीं जानते कि QSnatch कैसे फैलता है, लेकिन ऐसा लगता है कि संक्रमण चरण में डिवाइस फर्मवेयर में इंजेक्ट किया जाता है, जिसमें संक्रमण के बाद डिवाइस के भीतर दुर्भावनापूर्ण कोड चलता है, जिससे यह समझौता हो जाता है। यह अत्यधिक संभव है कि हमलावरों ने फर्मवेयर में पाई जाने वाली दूरस्थ रूप से शोषण योग्य भेद्यता का फायदा उठाया, जिससे दुर्भावनापूर्ण कोड को फर्मवेयर में इंजेक्ट किया जा सके।
QSnatch संक्रमित उपकरणों से गोपनीय जानकारी इकट्ठा करने में सक्षम है, जिसमें आपके लॉगिन क्रेडेंशियल और सिस्टम कॉन्फ़िगरेशन शामिल हैं। इन डेटा उल्लंघन चिंताओं के कारण, "साफ़" किए गए संक्रमित QNAP उपकरण मैलवेयर हटाने के बाद भी पुनर्संक्रमण के जोखिम में हो सकते हैं।
जर्मन कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-Bund) के अनुसार, जर्मनी में 7,000 से अधिक QSnatch संक्रमणों की सूचना मिली है। जून में, दुनिया भर में संक्रमित उपकरणों की संख्या 62,000 तक पहुंच गई, जिसमें अमेरिका में लगभग 7,600 और ब्रिटेन में 3,900 थे।
QSnatch कैसे काम करता है
QSnatch एक अत्यंत परिष्कृत मैलवेयर है जिसे CGI पासवर्ड लॉगर का उपयोग करके क्रेडेंशियल चुराने, हैकर्स को SSH बैकडोर प्रदान करने, डेटा निर्यात करने (सिस्टम कॉन्फ़िगरेशन और लॉग फ़ाइलों सहित), और दूरस्थ पहुंच के लिए वेब शेल कार्यक्षमता प्रदान करने के लिए बनाया गया है।
एक बार जब मैलवेयर NAS ड्राइव पर इंस्टॉल हो जाता है, तो यह होस्ट फ़ाइल को संशोधित करके और NAS ड्राइव द्वारा उपयोग किए जाने वाले मुख्य डोमेन नामों को पुराने स्थानीय संस्करणों पर रीडायरेक्ट करके लगातार बना रहता है, जिससे अपडेट प्राप्त होने से रोका जा सके।
सुरक्षा अलर्ट के अनुसार, QSnatch के नए संस्करण में मॉड्यूल के लिए कार्यक्षमता शामिल एक बेहतर और व्यापक सेट है, जैसे:
- डिवाइस एडमिन लॉगिन पेज का एक नकली संस्करण स्थापित करने, वैध प्रमाणीकरण लॉग करने, और उन्हें वैध लॉगिन पेज पर अग्रेषित करने के लिए CGI पासवर्ड लॉगर।
- एक क्रेडेंशियल स्क्रैपर
- SSH बैकडोर जो हैकर को डिवाइस पर मनमाना कोड निष्पादित करने की अनुमति देता है।
- एक्सफिल्ट्रेशन जो QSnatch को फ़ाइलों की एक पूर्वनिर्धारित सूची चुराने में सक्षम बनाता है, जिसमें सिस्टम कॉन्फ़िगरेशन और लॉग फ़ाइलें शामिल हैं। ये आमतौर पर हैकर की सार्वजनिक कुंजी के साथ एन्क्रिप्ट किए जाते हैं और HTTPS पर उनके बुनियादी ढांचे को अग्रेषित किए जाते हैं।
- दूरस्थ पहुंच के लिए वेबशेल कार्यक्षमता
