muhstik decryption keys

    Zitat von dr_mike

    Mal eine Frage in die Runde der DOM-Recovery-Empfehler: Was versprecht ihr euch davon? Was ist der Sinn dahinter, den Leuten ständig zu empfehlen, ihr NAS dem Risiko eines Totalausfalls preis zu geben?

    Hi dr_mike , bist Du der Meinung, dass das komplett unnötig ist? Weil das sagst Du eigentlich auch nicht in dem Beitrag.

    Was man sich verspricht ist nicht so schwer zu erraten glaube ich. Man verspricht sich, dass Maleware/Ransomware/sonstwer aus dem DOM vertrieben wird.

    Zitat von PuraVida

    bist Du der Meinung, dass das komplett unnötig ist?

    Ja, bin ich. Welche Bereiche gibt es denn auf dem DOM?!

    1. wäre da der Bootloader (Uboot oder ein ARM-spezifischer)

    2. die Configurationspartition

    3. das Kernelimage

    4. das 1. Rootfilesystem

    5. das 2. Rootfilesystem

    6. bei den grösseren NAS mit DOM und einigen anderen das Image für das Webinterface

    (die Reihenfolge enspricht nicht den Partitionsnummern)


    a- Die Bereiche 3 - 6 werden bei jedem FW-Update komplett überschrieben genauso wie bei einem Recovery

    b- Der Bootloader wird nur bei einem Recovery überschrieben nie jedoch bei einem FW-Update

    c- Die Config-Part wird in beiden Fällen nicht angefasst und ist diejenige wo meist von Malware eine autorun.sh angelegt wird.


    Was bedeutet das?

    zu a: Wenn 3 - 6 von Malware modifiziert werden würde, reicht ein FW-Update.


    zu b: Um einen Bootloader für das NAS zu kompilieren bräuchte man die kompletten Interna der NAS-Firmware (Hardwareadressen, Hardwareinit Routinen, das ganze Board-Support-Package, welches ClosedSource ist etc.) Die Gefahr, dass das NAS unbrauchbar wird wäre zu gross. Daher ist davon auszugehen, dass dort nichts manipuliert wird


    zu c: hier liegt das größte Risiko wieder/weiter infiziert zu werden/sein. Jedoch wird eben bei FW-Update und Recovery nichts geändert. Hier hilft entweder cleanme oder man geht nach der Anleitung zur Erstellung einer autorun.sh auf diese Partition und löscht alles dort drin, was suspekt ist.


    Fazit: Ein FW-Update ist in Verbindung mit cleanme weitgehend ausreichend um ein System sauber zu bekommen, wenn man neue Platten verwendet. Alles was auf den ursprünglichen Platten ist kann natürlich infiziert sein.

    Das Recovery bringt jedoch keinen Mehrwert.

    Garantie kann ich aber nicht geben und auch kein anderer genausowenig wie QNAP. Dazu müsste man Programmierer der jeweiligen Malware sein. ;)

    dr_mike DANKE für die ausführliche Auflistung und Argumentation! Das hilft mir sehr in meiner Überlegung ob ich ein Recovery machen sollte.

    dr_mike :

    Nachdem Du Dir soviel Mühe mit der Beschreibung des DOM Recovery gemacht hast wäre es vielleicht eine Idee, das an eine zentrale Stelle zu pinnen ? Sonst versackt sowas hier wieder im Laufe der Zeit und gerät in Vergessenheit. Das wäre ja schade um die Mühe. Titel z.B. "Was passiert beim DOM Recovery und Firmware Update".

    Hm Qnap analysiert die Malware und denen ist bekannt wo sich die Malware im NAS breit macht. Warum zum Geier sagen die nicht von Fall zu Fall ob man ein Recovery machen muss oder nicht ?

    Doch habe ich. Aber sei mir nicht böse, das hätte ich gerne von Qnap selbst "gehört" das ein Firmware-Recovery nicht nötig ist weil dort ausser der autorun.sh - die eh bereinigt wird - nichts infiziert werden kann.

    Ah sehr interessant. Komisch nur, dass mir der Support von QNAp gerade das Aufspielen der Firmware empfohlen hat. Mich wundert, dass QNAP nicht eine Gegenmassnahme in form eines Update bietet.

    Zitat von FSC830

    Und aus Deinem Post kann man nicht entnehmen, das Du den JETZT Zustand meinst, also komm runter und keep calm

    Oh Mann. Das war doch die einzig sinnvolle Interpretation. Was will denn jemand, der ein Backup der unverschlüsselten Dateien hat, mit einem Decryption Key? Das musste man schon absichtlich missverstehen wollen, um da etwas anderes herauszulesen.

    Dont feed the troll 8o.