Thiết bị Network Attached Storage (NAS) do QNAP thiết kế đã bị phát hiện dễ bị tấn công bởi mã độc tên QSnatch. Cảnh báo này theo lời khuyên của Cơ quan An ninh Hạ tầng An ninh Mạng Mỹ (CISA) cùng với Trung tâm An ninh Mạng Quốc gia Anh (NCSC).
QNAP tạo thiết bị NAS dùng làm bản sao lưu đám mây cục bộ cho nhiều thiết bị: máy tính, điện thoại, và nhiều chương trình khác. Nó dùng hệ điều hành Linux tùy chỉnh, khiến QSnatch malware càng ấn tượng. Vẫn chưa rõ mã độc phân phối như thế nào, kẻ tấn công là ai, mục đích của họ là gì.
QSnatch Malware Là Gì?
QSnatch là chủng mã độc thứ tư khám phá năm 2020 nhắm vào thiết bị NAS. Sự việc này xảy ra sau khi phát hiện chủng ransomware ảnh hưởng thiết bị Synology, cũng như ransomware eCh0raix và Muhstik nhiễm thiết bị QNAP.
Lần này, hacker đã nhiễm hàng chục nghìn thiết bị lưu trữ gắn mạng của nhà sản xuất Đài Loan QNAP với mã độc mới tên QSnatch.
Các phiên bản QSnatch malware đã được phát hiện nhiều năm nay, sớm nhất 2014 và 2017. Cơ quan an ninh đã xác định hai chiến dịch cụ thể thiết kế để lan truyền nhiễm này, lần cuối cùng ngày tháng 11/2019.
Thú vị là chuyên gia an ninh vẫn chưa biết QSnatch lây lan như thế nào, nhưng dường như nó được tiêm vào firmware thiết bị trong giai đoạn nhiễm, với mã độc chạy bên trong thiết bị sau khi nhiễm, do đó làm hỏng nó. Rất có thể kẻ tấn công khai thác lỗ hổng có thể khai thác từ xa trong firmware, cho phép mã độc được tiêm vào firmware.
QSnatch có thể thu thập thông tin bảo mật từ thiết bị bị nhiễm, bao gồm thông tin đăng nhập và cấu hình hệ thống. Vì lo ngại vi phạm dữ liệu, thiết bị QNAP bị nhiễm đã được "dọn dẹp" vẫn có nguy cơ nhiễm lại ngay cả sau khi xóa mã độc.
Theo Đội phản ứng khẩn cấp máy tính Đức (CERT-Bund), hơn 7.000 ca nhiễm QSnatch đã được báo cáo tại Đức. Tháng 6, số thiết bị bị nhiễm toàn cầu đạt 62.000, với khoảng 7.600 tại Mỹ và 3.900 tại Anh.
QSnatch Hoạt Động Như Thế Nào?
QSnatch là mã độc cực kỳ tinh vi được tạo ra để đánh cắp thông tin đăng nhập bằng CGI password logger, cung cấp backdoor SSH cho hacker, xuất dữ liệu (bao gồm cấu hình hệ thống và file log), và cung cấp chức năng web shell để truy cập từ xa.
Khi mã độc được cài đặt trên ổ NAS, nó trở nên bền bỉ (persistent) bằng cách sửa file host và chuyển hướng tên miền cốt lõi được NAS sử dụng về phiên bản cục bộ cũ, ngăn chặn việc lấy cập nhật.
Theo cảnh báo an ninh, phiên bản mới QSnatch đi kèm bộ tính năng cải tiến và mở rộng bao gồm chức năng cho các module:
- CGI password logger: cài đặt trang đăng nhập quản trị thiết bị giả, ghi lại xác thực hợp pháp, chuyển tiếp đến trang đăng nhập hợp pháp.
- Credential scraper (trình thu thập thông tin đăng nhập)
- SSH backdoor: cho phép hacker thực thi mã tùy ý trên thiết bị.
- Exfiltration (trích xuất dữ liệu): cho phép QSnatch đánh cắp danh sách file định trước, bao gồm cấu hình hệ thống và file log. Chúng thường được mã hóa bằng khóa công khai của hacker và chuyển tiếp đến cơ sở hạ tầng của họ qua HTTPS.
- Chức năng webshell cho truy cập từ xa
Mặc dù chuyên gia an ninh đã phân tích được khả năng của phiên bản QSnatch hiện tại, một yếu tố quan trọng vẫn lọt lưới — mã độc ban đầu xâm nhập thiết bị như thế nào.
Như đã đề cập, hacker có thể khai thác lỗ hổng trong firmware QNAP hoặc dùng mật khẩu chung cho tài khoản admin. Rất tiếc, không phương pháp nào được xác minh chắc chắn.
Nhưng một khi hacker giành được điểm tựa, QSnatch malware được tiêm vào firmware và kiểm soát hoàn toàn thiết bị. Sau đó nó chặn cập nhật firmware tương lai để tồn tại trên NAS bị nhiễm.
