Ако имате мрежов диск WD My Book Live или My Book Live Duo, изключете го от интернет веднага. Western Digital потвърди, че устройства от тези серии се компрометират през отдалечена уязвимост и в някои случаи бива изтрито цялото съдържание на диска.
Накратко
- Потребители съобщават, че данните им на My Book Live изчезват без никакви действия от тяхна страна.
- WD признава за „злонамерен софтуер“ и съветва собствениците да изключат устройствата от интернет.
- Уязвимостта е известна от 2018 г., а моделите не получават обновления от 2015 г.
Какво се случва с устройствата
В последните дни във форума на Western Digital се появиха десетки публикации на собственици на My Book Live. Част от тях откриват, че дискът им е върнат към фабрични настройки; други виждат непозната страница, която иска парола. В повечето случаи се описва една и съща картина: файловата структура е непокътната, но папките са празни или не са останали никакви папки, освен тези по подразбиране.
Според The Register и Krebs on Security компанията е изпратила изявления до медиите, които до голяма степен повтарят публикацията във форума ѝ. WD казва, че разследва инцидента и не вярва, че собствените ѝ облачни сървъри са компрометирани – проблемът е в самите устройства, достъпни през интернет.
Какво казва Western Digital
В съобщението от 24 юни компанията заявява, че някои My Book Live и My Book Live Duo се компрометират чрез отдалечено изпълнение на команди. В някои случаи това довежда до фабрично нулиране, което, изглежда, изтрива всички данни. Съветът е недвусмислен: изключете устройството от интернет и не го включвайте отново, докато не се изясни ситуацията. Същото потвърждава и Security Affairs.
Важна подробност е, че My Book Live е стар продукт. Според публикациите последното фърмуерно обновление за тези модели е от 2015 г. и те вече не се поддържат. Затова производителят не може да „закърпи“ проблема с бърза актуализация, а най-сигурното решение е устройството да бъде изолирано от интернет.
Каква е уязвимостта
Анализите, цитирани от изданията, свързват атаките с уязвимостта CVE-2018-18472 – проблем с отдалечено изпълнение на команди с най-високи права, който засяга всички версии на My Book Live. Тя е докладвана на WD още през 2018 г., т.е. около три години преди вълната от изтривания. Според LWN има и втори, дотогава неизвестен проблем: фабрично нулиране може да се задейства през конфигурационния интерфейс без парола, защото проверките за парола в кода са закоментирани.
Как точно са свързани двата проблема и кой стои зад атаката, засега не е ясно. Някои анализатори допускат, че първата уязвимост е използвана за включване на устройства в ботнет, а втората – по-късно, вероятно за да бъде прекъсната дейността му. Това са хипотези, а не потвърдени заключения.
Какво да направите
Ако притежавате такова устройство, първата стъпка е да го изключите от рутера и да спрете достъпа от интернет – и през облачната услуга, и чрез пренасочване на портове. Ако данните още са там, копирайте ги на друго място чрез локална мрежа или директна връзка, като не позволявате достъп отвън. Не разчитайте на едно-единствено копие: правилото „3-2-1“ за резервни копия важи с пълна сила. Въпросите на паролите и сигурността ги разглеждаме и в материалите ни за съхранението на пароли, мрежата в умния дом и устройствата, свързани с интернет.
Случаят е напомняне, че всяко устройство с отворен достъп до интернет – особено остаряло и без поддръжка – е потенциална цел. Подобни атаки срещу различни платформи се появяват редовно, а най-добрата защита остава в обновяването, изолирането и резервните копия.
Тази статия е публикувана първоначално в СмартМакс на 25 юни 2021 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
.jpg){kind=link}