勒索軟件警報 - 針對 Synology NAS 裝置的勒索軟件攻擊

解決方案

預防及修補措施

HKCERT 建議用戶及系統管理員：

• 立即更新 DSM： 將 DSM 升級至裝置支援且仍獲廠商支援的最新適用版本。仍使用已終止支援版本的用戶，應安排升級；如裝置無法升級，應評估更換裝置。 有關受影響版本及修補資訊，可參考： Synology urges users to apply security updates, extends PHP2Shell fixes to older DSM releases

• 更新 PHP 及受影響套件： 透過套件中心（Package Center）安裝 PHP 安全更新。更新涵蓋 DSM 7.4、7.3、7.2、7.1、7.0 及 6.2。完成 PHP 更新後，相依套件會自動重新啟動；MailStation 則須另行透過套件中心手動更新。詳細更新安排可參考： Synology Extends PHP2Shell Security Updates to End-of-Life DSM Versions

• 處理更舊版本： 運行 DSM 6.2 以前版本的系統，應按廠商建議暫時停用受影響套件，並升級至仍獲支援的 DSM 版本。

• 減少網絡暴露： 避免將 NAS 管理介面直接暴露於互聯網，停用不必要的服務及連接埠轉發（Port Forwarding），並限制遠端存取。

• 保護重要資料： 保留離線備份或不可變更備份，並定期測試還原程序。

懷疑受感染時的應對措施

如發現檔案被異常加密或出現勒索訊息，HKCERT 建議：

• 立即隔離裝置： 中斷受影響 NAS 的網絡連線，並暫停與其連接的同步及備份工作，避免其他資料或備份受影響。

• 保存證據： 保留勒索訊息、已加密檔案樣本、系統及存取日誌，並記錄發現異常的時間。避免自行重設、格式化或不必要地重新啟動裝置。

• 尋求事故應變支援： 聯絡資訊科技支援人員或事故應變服務供應商，調查入侵途徑及受影響範圍。

• 完成修復後才恢復服務： 移除惡意程式及未經授權的存取途徑、安裝更新，並透過未受感染的裝置重設可能已外洩的登入憑證。確認環境安全後，才從經核實未受感染的備份還原資料。

• 不要依賴付款取回資料： 支付贖金並不保證能恢復資料。安裝安全更新亦無法解密已被勒索軟件加密的檔案。

企業或公眾如欲向 HKCERT 報告與資訊保安相關的事故，可以填寫網上表格： https://www.hkcert.org/zh/incident-reporting 或致電24小時熱線電話：（852）8105 6060。如有其他疑問，歡迎發電郵至 hkcert@hkcert.org 與 HKCERT 聯絡。

參考資料：

• Synology urges users to apply security updates, extends PHP2Shell fixes to older DSM releases

• Synology Extends PHP2Shell Security Updates to End-of-Life DSM Versions