อุปกรณ์ Network Attached Storage (NAS) ของ QNAP ถูกพบว่ามีช่องโหว่ต่อมัลแวร์ชื่อ QSnatch ตามคำเตือนจาก CISA (สหรัฐอเมริกา) และ NCSC (สหราชอาณาจักร)
QNAP ผลิตอุปกรณ์ NAS ใช้เป็นคลาวด์สำรองข้อมูลท้องถิ่นสำหรับคอมพิวเตอร์ โทรศัพท์ และโปรแกรมต่างๆ ใช้ระบบปฏิบัติการ Linux ปรับแต่งเอง ทำให้มัลแวร์ QSnatch น่าสนใจมาก ยังไม่ชัดเจนว่ามัลแวร์เผยแพร่อย่างไร ผู้โจมตีคือใคร และวัตถุประสงค์คืออะไร
มัลแวร์ QSnatch คืออะไร?
QSnatch เป็นสต레นมัลแวร์ตัวที่ 4 ในปี 2020 ที่มุ่งเป้า NAS ตามมาหลังรانسัมแวร์ที่โจมตี Synology และรانسัมแวร์ eCh0raix และ Muhstik ที่โจมตี QNAP
ครั้งนี้แฮกเกอร์ติดเชื้อ NAS ของ QNAP หลายหมื่นเครื่องด้วยมัลแวร์ใหม่ชื่อ QSnatch
พบเวอร์ชันต่างๆ ของ QSnatch มาหลายปี ตั้งแต่ 2014 และ 2017 ส่วนราชการด้านความปลอดภัยระบุ 2 แคมเปญเฉพาะที่เผยแพร่เชื้อ ล่าสุดเมื่อพฤศจิกายน 2019
น่าสนใจคือผู้เชี่ยวชาญยังไม่ทราบว่า QSnatch เผยแพร่อย่างไร แต่ดูเหมือนจะถูกฉีดเข้าไปใน Firmware ระหว่างการติดเชื้อ โค้ดร้ายทำงานภายในอุปกรณ์หลังติดเชื้อ ทำให้ถูกควบคุม มีความเป็นไปได้สูงว่าโจมตีใช้ช่องโหว่ที่สามารถโจมตีจากระยะไกลใน Firmware เพื่อฉีดโค้ดร้าย
QSnatch สามารถรวบรวมข้อมูลลับจากอุปกรณ์ที่ติดเชื้อ รวมถึงข้อมูลเข้าสู่ระบบ (Credentials) และการตั้งค่าระบบ เนื่องจากกังวลเรื่องการรั่วไหลข้อมูล อุปกรณ์ QNAP ที่ "ทำความสะอาด" แล้วยังคงเสี่ยงต่อการติดเชื้อซ้ำแม้จะลบมัลแวร์ออกไปแล้ว
ตาม CERT-Bund (เยอรมนี) มีรายงานติดเชื้อ QSnatch มากกว่า 7,000 เครื่อง ในมิถุนายน จำนวนอุปกรณ์ติดเชื้อทั่วโลกถึง 62,000 เครื่อง โดยประมาณ 7,600 เครื่องในสหรัฐ และ 3,900 เครื่องในสหราชอาณาจักร
QSnatch ทำงานอย่างไร?
QSnatch เป็นมัลแวร์ที่ซับซ้อนมาก สร้างขึ้นเพื่อขโมย Credentials ด้วย CGI Password Logger ให้แฮกเกอร์มี SSH Backdoor ส่งออกข้อมูล (รวมการตั้งค่าระบบและไฟล์ล็อก) และให้ฟังก์ชัน Web Shell สำหรับการเข้าถึงจากระยะไกล
หลังติดตั้งบน NAS Drive มันจะทำ Persistence โดยแก้ไข Host File และ Redirect โดเมนหลักที่ NAS ใช้ ไปยังเวอร์ชันเก่าท้องถิ่น ทำให้ไม่สามารถดึงอัปเดตได้
ตามเตือนความปลอดภัย เวอร์ชันใหม่ของ QSnatch มาพร้อมฟีเจอร์ที่ดีขึ้นและกว้างขึ้น รวมโมดูลดังนี้:
- CGI Password Logger: ติดตั้งหน้า Login Admin ปลอม บันทึกการยืนยันตัวตนที่ถูกต้อง และส่งต่อไปหน้า Login จริง
- Credential Scraper
- SSH Backdoor: อนุญาตให้แฮกเกอร์รันโค้ดสุ่มบนอุปกรณ์
- Exfiltration: QSnatch ขโมยไฟล์ตามรายการที่กำหนด รวมการตั้งค่าระบบและไฟล์ล็อก เข้ารหัสด้วย Public Key ของแฮกเกอร์ และส่งไปโครงสร้างพื้นฐานของพวกเขาผ่าน HTTPS
- Webshell สำหรับการเข้าถึงระยะไกล
แม้ผู้เชี่ยวชาญวิเคราะห์ความสามารถของ QSnatch เวอร์จันปัจจุบันได้แล้ว แต่ยังไม่ทราบว่ามัลแวร์ติดเชื้ออุปกรณ์เริ่มต้นอย่างไร
如前所述 แฮกเกอร์อาจใช้ช่องโหว่ใน Firmware QNAP หรือใช้รหัสผ่านแอดมินทั่วไป แต่ไม่มีวิธีไหนยืนยันได้แน่ชัด
เมื่อแฮกเกอร์ได้ Foothold แล้ว QSnatch จะถูกฉีดเข้า Firmware และควบคุมอุปกรณ์เต็มที่ จากนั้นบล็อกการอัปเดต Firmware ในอนาคต เพื่ออยู่รอดบน NAS ที่ติดเชื้อ
