Qlocker ist eine Ransomware-Familie, die QNAP-NAS-Systeme laut Hersteller über die Schwachstelle CVE-2021-28799 in der Backup-Software Hybrid Backup Sync (HBS 3) angreift und die Dateien der Opfer in passwortgeschützte 7-Zip-Archive verschiebt, um anschließend Lösegeld zu fordern.
Auf einen Blick
Eine Angriffswelle ab der Woche des 19. April 2021 verschlüsselte die Dateien zahlreicher QNAP-Geräte weltweit.
Betroffene erhielten eine Lösegeldforderung von umgerechnet rund 0,01 Bitcoin pro Gerät.
Im Unterschied zu klassischer Endgeräte-Ransomware zielt Qlocker speziell auf NAS-Systeme als zentralen Netzwerkspeicher.
Was ist Qlocker?
Qlocker ist eine Ransomware-Familie, die gezielt QNAP-NAS-Systeme angreift und Dateien der Betroffenen in passwortgeschützten 7-Zip-Archiven ablegt. Laut QNAP verschafft sich die Schadsoftware über die Schwachstelle CVE-2021-28799 in bestimmten Versionen der Backup-Software Hybrid Backup Sync (HBS 3) Zugang zum Gerät, ohne dass ein Nutzer aktiv eine Datei öffnen oder einen Link anklicken muss. Nach dem Verpacken der Dateien hinterlässt Qlocker eine Lösegeldforderung mit Zahlungsanweisung in Kryptowährung. Netzwerkspeicher, die direkt und ungeschützt aus dem Internet erreichbar sind, bieten der Schadsoftware einen besonders leichten Angriffspunkt. Heimanwender und kleine Unternehmen, die ein NAS-Gerät als zentralen Speicherort für Fotos, Dokumente oder Sicherungskopien nutzen, tragen dadurch ein besonderes Risiko. Werden Daten gerade verschlüsselt oder sind sie bereits verschlüsselt, rät QNAP laut heise davon ab, das Gerät auszuschalten.
Verpackt die Schadsoftware Dateien auf einem NAS-System eines Versicherers in passwortgeschützte Archive, werden die dort abgelegten Policendokumente und Sicherungskopien unzugänglich. Sofern die betroffenen Sicherungskopien selbst auf demselben NAS liegen, verliert der Versicherer damit auch seinen Notfallweg zur Wiederherstellung. Ein separates, vom Netzwerk getrenntes Backup ist in diesem Fall oft der verlässlichste Weg, den Datenzugriff wiederherzustellen.
Wie funktioniert Qlocker?
Qlocker verschafft sich laut QNAP über die Schwachstelle CVE-2021-28799 in bestimmten Versionen von Hybrid Backup Sync (HBS 3) Zugriff auf das NAS-System. Die Schadsoftware verschiebt die Dateien in neu angelegte, passwortgeschützte 7-Zip-Archive; für das zur Wiederherstellung benötigte Passwort fordern die Angreifer Lösegeld. Ohne dieses Passwort lassen sich die Archive nicht öffnen, wodurch der Zugriff auf die Originaldateien blockiert bleibt. Nach Abschluss des Vorgangs legt Qlocker eine Textdatei mit der Lösegeldforderung und Zahlungsanweisung auf dem Gerät ab. Updates von Hybrid Backup Sync schließen die für den Zugriff genutzte Schwachstelle CVE-2021-28799, sodass ein zeitnah aktualisiertes NAS-System diesen konkreten Angriffsweg nicht mehr bietet.
Woran erkenne ich Qlocker?
| Signal | Woran erkennbar |
|---|---|
| Dateien in 7-Zip-Archiven statt im Originalformat | Bekannte Dateien sind verschwunden, stattdessen liegen passwortgeschützte .7z-Archive im selben Ordner. |
| Lösegeldforderung als Textdatei auf dem NAS | Auf dem NAS-System liegt eine neue Textdatei mit Lösegeldforderung und Zahlungsanweisung. |
| Ungewöhnliche CPU-Auslastung des NAS-Geräts | Das Gerät reagiert während des Verpackungsvorgangs spürbar langsamer als gewohnt. |
| Veraltete Version von Hybrid Backup Sync (HBS 3) | Auf dem NAS-System ist eine nicht aktualisierte Version von HBS 3 installiert, deren Schwachstelle CVE-2021-28799 Qlocker ausnutzt. |
Schutz im Ernstfall
Vorbeugen
- QNAP-Firmware und installierte Anwendungen zeitnah mit verfügbaren Sicherheitsupdates versorgen.
- NAS-Systeme nicht direkt und ungeschützt aus dem Internet erreichbar machen; Zugriff über VPN oder Firewall-Regeln beschränken.
- Automatische App-Updates und den integrierten Malware-Scanner des NAS aktivieren, sofern verfügbar.
- Sicherungskopien an einem vom NAS getrennten Speicherort vorhalten.
Was tun im Ernstfall
- Das NAS-Gerät nicht ausschalten, die aktuelle Version der Malware Remover App installieren, das System damit prüfen und den QNAP-Support kontaktieren.
- Kein Lösegeld zahlen; Hersteller und Sicherheitsbehörden bieten teils Werkzeuge oder Hinweise zur Wiederherstellung.
- Vorfall dem Hersteller und den zuständigen Behörden melden.
- Betroffene Archive vor einem Wiederherstellungsversuch sichern und Daten erst nach Prüfung mit der Malware Remover App und Aktualisierung von Hybrid Backup Sync aus einem separaten Backup einspielen, sofern vorhanden.
Beispiele aus der Praxis
- Ab der Woche des 19. April 2021 verschlüsselte Qlocker die Dateien zahlreicher QNAP-NAS-Geräte weltweit und forderte jeweils rund 0,01 Bitcoin als Lösegeld.
- Verschiebt Qlocker die Dateien auf dem ungepatchten QNAP-NAS eines Heimanwenders in passwortgeschützte 7-Zip-Archive, kann dieser den Zugriff auf seine dort gespeicherte Foto- und Dokumentensammlung verlieren.
- Anfällig waren QNAP-Geräte mit nicht aktualisierten Versionen der Backup-Software HBS 3, da Qlocker deren Schwachstelle CVE-2021-28799 ausnutzte.
- Verpackt Qlocker Dateien auf dem NAS-System eines Versicherers, werden die dort abgelegten Policendokumente und Sicherungskopien unzugänglich; ein separates Backup ist dann oft der verlässlichste Weg zur Wiederherstellung.
Die Varianten im Detail (1)
Qlocker-Ransomware Qlocker-Ransomware ist eine andere Bezeichnung für Qlocker, die Ransomware für Netzwerkspeichersysteme.
Der Zusatz Ransomware macht kenntlich, dass die Schadsoftware gemeint ist und nicht ein beliebiger Dateisperrmechanismus. Die Schreibweise wird in Berichten und Warnhinweisen zu Angriffen auf Netzwerkspeicher verwendet.
Häufiger Irrtum
Mythos „Ein NAS-Gerät im lokalen Netzwerk ist automatisch vor Ransomware wie Qlocker geschützt, weil es nicht wie ein klassischer PC im Internet surft.“
Richtig Qlocker gelangt nicht über das Surfverhalten eines Nutzers auf das Gerät, sondern über eine Schwachstelle (CVE-2021-28799) in der auf dem NAS installierten Backup-Software HBS 3.
