Il gruppo di cyber criminali conosciuto come eCh0raix ha scatenato una nuova ondata di attacchi ransomware contro i dispositivi NAS QNAP collegati in rete. Si tratta di un gruppo attivo da giugno 2019, quando distribuirono la prima versione del loro ransomware. La scorsa estate il gruppo ha rallentato l'attività a causa della concorrenza di gruppi che miravano agli stessi obiettivi.

Di recente eCh0raix è tornato in auge. Un nuovo report riferisce di tre vulnerabilità critiche che colpiscono i dispositivi QNAP. In poco tempo hanno collezionato un buon numero di vittime, come risulta dai forum specializzati dove molti segnalano che i dati dei propri NAS sono stati crittografati.

L'aspetto importante di questi attacchi è che storicamente sfruttano sia exploit che attacchi brute force per fare breccia. Gli exploit sfruttano vulnerabilità in vecchi dispositivi QNAP senza patch. Gli attacchi brute force forzano le password di amministratore troppo deboli, o quelle di default.
Crediti: Bleeping ComputerNon è confermato, ma pare probabile che il gruppo abbia incorporato le vulnerabilità QNAP divulgate di recente, e di cui sono disponibili le patch. L'ipotesi viene data come probabile data la recente recrudescenza degli attacchi. Come avevamo precisato in precedenza, le tre vulnerabilità QNAP sono facili da sfruttare e forniscono anche il pieno controllo sui dispositivi bersaglio.

Per mettersi al riparo da questo tipo di attacchi, i proprietari dei NAS QNAP devono aggiornare il firmware dei propri dispositivi QNAP e i relativi software e app in esecuzione. Gli stessi sono anche invitati a cambiare la password del loro dispositivo usando chiavi molto complesse. Le istruzioni su come eseguire entrambe le operazioni sono sulla pagina ufficiale di supporto QNAP.

Ricordiamo che allo stato attuale non c'è un decryptor pubblico per tornare in possesso dei file crittografati da eCh0raix. Gli esperti di sicurezza erano riusciti a trovarne uno per la prima versione del loro ransomware, che ormai è stato modificato e perfezionato.  In caso si venga colpiti è quindi necessario pagare il riscatto, collegandosi al link che si trova all'interno di un file di testo lasciato appositamente dai cyber criminali. Il pagamento è comunque sconsigliato per non alimentare ulteriori attacchi e perché non garantisce la restituzione dei dati.