Vì mã độc quá bền bỉ, quản trị viên không thể cài đặt cập nhật firmware. Dùng antivirus đáng tin cậy có thể hoạt động với mã độc thường, nhưng không hiệu quả trong trường hợp này. Người dùng cần thực hiện khôi phục cài đặt gốc (full factory reset) trước khi nâng cấp firmware và cài đặt tất cả bản cập nhật mới nhất, xóa mã độc trong quá trình đó.
Cách Loại Bỏ QSnatch Malware
Chưa chắc mã độc được tạo cho tấn công DDoS, đào tiền điện tử, hoặc làm backdoor cho thiết bị QNAP nhằm đánh cắp dữ liệu bảo mật hoặc lưu trữ mã độc tương lai.
Nhưng tính đến nay, phương pháp duy nhất thành công gỡ QSnatch là khôi phục cài đặt gốc toàn bộ (full factory reset) thiết bị NAS. Sau khi reset, khuyến khích người dùng cài đặt phiên bản mới nhất của bản cập nhật firmware QNAP NAS có sẵn.
Nếu tổ chức bạn bị nhiễm mã độc này, đây là khuyến nghị của QNAP:
"QNAP đã cập nhật ứng dụng Malware Remover cho hệ điều hành QTS vào ngày 1/11 để phát hiện và gỡ mã độc khỏi QNAP NAS. QNAP cũng phát hành lời khuyên bảo mật cập nhật ngày 2/11 để giải quyết vấn đề. Người dùng được khuyến khích cài đặt phiên bản mới nhất của ứng dụng Malware Remover từ QTS App Center hoặc tải thủ công từ trang web QNAP. QNAP cũng khuyến nghị một loạt hành động tăng cường an ninh QNAP NAS. Chúng được chi tiết trong lời khuyên bảo mật."
Để cập nhật firmware mới nhất, truy cập: https://www.qnap.com/en/download
Cũng có thể làm theo hướng dẫn dưới:
- Đăng nhập QTS với tư cách quản trị viên.
- Điều hướng đến Control Panel > System > Firmware Update.
- Nhấp Kiểm tra cập nhật (Check for Update) dưới Live Update.
- QTS tải và cài đặt bản cập nhật mới nhất có sẵn.
Cần cập nhật Malware Remover tích hợp của QNAP nữa, làm theo các bước:
- Đăng nhập QTS với tư cách quản trị viên.
- Mở App Center, nhấp nút (+).
- Khi hộp thoại cài đặt thủ công xuất hiện, đọc hướng dẫn.
- Nhấp Duyệt (Browse).
- Khi trình duyệt file xuất hiện, tìm và chọn file cài đặt.
- Nhấp Cài đặt (Install).
- Thông báo xác nhận hiện ra.
- Nhấp OK.
- QTS sẽ cài đặt phiên bản mới nhất Malware Remover.
- Khi thông báo xác nhận xuất hiện, nhấp OK.
- Khi hộp thoại cập nhật yêu cầu xuất hiện, nhấp Cập nhật ngay (Update Now).
- QTS sẽ cập nhật Malware Remover lên phiên bản mới nhất.
- Mở Malware Remover, nhấp Bắt đầu quét (Start Scan).
Điều này sẽ quét NAS tìm mã độc và xóa mọi mối đe dọa tìm thấy.
Cách Ngăn Chặn Nhiễm QSnatch
Để ngăn chặn nhiễm mã độc, QNAP cũng mạnh mẽ khuyến nghị các biện pháp an ninh sau:
- Thay đổi mật khẩu admin và dùng mật khẩu mạnh, duy nhất.
- Thay đổi mật khẩu người dùng khác, làm chúng ngẫu nhiên nhất có thể.
- Thay đổi mật khẩu QNAP ID.
- Dùng mật khẩu root database mạnh hơn để khó dò tìm.
- Xóa tài khoản lạ hoặc đáng ngờ mà mã độc có thể tạo ra.
- Bật bảo vệ truy cập IP và tài khoản để tránh tấn công brute-force.
- Vô hiệu hóa kết nối SSH và Telnet nếu dịch vụ này không dùng.
- Vô hiệu hóa Web Server, SQL server, hoặc ứng dụng phpMyAdmin.
- Gỡ ứng dụng lỗi, không rõ, đáng ngờ.
- Không dùng số cổng mặc định, bao gồm 22, 443, 80, 8080, 8081.
- Tắt Cấu hình Router Tự động (Auto Router Configuration) và Xuất bản Dịch vụ (Publish Services).
- Hạn chế Kiểm soát Truy cập (Access Control) trong myQNAPcloud.
Các bước trên nên ngăn thiết bị QNAP của bạn trở thành mục tiêu của các cuộc tấn công này. Bị nhiễm QSnatch không chỉ đặt thông tin đăng nhập tại nguy cơ bị đánh cắp, tất cả dữ liệu của bạn cũng sẽ bị xóa khi bạn format lại ổ NAS để gỡ mã độc. Vì vậy để ngăn điều này xảy ra, hãy thực thi các biện pháp an ninh nghiêm ngặt trên ổ của bạn trước khi quá muộn.