जबकि सुरक्षा विशेषज्ञ QSnatch मैलवेयर के वर्तमान संस्करण की क्षमताओं का विश्लेषण करने में कामयाब रहे हैं, एक महत्वपूर्ण कारक उनसे छूट जाता है — मैलवेयर शुरू में उपकरणों को कैसे संक्रमित करता है।
जैसा कि पहले उल्लेख किया गया है, हैकर्स QNAP फर्मवेयर में पाई जाने वाली कमजोरियों का फायदा उठा रहे होंगे या हमलावर एडमिन खाते के लिए सामान्य पासवर्ड का उपयोग कर रहे होंगे। दुर्भाग्य से, इनमें से किसी भी विधि को संदेह से परे सत्यापित नहीं किया जा सका।
लेकिन एक बार जब हैकर्स पैर जमा लेते हैं, तो QSnatch मैलवेयर फर्मवेयर में इंजेक्ट हो जाता है और डिवाइस का पूरा नियंत्रण ले लेता है। यह फिर फर्मवेयर के भविष्य के अपडेट को ब्लॉक कर देता है ताकि संक्रमित NAS पर जीवित रह सके।
क्योंकि मैलवेयर इतना लगातार है, एडमिन फर्मवेयर अपडेट इंस्टॉल नहीं कर सकते। एक विश्वसनीय एंटीवायरस का उपयोग सामान्य मैलवेयर के लिए काम कर सकता है, लेकिन इस मामले में वे प्रभावी नहीं हैं। उपयोगकर्ताओं को मैलवेयर को हटाने की प्रक्रिया में पूर्ण फ़ैक्टरी रीसेट करने से पहले फर्मवेयर को अपग्रेड करने और सभी नवीनतम अपडेट इंस्टॉल करने की आवश्यकता है।
QSnatch मैलवेयर को कैसे हटाएं
यह निश्चित नहीं है कि मैलवेयर DDoS हमलों, क्रिप्टोकरेंसी माइनिंग, या QNAP उपकरणों के लिए बैकडोर के रूप में काम करने के लिए बनाया गया था जिसे गोपनीय डेटा चुराने या भविष्य में मैलवेयर होस्ट करने के लिए विकसित किया गया था।
लेकिन अभी के लिए, QSnatch को हटाने का एकमात्र सफल तरीका NAS डिवाइस का पूर्ण फ़ैक्टरी रीसेट करना है। रीसेट करने के बाद, उपयोगकर्ताओं को उपलब्ध QNAP NAS फर्मवेयर अपडेट का नवीनतम संस्करण इंस्टॉल करने के लिए प्रोत्साहित किया जाता है।
यदि आपके संगठन को इस मैलवेयर से संक्रमित किया गया है, तो यहां QNAP की सिफारिश है:
"QNAP ने 1 नवंबर को QTS ऑपरेटिंग सिस्टम के लिए अपने मैलवेयर रिमूवर ऐप को QNAP NAS से मैलवेयर का पता लगाने और हटाने के लिए अपडेट किया है। QNAP ने 2 नवंबर को एक अद्यतन सुरक्षा सलाह भी जारी की। उपयोगकर्ताओं से QTS ऐप सेंटर से या QNAP वेबसाइट से मैन्युअल डाउनलोड द्वारा मैलवेयर रिमूवर ऐप का नवीनतम संस्करण इंस्टॉल करने का आग्रह किया जाता है। QNAP QNAP NAS सुरक्षा संवर्द्धन के लिए कार्यों की एक श्रृंखला की भी सिफारिश करता है। वे सुरक्षा सलाह में भी विस्तृत हैं।"
नवीनतम फर्मवेयर में अपडेट करने के लिए, इस लिंक का पालन करें: https://www.qnap.com/en/download
आप नीचे दिए गए निर्देशों का भी पालन कर सकते हैं:
- प्रशासक के रूप में QTS में लॉग इन करें।
- कंट्रोल पैनल > सिस्टम > फर्मवेयर अपडेट पर जाएं।
