SchijfdokterHome / Modellen / Synology, QNAP en Windows na gijzelsoftware: wat er van de snapshots over is
Synology, QNAP en Windows-servers na gijzelsoftware: wat er van de snapshots en de schaduwkopieën over is
Na een aanval is de eerste vraag niet of de versleuteling te kraken is, maar of er nog een momentopname van vóór die nacht bestaat. Per platform is het antwoord anders, en het hangt bijna altijd af van een instelling die iemand ooit wel of niet heeft aangezet.
Dit gaat over de drie plekken waar wij na gijzelsoftware het vaakst gaan kijken: een Synology met DSM, een QNAP met QTS of QuTS hero, en een Windows-server of werkstation met Volume Shadow Copy. Drie heel verschillende mechanismen, met één ding gemeen: ze zijn geen van drieën een back-up, en ze staan geen van drieën vanzelf voor je klaar.
Synology: momentopnamen via Btrfs. Synology beschrijft Snapshot Replication als een functie die het Btrfs-bestandssysteem gebruikt om momentopnamen van een gedeelde map te maken. Daar zitten twee voorwaarden in. De eerste is het bestandssysteem: dat kies je bij het aanmaken van het volume, en op een ext4-volume bestaat de functie dus niet. De tweede is de taak. Synology spreekt over terugkerende taken die je zelf inplant, tot op de minuut nauwkeurig; zonder zo'n taak is er niets vastgelegd om naar terug te gaan. Is er wel een reeks momentopnamen, dan is dat vaak de snelste route die er is: Synology laat gebruikers met de juiste rechten bestanden en mappen terugzetten via File Station of de Windows Verkenner, zonder dat er een beheerder aan te pas komt. Nieuwere DSM-versies kennen daarnaast onveranderlijke momentopnamen, een WORM-variant met een verplichte bewaartermijn; binnen die termijn zijn ze niet te verwijderen, en dat is precies het verschil dat na een aanval telt.
QNAP: momentopnamen per volume of LUN. QNAP stelt wel hardware-eisen. De fabrikant noemt minimaal 1 GB werkgeheugen, en noemt ook met naam een rij oudere series die momentopnamen helemaal niet ondersteunen, waaronder de TS-x69/U, TS-x59/U, TS-x39/U, TS-x28, TS-x21 en TS-x20. Hoeveel momentopnamen er bewaard kunnen worden, hangt bij QTS af van het type processor en het geheugen; bij QuTS hero, dat op ZFS werkt, noemt QNAP getallen tot 65.536. Momentopnamen kun je met de hand of volgens een schema laten maken, en wat hier het verschil maakt is Snapshot Vault: daarmee staan de momentopnamen van de ene NAS op een tweede NAS. Dat is de enige variant die niet op het aangetaste apparaat zelf staat.
Windows: Volume Shadow Copy. De schaduwkopieën die achter "Vorige versies" zitten, worden gemaakt door de Volume Shadow Copy Service. De ingebouwde provider van Windows werkt met copy-on-write: van elk blok dat verandert wordt de oude inhoud eerst weggeschreven naar een opslaggebied op de machine zelf, de diff area. Microsoft noemt daar zelf drie dingen bij die na een aanval allesbepalend blijken. Schaduwkopieën zijn alleen-lezen. Voor de functie "Schaduwkopieën van gedeelde mappen" op een server geldt een grens van 64 schaduwkopieën per volume, en je zet die functie per volume aan, niet per map. En: raakt het opslaggebied vol, dan verwijdert Windows zelf de oudste schaduwkopie, en die is daarna niet meer terug te halen. Microsoft schrijft er bovendien letterlijk bij dat schaduwkopieën geen vervanging zijn van een gewone back-up.
Wat gijzelsoftware er in de praktijk mee doet. Er hoeft niets gekraakt te worden om die drie mechanismen onbruikbaar te maken. Op Windows gebeurt het vaak zonder dat iemand het expres doet: het massaal herschrijven van een volume vult het opslaggebied voor schaduwkopieën, en Windows ruimt dan zelf de oudste op. Daar komt bij dat Windows standaard gereedschap meelevert waarmee schaduwkopieën te verwijderen zijn, op werkstations zo goed als op servers; software die met beheerdersrechten draait, kan dat dus gebruiken. Op een NAS geldt hetzelfde principe met andere middelen: wie de beheerdersinlog van DSM of QTS in handen heeft, kan momentopnamen weggooien, en daar helpt alleen de onveranderlijke variant tegen. En de aanval hoeft niet eens via de NAS te lopen: een netwerkschijf wordt versleuteld alsof het een gewone map is. Dat is ook de reden dat RAID hier niets doet, zoals we uitleggen bij Synology en QNAP.
Wat we bij dit model tegenkomen
- Synology meldt geen momentopnamen voor de getroffen map: dan is het volume vrijwel zeker als ext4 ingericht, of er stond geen momentopnametaak op die map. Op de NAS zelf is er dan niets om naar terug te gaan en loopt de route via wat er van de originele bestanden op de schijven is blijven staan.
