Die unendliche Geschichte von Deadbolt

Veröffentlicht am 09.10.2022

Einführung

Deadbolt, eine Ransomware-Kampagne, die QNAP NAS-Kunden in den letzten Monaten heimgesucht hat, verzeichnete eine gleichbleibende Anzahl von Infektionen in einer ziemlich regelmäßigen Kadenz. Doch in letzter Zeit hat Censys einen massiven Anstieg der mit Deadbolt infizierten QNAP-Geräte beobachtet. Die Deadbolt-Crew weitet ihre Aktivitäten aus, und die Zahl der Opfer steigt täglich.

* Censys Deadbolt Tracking Dashboard

* Censys Search für Riegelinfektionen

Eine kurze Auffrischung über QNAP Deadbolt Ransomware

QNAP ist ein Hersteller von NAS-Geräten (Network-Attached Storage). Im Januar dieses Jahres nahm eine Gruppe, die sich Deadbolt nennt, eine Reihe von QNAP-NAS-Geräten für Verbraucher und kleine Unternehmen ins Visier, die mit dem QNAP QTS (Linux-basierten) Betriebssystem arbeiten, und infizierte die Geräte mit Ransomware.

Anstatt das gesamte Gerät zu verschlüsseln, was das Gerät effektiv offline schaltet (und aus dem Einflussbereich von Censys herausnimmt), zielt die Ransomware nur auf bestimmte Backup-Verzeichnisse für die Verschlüsselung ab und verwüstet die Webadministrationsschnittstelle mit einer Informationsmeldung, die erklärt, wie man die Infektion entfernt.

Aufgrund der Art und Weise, wie diese Ransomware mit dem Opfer kommuniziert, konnte Censys über diese einfache Suchanfrage leicht infizierte Geräte finden, die im öffentlichen Internet ausgesetzt waren. Neben umfassenden Informationen darüber, welche Hosts mit Deadbolt infiziert waren, konnten wir auch jede einzelne Bitcoin-Wallet-Adresse, die als Lösegeld verwendet wurde, ermitteln und verfolgen, da die für die Lösegeldübergabe verwendete BTC-Adresse in den HTML-Text eingebettet ist.

Aktuelle Nachrichten.

Am 3. September 2022 veröffentlichte QNAP eine neue Erklärung, die auf eine neu entdeckte Zero-Day-Schwachstelle hinweist, über die Hosts mit Ransomware infiziert werden können. Diese neue Schwachstelle betrifft bestimmte QNAP NAS-Geräte, auf denen Photo Station läuft, wenn sie mit dem Internet verbunden sind.

QNAP behauptet, dass diese Schwachstelle behoben wurde, verfolgt als CVE-2022-27593, und betrifft die folgenden Versionen ihres QTS-Betriebssystems:

• QTS 5.0.1: Photo Station 6.1.2 und höher
• QTS 5.0.0/4.5.x: Photo Station 6.0.22 und später
• QTS 4.3.6: Photo Station 5.7.18 und später
• QTS 4.3.3: Photo Station 5.4.15 und später
• QTS 4.2.6: Photo Station 5.2.14 und später

Größer, Besser, Schneller, Mehr.

Die Infektionen mit Türschlössern haben nie wirklich aufgehört, aber sie waren nie so groß wie jetzt.

Das letzte Mal sprachen wir im Mai 2022 über die QNAP NAS infizierende Deadbolt-Ransomware. Damals stellten wir unser Deadbolt-Dashboard vor, mit dem die Community die Verbreitung dieser bösartigen Kampagne verfolgen konnte, die Tausende von QNAP-Geräten im Internet infizierte. Wenn Sie in den letzten Monaten aufmerksam waren, haben Sie vielleicht ein ständiges Auf und Ab der infizierten Geräte bemerkt, und es war eine ziemlich wilde und beängstigende Sache, die Sie beobachten konnten.

Am 9. Juli 2022 wurden insgesamt 2.144 Deadbolt-Infektionen im Internet beobachtet, aber bis zum 15. Juli war diese Zahl auf 7.783 gestiegen, was einem Anstieg von 5.639 Infektionen entspricht. Bis zum 27. Juli sank diese Zahl auf etwas mehr als 6.000, aber bis zum 30. Juli stieg die Zahl der Infektionen wieder auf 9.091.

Aber die Infektionswellen im August haben nichts mit dem zu tun, was zu Beginn dieses Monats geschah. Am 2. September 2022 stieg die Zahl der mit Deadbolt infizierten Hosts sprunghaft von 7.748 auf 13.802, und am 4. September waren es bereits 19.029!

Deadbolt scheint eine relativ häufige Kadenz von Neuinfektionen zu haben. Im Durchschnitt scheinen sieben bis zwölf Tage zwischen den einzelnen Kampagnen zu liegen. Nachfolgend finden Sie eine Zeitleiste der einzelnen Hosts, die zwischen dem 27. Juli und dem 7. September jeden Tag Anzeichen von Deadbolt aufwiesen. Rot hervorgehoben sind die Tage, an denen wir den stärksten Aufwärtstrend bei der Aktivität feststellen konnten.

Auf dem Höhepunkt, am 4. September 2022, wurden die meisten Infektionen in den Vereinigten Staaten gefunden, mit 2.472 verschiedenen Wirten, die Anzeichen von Deadbolt aufwiesen, Deutschland auf Platz zwei mit 1.778 und Italien mit 1.383. Nachfolgend finden Sie eine Karte mit den infizierten Wirten ab diesem Datum.

Nachfolgend sind die zehn Länder und autonomen Systeme mit den meisten Deadbolt-Infektionen aufgeführt.

Verfolgbarer Riegel

Das offizielle Censys Deadbolt Dashboard finden Sie hier.

Unser Rapid-Response-Team hat ein interaktives Dashboard zur Verfolgung von Deadbolt-Infektionen auf der ganzen Welt zusammengestellt. Derzeit gibt es drei einzelne Registerkarten mit verschiedenen Ansichten der Daten, die wir in den letzten Monaten gesammelt haben.

Auf der ersten Seite finden Sie die Gesamtzahl der infizierten Hosts und Dienste sowie eine Aufschlüsselung nach Regionen und autonomen Systemen.

Der zweite Datensatz ist eine interaktive, konfigurierbare detaillierte Aufschlüsselung jeder Infektion, einschließlich der IP-Adresse, des autonomen Systems, des Landes, des Netzwerkports, der BTC-Adresse, die für die Zahlung des Lösegelds verwendet wurde, und der Variante von Deadbolt (wir haben zwei verschiedene Varianten gefunden). Schließlich zeigen wir die Höhe des von den Opfern geforderten Lösegelds an. Diese Felder lassen sich filtern, indem Sie einfach auf einen beliebigen Teil des Dashboards klicken.

Schließlich gibt es eine Sieben-Tage-Ansicht von Deadbolt im Internet, einschließlich Diagrammen, die die Infektionen nach Ländern aufschlüsseln. Forscher können die Dropdown-Menüs verwenden, um die Länder zu filtern, an deren Analyse sie am meisten interessiert sind.

Wir werden NAS-Geräte, die mit Deadbolt-Ransomware infiziert sind, weiterhin überwachen. In der Zwischenzeit können Sie den Censys Deadbolt Ransomware-Bericht weiter unten einsehen.

Referenzen

• Das QNapping der QNAP-Geräte - Censys
• Deadbolt Ransomware ist zurück - Censys
• Verfolgung von Deadbolt Ransomware auf der ganzen Welt - Censys