- लाइव अपडेट के तहत अपडेट के लिए जांचें पर क्लिक करें।
- QTS नवीनतम उपलब्ध अपडेट डाउनलोड और इंस्टॉल करता है।
आपको QNAP के अंतर्निहित मैलवेयर रिमूवर को भी अपडेट करने की आवश्यकता है, नीचे दिए गए चरणों का पालन करके:
- प्रशासक के रूप में QTS में लॉग इन करें।
- ऐप सेंटर खोलें, और फिर (+) बटन पर क्लिक करें।
- जब मैन्युअल इंस्टॉलेशन डायलॉग बॉक्स दिखाई दे, तो निर्देश पढ़ें।
- ब्राउज़ पर क्लिक करें।
- जब फ़ाइल ब्राउज़र दिखाई दे, तो इंस्टॉलर फ़ाइल का पता लगाएं और चुनें।
- इंस्टॉल पर क्लिक करें।
- एक पुष्टिकरण संदेश पॉप अप होता है।
- OK पर क्लिक करें।
- QTS को अब मैलवेयर रिमूवर का नवीनतम संस्करण इंस्टॉल करना चाहिए।
- जब पुष्टिकरण संदेश दिखाई दे, तो OK पर क्लिक करें।
- जब आवश्यक अपडेट डायलॉग बॉक्स दिखाई दे, तो अभी अपडेट करें पर क्लिक करें।
- QTS को मैलवेयर रिमूवर को नवीनतम संस्करण में अपडेट करना चाहिए।
- मैलवेयर रिमूवर खोलें, फिर स्कैन शुरू करें पर क्लिक करें।
यह NAS को मैलवेयर के लिए स्कैन करना चाहिए और पाए गए किसी भी खतरे को हटा देना चाहिए।
QSnatch संक्रमण को कैसे रोकें
मैलवेयर संक्रमण को रोकने के लिए, QNAP निम्नलिखित सुरक्षा उपायों की भी दृढ़ता से सिफारिश करता है:
- एडमिन पासवर्ड बदलें और अद्वितीय, मजबूत वाले का उपयोग करें।
- अन्य उपयोगकर्ता पासवर्ड बदलें और उन्हें जितना संभव हो उतना यादृच्छिक बनाएं।
- अपना QNAP ID पासवर्ड भी बदलें।
- इसे क्रैक करना मुश्किल बनाने के लिए एक मजबूत डेटाबेस रूट पासवर्ड का उपयोग करें।
- अपरिचित या संदिग्ध खातों को हटाएं जो मैलवेयर ने बनाए होंगे।
- IP और खाता एक्सेस सुरक्षा सक्षम करें ताकि ब्रूट फोर्स हमलों से बचा जा सके।
- यदि इन सेवाओं का उपयोग नहीं किया जा रहा है तो SSH और टेलनेट कनेक्शन अक्षम करें।
- वेब सर्वर, SQL सर्वर, या phpMyAdmin ऐप को भी अक्षम करें।
- दोषपूर्ण, अज्ञात, या संदिग्ध ऐप्स हटाएं।
- डिफ़ॉल्ट पोर्ट नंबरों का उपयोग न करें, जिनमें 22, 443, 80, 8080, और 8081 शामिल हैं।
- ऑटो राउटर कॉन्फ़िगरेशन और प्रकाशित सेवाएं बंद करें।
- myQNAPcloud में एक्सेस कंट्रोल प्रतिबंधित करें।
उपरोक्त चरणों को आपके QNAP उपकरणों को इन हमलों का लक्ष्य बनने से रोकना चाहिए। QSnatch से संक्रमित होने पर न केवल आपके क्रेडेंशियल चोरी होने का खतरा होता है, बल्कि मैलवेयर को हटाने के लिए NAS ड्राइव को रिफॉर्मेट करने पर आपका सारा डेटा भी डिलीट हो जाएगा। इसलिए ऐसा होने से रोकने के लिए, सुनिश्चित करें कि बहुत देर होने से पहले अपने ड्राइव पर सख्त सुरक्षा उपाय लागू करें।