- De momentopnamen stonden er wel en zijn nu verdwenen: een account met beheerdersrechten kan ze verwijderen. Verander de wachtwoorden, laat de NAS verder met rust en kijk of er een replica op een tweede NAS of in Snapshot Vault staat.
- Bij QNAP is het momentopnamemenu leeg of ontbreekt het: kijk eerst of het model het kan: QNAP noemt een rij oudere series die momentopnamen niet ondersteunen, en 1 GB werkgeheugen als ondergrens.
- Op de Windows-server is het tabblad Vorige versies leeg: schaduwkopieën van gedeelde mappen moeten per volume zijn aangezet. Is dat nooit gebeurd, dan is er niets gemaakt, ook niet van de map die je nu nodig hebt.
- Gisteren stonden er nog schaduwkopieën, vandaag niet meer: het opslaggebied is volgelopen of ze zijn verwijderd. In beide gevallen zijn ze niet terug te zetten; zet de machine uit voordat er verder over de vrijgekomen ruimte wordt geschreven.
- De NAS was de back-up van de pc en is in dezelfde nacht meegegaan: het patroon dat we het vaakst zien. Waarom een kopie op hetzelfde netwerk geen back-up is, staat in ons artikel over back-ups en gijzelsoftware.
- Een schijf uit de NAS is al een tijd defect en nu is alles versleuteld: noteer het volgnummer van elke schijf voordat je er iets mee doet, ook van de defecte. Voor een virtuele opbouw van de set hebben we die volgorde nodig.
Wat wij doen: eerst inventariseren wat er nog is, want dat is altijd de snelste en goedkoopste weg. Momentopnamen op de NAS, een replica of Snapshot Vault op een tweede NAS, schaduwkopieën en herstelpunten op de servers, versiegeschiedenis in een clouddienst die aanstaat zonder dat iemand het weet, en de externe schijf die al maanden in een la ligt. Pas als dat niets oplevert, gaan we op kopieën van de schijven zoeken naar wat de gijzelsoftware heeft laten liggen.
Wat je zelf kunt doen is vooral iets niet doen. Start geen rebuild, laat een NAS geen volume repareren, installeer geen server opnieuw en zet geen nieuwe back-up over de oude heen. Haal de apparaten van het netwerk, zet ze uit en laat ze zo. Welke stappen in dat eerste uur wel helpen, staat in wat je in het eerste uur moet doen.
Onderzoek en beoordeling zijn gratis. Een prijs voor het herstel noemen we bij gijzelsoftware bewust niet vooraf: het scheelt te veel of het om één pc gaat of om een server met twaalf schijven. Wat we wel doen is na het onderzoek zeggen wat er te halen valt en wat dat kost, voordat er iets gebeurt.
Veelgestelde vragen
Kan gijzelsoftware een momentopname ook versleutelen?
Het risico zit niet in versleutelen maar in verdwijnen. Een momentopname legt een eerder moment vast en Microsoft beschrijft schaduwkopieën uitdrukkelijk als alleen-lezen. Wat wel gebeurt, is dat ze worden verwijderd of door nieuwe schrijfacties worden verdrongen. Daarom is de onveranderlijke variant met een verplichte bewaartermijn het enige dat daar echt tegen helpt.
Staan momentopnamen standaard aan?
Reken er niet op. Bij Synology hoort er een Btrfs-volume en een eigen taak bij, bij QNAP een model dat het ondersteunt met genoeg geheugen, en op een Windows-server zet je schaduwkopieën per volume aan. Controleer dat vandaag, niet na een aanval: achteraf is dit niet meer in te halen.
Is een momentopname een back-up?
Nee, en dat zegt Microsoft zelf over schaduwkopieën: ze zijn geen vervanging van een reguliere back-up. Een momentopname staat op hetzelfde apparaat als de bestanden zelf. Gaat dat apparaat weg, gaat de momentopname mee.
Kunnen jullie de bestanden ontsleutelen als er geen momentopname is?
De versleuteling zelf breken we niet; dat kan niemand. Wat we dan doen is zoeken naar wat er is blijven liggen: verwijderde originelen, bestanden die maar gedeeltelijk zijn versleuteld en kopieën die nog ergens staan. Of dat in jouw geval iets oplevert, weten we na het onderzoek.
Zelf niet aan beginnen? Ransomware: Bestanden versleuteld door gijzelsoftware. Geen gouden beloften, maar er zijn meer wegen dan betalen, en vaak is er meer terug te halen dan mensen denken.
Eerst zelf uitzoeken wat er aan de hand is?
Deze artikelen leggen uit hoe je de oorzaak herkent en wat je veilig zelf kunt controleren.
Waar we dit doen
Data recovery in Zoetermeer, Den Haag, Rotterdam, Delft, Leiden, Gouda, Rijswijk, Leidschendam-Voorburg, Pijnacker-Nootdorp en Lansingerland. Buiten die regio kun je het opsturen; zie werkgebied.