勒索软件eCh0raix早在2019年以来就一直活跃，并以攻击NAS产品而著称。当时安全公司Intezer和Anomali的专家就发现了针对网络附加存储(NAS)设备的勒索软件样本。

NAS产品是黑客的特权目标，因为它们通常存储大量数据。勒索软件针对的是QNAP（威联通）制造的保护不力或易受攻击的NAS服务器，攻击者利用已知漏洞或进行暴力攻击。

该勒索软件被Intezer跟踪为“QNAPCrypt”和Anomali的“eCh0raix”，是用Go编程语言编写的，并使用AES加密来加密文件。恶意代码将.encrypt扩展名附加到加密文件的文件名。

今年5月，QNAP警告客户，威胁攻击者正在利用Roon Server零日漏洞，用eCh0raix勒索软件攻击其NAS设备。而安全专家也观察到 ，4月19日至26日期间eCh0raix勒索软件感染报告激增。在同一时期，威联通还警告其用户AgeLocker勒索软件攻击爆发。

2019年，Anomali研究人员还报告了一波针对Synology NAS设备的eCh0raix攻击，攻击者使用了暴力攻击。

近日，Palo Alto Networks的Unit 42的研究人员发现了一种新的eCh0raix变体，有史以来第一次支持同时攻击上述两家供应商的NAS设备。

“Unit 42研究人员发现了一种针对Synology网络附加存储(NAS)和Quality Network Appliance Provider (QNAP) NAS设备的eCh0raix勒索软件的新变种。为此，攻击者还利用CVE-2021-28799向QNAP设备提供新的eCh0raix勒索软件变体。”报告指出：“虽然eCh0raix是已知的勒索软件，它历来在不同的活动中分别针对QNAP和Synology的NAS设备，但这个新变种是我们观测到的，首次具备同时攻击QNAP和Synology NAS设备的功能，这表明一些勒索软件开发人员正在继续投资优化针对(SOHO居家办公环境中常见设备的工具。”

根据Cortex Xpanse平台的数据，目前约有25万台QNAP和Synology NAS设备暴露在互联网上。

攻击背后的勒索软件团伙利用QNAP NAS中的 CVE-2021-28799漏洞来访问它们，同时暴力攻击目标Synology NAS设备。

上周，Synology警告客户，StealthWorker僵尸网络正在进行暴力攻击，试图植入勒索软件。

一旦设备受到威胁，攻击者就会将其用于僵尸网络，用于针对Linux系统（包括Synology NAS）的攻击。

缓解建议：

• 更新设备固件以防止这种性质的攻击。有关针对 CVE-2021-28799更新QNAP NAS设备的详细信息，可以访问QNAP网站；
• 创建复杂的登录密码，使攻击者更难进行暴力破解；
• 仅通过可识别IP的硬编码列表限制与SOHO连接设备的连接，以防止用于向设备传送勒索软件的网络攻击。