เนื่องจากมัลแวร์มี Persistence สูง แอดมินไม่สามารถติดตั้งอัปเดต Firmware ได้ การใช้ Antivirus ธรรมดาอาจทำงานกับมัลแวร์ทั่วไป แต่ไม่มีผลกับกรณีนี้ ผู้ใช้ต้องทำ Full Factory Reset ก่อนอัปเกรด Firmware และติดตั้งอัปเดตล่าสุด เพื่อลบมัลแวร์ในกระบวนการ
วิธีกำจัดมัลแวร์ QSnatch
ไม่แน่ใจว่ามัลแวร์สร้างขึ้นเพื่อ DDoS, Cryptocurrency Mining หรือเป็น Backdoor สำหรับขโมยข้อมูลลับหรือโฮสต์มัลแวร์ในอนาคต
แต่ขณะนี้ วิธีเดียวที่สำเร็จในการกำจัด QSnatch คือการทำ Full Factory Reset ของอุปกรณ์ NAS หลังรีเซ็ต ผู้ใช้ควรติดตั้ง Firmware QNAP NAS เวอร์ชันล่าสุดที่มีอยู่
หากองค์กรของคุณติดเชื้อ QNAP แนะนำดังนี้:
"QNAP อัปเดตแอป Malware Remover สำหรับ QTS OS เมื่อวันที่ 1 พฤศจิกายน เพื่อตรวจจับและกำจัดมัลแวร์จาก QNAP NAS QNAP ปล่อยคำแนะนำความปลอดภัยอัปเดตเมื่อวันที่ 2 พฤศจิกายน ผู้ใช้ควรติดตั้ง Malware Remover เวอร์ชันล่าสุดจาก QTS App Center หรือดาวน์โหลดมืออาจจากเว็บไซต์ QNAP QNAP แนะนำขั้นตอนเพิ่มเติมสำหรับการเพิ่มความปลอดภัย NAS รายละเอียดในคำแนะนำความปลอดภัย"
เพื่ออัปเดต Firmware ล่าสุด: https://www.qnap.com/en/download
หรือทำตามขั้นตอน:
- ล็อกอิน QTS เป็น Administrator
- ไปที่ Control Panel > System > Firmware Update
- คลิก Check for Update ภายใต้ Live Update
- QTS จะดาวน์โหลดและติดตั้งอัปเดตล่าสุดอัตโนมัติ
ต้องอัปเดต Malware Remover ในตัวของ QNAP ด้วย:
- ล็อกอิน QTS เป็น Administrator
- เปิด App Center คลิกปุ่ม (+)
- เมื่อกล่องโต้ตอบติดตั้งมืออาจปรากฏ อ่านคำแนะนำ
- คลิก Browse
- หาและเลือกไฟล์ติดตั้ง
- คลิก Install
- ข้อความยืนยันปรากฏ คลิก OK
- เมื่อกล่องโต้ตอบ Required Updates ปรากฏ คลิก Update Now
- QTS จะอัปเดต Malware Remover เป็นเวอร์ชันล่าสุด
- เปิด Malware Remover แล้วคลิก Start Scan
จะสแกน NAS หามัลแวร์และลบภัยคุกคามที่พบ
วิธีป้องกันการติดเชื้อ QSnatch
QNAP แนะนำมาตรการความปลอดภัยอย่างเข้มงวดดังนี้:
- เปลี่ยนรหัสผ่าน Admin และใช้รหัสที่ซับซ้อนและไม่ซ้ำกัน
- เปลี่ยนรหัสผ่านผู้ใช้คนอื่น ให้สุ่มที่สุดเท่าที่จะเป็นไปได้
- เปลี่ยนรหัสผ่าน QNAP ID ด้วย
- ใช้รหัสผ่าน Root ของฐานข้อมูลที่แข็งแกร่งขึ้น
- ลบบัญชีที่ไม่คุ้นเคยหรือน่าสงสัย ที่มัลแวร์อาจสร้างขึ้น
- เปิดใช้งาน IP และ Account Access Protection เพื่อป้องกัน Brute Force
- ปิดการเชื่อมต่อ SSH และ Telnet หากไม่ได้ใช้บริการเหล่านี้
- ปิด Web Server, SQL Server, หรือแอป phpMyAdmin ด้วย
- ลบแอปที่ผิดปกติ ไม่รู้จัก หรือน่าสงสัย
- อย่าใช้ Port เริ่มต้น รวมถึง 22, 443, 80, 8080, 8081
- ปิด Auto Router Configuration และ Publish Services
- จำกัด Access Control ใน myQNAPcloud
ขั้นตอนข้างต้นควรป้องกันอุปกรณ์ QNAP จากการเป็นเป้าหมาย การติดเชื้อ QSnatch ไม่เพียงเสี่ยงต่อการขโมย Credentials ข้อมูลทั้งหมดก็จะถูกลบเมื่อคุณโฟร์แมต NAS เพื่อกำจัดมัลแวร์ ดังนั้นควรใช้มาตรการความปลอดภัยเข้มงวดก่อนที่จะสายเกินไป
