Attacchi Hacker su QNAP e distruzione backup Veeam

I NAS QNAP sono molto diffusi in ambienti aziendali, in ragione della loro scalabilità e della semplicità di configurazione disponendo di una interfaccia di management straordinaria.

L'implementazione delle numerose features e plugin, ha esteso in modo così complesso il sistema che è ora oggetto di numerose vulnerabilità.
Sono infatti migliaia i NAS colpiti da Ransomware negli ultimi anni, come QLOCKER o ECHRAIX.
Tali Ransomware sfruttano alcune vulnerabilità dei QNAP che consentono all'attaccante un accesso amministrativo alla console del NAS.
Note sono le CVE-2017-10700 e CVE-2021-44057 ma essendo attenzionati potrebbero esistere moltissime altre vulnerabilità 0 DAY disponibili ad eventuali attaccanti.

Tali vulnerabiltà consentono all’attaccante di avere accesso shell e operare fisicamente sui dischi dello storage. In diversi attacchi analizzati , l’attaccante ha eseguito addirittura un dd if=/dev/zero per eseguire cancellazione sicura dei settori dei dischi appartenenti all’array del QNAP. Nella maggior parte dei casi l’attaccante esegue una formattazione del Volume Dati Del QNAP rendendo vano qualsiasi tentativo di recovery basato su analisi forense.

Backup Veeam su QNAP

I backup veeam sono strategici al fine di restorare le Virtual Machine sia nelle modalità di backup incrementale che differenziale VBK.
In tutti i casi di disaster recovery affrontati dalla nostra organizzazione abbiamo ricevuto NAS QNAP colpiti da attacco interno in cui l'attaccante ha avuto disponibilità di accesso amministrativo alla interfaccia di management.
In tutti i casi analizzati il QNAP era utilizzato come repository per i backup delle virtual machine in modalità Acronis o Veeam.

• Inizializzazione e Formattazione Del Volume Dati
• Inizializzazione dell'array e inizializzazione del Volume
• Cancellazione reiterata di iNodes
• Secure Erase Dei dischi del RAID

Impatto sui Backup VMWARE VEEAM dopo formattazione QNAP

La formattazione di un file system EXT4 è letale per gli iNodes che definiscono file cartelle e la loro allocazione sul file system. Un format di volume azzera gli iNodes Groups, il Journal e naturalmente gli inodes.

Una ricerca forense di elementi VEEAM è tuttavia possibile, ma data la frammentazione sistematica dei file VBK è pressochè impossibile ricostruire l’ordine originale dei frammenti del file, e anche disponendo di un recovery parziale, l’estrattore di VEEAM ( veeam extractor ) fallirebbe durante l’estrazione in seguito a controlli hash falliti e decompressione impraticabile di stream parziali.

Impatto sui Backup VMWARE VEEAM dopo cancellazione di files su QNAP

Se l’attaccante non fosse riuscito a portare una escalation ed avere un accesso shell al NAS è comune che le cartelle VEEAM vengano cancellate e sovrascritte al fine di distruggere gli inodes relativi ai VBK per renderli inutilizzabili. In questi casi è comunque possibile recuperare elementi validi analizzando il file system ed eventuali COMMIT presenti nel journal del file SYSTEM EXT4

Metodo di Analisi Online

Prevede l’analisi dei contenuti datastore via network utilizzando connessione SSH senza l’esigenza di eseguire copie e Download di dati.

• Scaricare ChallengerOS
• Creare il dispositivo di Avvio con Rufus o Balena Etcher
• Avviare ChallengerOS in un computer connesso ad internet ed alla rete locale
• Richiedere la connessione Remota e l’analisi ad uno dei nostri specialisti

Metodo di Analisi Cloud

Prevede la copia o il download delle vm oggetto dell’analisi dal datastore e una successiva copia in FTP delle VM danneggiate

• Scaricare o Copiare la VM su Hard Drive esterno USB
• Richiedere la creazione di un profilo sul nostro DataCenter per l’upload delle VM su spazio FTP.
• Le Vm potranno essere analizzate in real time dai nostri specialisti anche durante il processo di upload.

Metodo di Analisi Off Site

Prevede la copia o il download delle vm oggetto dell’analisi dal datastore e una successiva spedizione delle VM Danneggiate.

• Scaricare o Copiare la VM su Hard Drive esterno USB
• Richiedere la creazione di un profilo commerciale e concertare con i nostri addetti la spedizione/ritiro del drive contenente le VM da analizzare.

Metodo di Analisi On Site

Un nostro specialista Vi raggiungerà presso il VS Data Center ed eseguirà l'analisi direttamente presso la Vostra Sede.
Contattare il Call Center per pianificare le modalità di intervento on site.

I nostri specialisti sono a Vostra disposizione h24 365 giorni l'anno.
Contatto Email: restore@recoveryitalia.it
Contatto Telegram : @recoveryitalia

In oltre 20 anni di attività di Data Recovery Professionale, abbiamo affrontato e risolto i casi più complessi e singolari.
Nel nostro blog raccontiamo strategie, trucchi e metodi per affrontare autonomamente ogni caso di perdita di dati da dispositivi digitali.

BLOG RECOVERY ITALIA