勒索軟體鎖定NAS用戶，包括群暉科技、威聯通用戶都應提高警覺

勒索軟體近日鎖定NAS用戶發動攻擊，加密使用者文件資料，包括臺灣NAS儲存業者群暉科技（Synology）以及威聯通（QNAP）的使用者，都在這一波的攻擊內。

群暉科技安全事件應變組經理李宜謙表示，光7月20日～21日這個週末就有數十名，使用預設帳號Admin和弱密碼的用戶，遭到勒索軟體暴力破解密碼後，進行檔案加密後並勒索贖金。

李宜謙表示，群暉科技分析勒索軟體樣本後發現，攻擊群暉科技用戶的樣本特性，如同先前威脅情資業者Anomali發現的，鎖定對臺灣NAS業者威聯通的惡意程式一樣，樣本都有對群暉科技和威聯通的暴力破解模組。他說：「從攻擊樣本來看，群暉科技和威聯通有著高度相似的處境，都可能是被同一個駭客集團鎖定攻擊。」

駭客加密NAS的資料檔，要求贖金1.8萬元

群暉科技週末接到使用者通報後便緊急進行樣本分析，李宜謙指出，他們連回駭客掌控的控制與命令（C2）伺服器、抓回樣本後發現，在樣本中的殘留資訊有「Stealth Worker」的字串，推測這個攻擊應該是由Stealth Worker，這個原先鎖定電子商務業者竊取帳密和金流資訊的駭客組織所發動的新一波攻擊。

他進一步表示，這些受害的使用者都是遭到駭客以暴力破解密碼並取得管理者權限後，加密資料夾中的檔案，鎖定加密的附檔名多為.doc、.docx或者是.pdf等，系統槽並沒有被加密；而且，目前駭客所使用的這個加密演算法並沒有瑕疵，還沒有破解之道。

他也說，當使用者的資料夾被加密後，被攻擊的儲存區會放一個說明檔，要求使用者使用洋蔥Tor瀏覽器連線到某特定網址後，便有說明檔要求受害者支付贖金0.06個比特幣（大約為新臺幣1.8萬元）。

避免使用常見Admin管理員帳號以及弱密碼

原本，群暉科技擔心是儲存作業系統DSM（DiskStation Manager ）本身或是特定系統安全性漏洞，導致此次的駭客攻擊，但李宜謙說，在團隊分析樣本後發現，駭客攻擊對象其實遍及市面上各種NAS品牌和型號，只要是使用預設Admin管理者帳號並且使用包括123456等弱密碼的用戶，駭客便利用字典檔暴力破解使用者密碼後，就可以進一步加密NAS資料夾中的文件檔案。

早期許多NAS業者的儲存作業系統，都會預設Admin作為管理者帳號，李宜謙說，在DSM 5.1版之後，該公司已經要求使用者不要使用預設的Admin作為管理者帳號，並要求使用強密碼以確保使用者帳密安全。

他指出，目前臺灣NAS用戶超過九成五都已經升級到最新版DSM 6.2版，遭到攻擊機率已經大幅降低，而其他尚未升級新版DSM並且使用強密碼的用戶，應該儘速升級並提升密碼強度，甚至可以搭配使用Google的OTP機制，以強化帳號密碼的安全性。

這一波駭客在7月19日發動新一波攻擊，透過隨機IP隱匿行蹤並作為攻擊跳板，「群暉科技已經通報TWCERT/CC與CERT/CC，透過國際聯防的協同合作，共同解決這一起駭客鎖定NAS用戶的攻擊事件。」李宜謙說道。