QNAP Ransomware DeadBolt

So leicht wie mit hardcodierten Credentials macht es nur QNAP. Eindrucksvoll an HBS erwiesen. Aber von einem GefrickelOS kann man auch nichts anderes erwarten.
 
Kennt jemand die Asustor NAS? Auf der Webseite gab es einen Screenshot vom Asustor Control Center, der mich von der Oberfläche her stark an den Qfinder erinnert hat.
Zuvor habe ich Asustor mal als "Randnotiz" wahrgenommen, mich aber nie ernsthaft damit befasst.
Warten wir mal ab, was noch alles kommt.

Gruss
 
Ich verfolge und beachte den Hersteller schon länger. Zwar noch keine NAS zugelegt, aber daran interessiert. Hardware auf ähnlichem Niveau wie QNAP (besser als Synology) wie ich das als Laie überblicke. Und das OS (ADM) wird auch stetig weiterentwickelt. Und schlechter als QTS kanns nicht sein.
 
Wie wahrscheinlich ist es dass das auch der Angriffsvektor bei QNAP war? Ist da überhaupt schon was raus?
 
Sind bei QNAP auch viele ohne Plex erwischt worden .. also glaube bei QNAP war nicht Plex das Einfallstor.

Aber ist halt so ein 'Ursache <> Wirkung' Problem.

Viele Leute die Ihr NAS dem WAN aussetzen, nutzen auch Plex laufen, aber heißt ja nicht das des das Problem war.
Gibt ja auch viele Massenmörder die gerne Toast essen .. *zwinker*
 
Zuletzt bearbeitet:
Toast verbieten. Sofort! 🙃
Ich hab mir Plex vor Jahren kurz mal angesehen. Konnte aber gegenüber dem jetzigen System keinerlei Vorzüge erkennen. Medien liegen auf der Syno. In Vero 4k per NFS eingebunden und fertig. Die DB liegt auch auf der Syno.
 
Plex ist klasse, alle Filme/Serien usw werden automatisch eingebunden und Systemübergreifend für jeden User getracked (Filmfortschritt,Seienfortschritt,Bewertungen, Smarte Playlisten,usw) möchte ich eigentlich net mehr missen.
(und für jeden Abspieler werden die Datei so vorbereitet das die ohne Murren abgespielt werden können (keine Probleme mit Video oder Audio Codecs mehr)

Privates Netflix halt.
 
Leuchtet mir schon ein. Bin ich auch ein großer Fan davon. Ich mag mich nicht von Streaminganbieter abhängig machen. Die von Dir genannten Vorteile habe ich mit dem Vero auch. Überwiegen spielt sich das bei mir aber innerhalb der Wohnung ab. Entweder am TV oder Tablet. Und am Tablet hab ich nur nen Explorer. Dort halt "nur" Files ohne Sonderlocken wie Handlung etc. Wenn ich unterwegs wirklich Mal in die Verlegenheit kommen sollte, kann ich einen Film auch mit der DS File App angucken.
 
Wie hieß eigentlich die Sicherheitslücke wo das VPN von QNAP betroffen war. Hab das zwar nur am Rande mitbekommen, aber eine Lücke in einer App welche eigentlich per Default sicher sein sollte ist schon irgendwie schräg. Aber vielleicht liegt es nicht am Dienst selber sondern an der Implementierung von QNAP.
 
Wenn ich es noch richtig im Kopf habe, dann war das was mit OpenVPN, Buffer Overflow mit Code Execution ützel brützel oder so. :) Das VPN von QNAP wird doch sicher auch OpenVPN, oder ein Fork davon sein. (Gibt es für die IT eigentlich keine deutschen Begriffe? Ein wenig mehr und wir können gleich alles in Englisch schreiben). Wäre in diesem Fall nicht mal die Schuld von QNAP, genauso wenn die Lücke in Plex oder anderen Bestandteilen des OS ist, worauf QNAP eigentlich keinen Einfluss hat, und dies könnten sehr viele Bestandteile sein. QNAP bedient sich doch auch nur wie alle anderen bei OpenSource etc. und baut es zusammen.
 
Moinsen,
Da gebe ich dir @Mavalok2 recht, denn dass einzelne eingebaute Anwendungen in sich einen Bug haben bzw eine Lücke wissen wir ja aus vielen Beispielen. Da muss es dann gar nix exotisches sein, da reicht smb.
Ist eben IMHO der "Preis" für so ein NAS...der Anbieter des OS gibt vor ob er überhaupt eine Lücke schließen will, wann und wie schnell...Bei einem selfmade Server dingsbums kannst das dann selber bestimmen, sobald die eigentlichen codeschreiber was veröffentlichen und bist flexibler...
Mir definitiv zu viel Aufwand.
Mein (synology) NAS ist zum wan offline. Backups sind da. Muss reichen (plus layer 8 firewall)...
:)
 
Mavalok2 schrieb:
Wäre in diesem Fall nicht mal die Schuld von QNAP
Zum Vergrößern anklicken....
Wissen wir ja leider nicht was das Problem war. Aber du richtest ja die User in QNAP's Oberflaeche ein (egal ob OVPN, IPSec,etc) Wenn QVPN da jetzt ne Codeinjection Luecke z.B. im Nutzernamen hat und die Authentifizierung das nachfragt:

Da melden sich grade Nutzer
Code: 
$x = $_GET [admin]
an, darf der ? (schwupps ist der Angreifer drinne). Dann ist das schon ein Fehler in QNAP's Implementierung
 
Wenn ihr wüsstest in wievielen IT-Systemen, die unter anderem für die Versorgung der deutschen Bevölkerung wichtig sind, genau solche hartcodierten UserID-Abfragen/Vergleiche drin sind, dann würdet ihr nicht über QNAP schimpfen, sondern täglich beten, dass das Land nicht kollabiert. :D

Und hier spricht der IT-Security Mensch in mir, der das selbst bei Audits schon gefunden hat.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.

Zurzeit aktive Besucher

Gesamt: 85 (Mitglieder: 3, Gäste: 82)

Neueste Beiträge

Letzte Anleitungen

Statistik des Forums

Themen
5.881
Beiträge
57.473
Mitglieder
5.818
Neuestes Mitglied
DefaultStandart

Teilen

Zurück
Oben