NAS를 써보고 싶어 비싼 시놀로지 사기 전에 연습용으로 QNAP 2베이 NAS를 사서 쓴지 얼마 되지 않았습니다.

그러나 이틀 전만 해도 멀쩡했던 NAS가 갑자기 랜섬웨어에 감염되었네요 ㅠㅠ

 

감염된 랜섬웨어 관련해서 간략히 말씀드리면, 랜섬웨어 명칭은 Qlocker이며, 7zip 파일 확장자로 파일을 암호화시킵니다.

<해당 랜섬웨어 감염 시 QNAP 리소스 모니터에서 매우 많은 7z 프로세스를 보실 수 있습니다>

 

<감염된 폴더 내에서 README 파일이 생성되며, 다음과 같은 txt 파일이 생성됩니다.>

 

QNAP 측에서 밝힌 감염 원인은 QNAP 내부 취약점 2개로 인한 것으로 보인다고 링크의 뉴스에서 밝혔다는데요, 

CVE-2020-2509: Command Injection Vulnerability in QTS and QuTS hero
CVE-2020-36195: SQL Injection Vulnerability in Multimedia Console and the Media Streaming Add-On

해당 취약점은 4/16일에 패치되었다고 밝혔지만 저의 경우에는 이미 17일에 모두 업데이트가 완료되어 있는 상황이었습니다.

 

QNAP에서 밝힌 것으로 볼때는 APP 중 MediaStreaming Addon과 Multimedia Console이 엮인 것으로 설명했지만, 저의 경우 패치가 완료되었었고 외부 로그인 기록 등이 전혀 존재하지 않는걸 볼때, 제로데이 취약점일 가능성이 높아 QNAP을 사용중이시라면 인터넷에 연결되기만 해도 감염되는 것으로 생각됩니다. 비슷하게 외국에서도 어제부터 피해 사례가 보고되고 있습니다.

(저의 경우 20일날 감염된 것으로 보이며, 시간을 볼때 감염되자마자 바로 확인한 것 같습니다)

 

QNAP NAS 쓰시는 분들 중 불가피한 경우가 아니라면 모든 업데이트가 되어 있더라도 외부에서 접속하는 포트를 모두 닫아놓는것을 추천드립니다.(특히 HTTP 8080포트를 닫아놓으셔야 할것 같습니다)

 

저의 경우 영화 자막파일인 smi, srt, 혹은 pdf 등의 약 100MB 이하의 용량의 파일만이 암호화된걸 확인했으며, 다행히 중요한 자료가 전혀 없었기에 QNAP 내부 dom을 덮어씌우고 펌웨어 재설치 등을 수행하였습니다.

저는 사용하는 일부 포트를 제외하고 모두 닫아놓은 상태이며 열린 포트도 외부와 내부를 다르게 했으나 이렇게 되었습니다.

아마 이번 Qlocker 랜섬웨어는 작은 용량의 문서 등의 업무용 파일을 주 대상으로 하는 것 같습니다.

저 외에 QNAP 쓰시는 분들의 피해가 최대한 적기를 기원합니다.

 

관련 링크를 첨부합니다. 첫번째 뉴스가 아마 가장 빠르고 정확한 상황을 올린 것 같습니다.

1. 관련 내용을 정리한 뉴스 : https://www.bleepingcomputer.com/news/security/massive-qlocker-ransomware-attack-uses-7zip-to-encrypt-qnap-devices/

2. 이스트시큐리티 뉴스 : https://blog.alyac.co.kr/3721

3. 문제 관련해서 보고가 시작된 포럼 및 본문 이미지들 출처

https://www.bleepingcomputer.com/forums/t/749247/qlocker-qnap-nas-ransomware-encrypting-with-extension-7z/

 

[업데이트1] 해당 랜섬웨어는 4/19일부터 전세계적으로 퍼진 것으로 보입니다(3일 지났네요), 관리자 권한 획득 혹은 로그인이 필요 없는 랜섬웨어로 보이며 내부로 침입 후 QNAP 내부 7z로 압축하며 암호화시킵니다. 특이한 점은 랜섬 본체의 파일 등의 흔적을 확인할 수 없었습니다.

[업데이트2] 해당 암호화가 QNAP 내부 7z 프로그램을 사용하는 것에 착안해 복구를 위해 많은 시도가 이루어지고 있습니다. 첫번째 링크 뉴스 댓글에서 해당 뉴스 및 포럼 사용자들이 7z 암호를 찾기 위한 명령어들을 시도하고 있습니다. (일부는 성공한 것으로 보입니다) 아마 방법이 나온다면 해당 뉴스 링크가 가장 빠른 소식이 되지 않을까 싶습니다.