[[407891]]

6月24日，世界各地的WD My Book Live和WD My Book Live DUO用戶突然發(fā)現(xiàn)，他們所有的文件都被神秘地刪除了，并且也不能通過瀏覽器或應(yīng)用程序登錄設(shè)備。

WD My Book是一種網(wǎng)絡(luò)連接的存儲(chǔ)設(shè)備，一般情況下會(huì)部署在防火墻或路由器后面，WD My Book Live應(yīng)用程序的用戶可以訪問他們的文件并遠(yuǎn)程管理他們的設(shè)備。

My Book Live設(shè)備執(zhí)行恢復(fù)出廠設(shè)置命令

越來越多的用戶確認(rèn)他們的設(shè)備遭遇了同樣問題，其中一個(gè)用戶表示在驅(qū)動(dòng)器的user.log中發(fā)現(xiàn)了：

• Jun 23 15:14:05 My BookLive factoryRestore.sh: begin script:
• Jun 23 15:14:05 My BookLive shutdown[24582]: shutting down for system reboot
• Jun 23 16:02:26 My BookLive S15mountDataVolume.sh: begin script: start
• Jun 23 16:02:29 My BookLive _: pkg: wd-nas
• Jun 23 16:02:30 My BookLive _: pkg: networking-general
• Jun 23 16:02:30 My BookLive _: pkg: apache-php-webdav
• Jun 23 16:02:31 My BookLive _: pkg: date-time
• Jun 23 16:02:31 My BookLive _: pkg: alerts
• Jun 23 16:02:31 My BookLive logger: hostname=My BookLive
• Jun 23 16:02:32 My BookLive _: pkg: admin-rest-api

一些用戶表示他們使用PhotoRec文件恢復(fù)工具成功恢復(fù)了一些文件，但不幸的是大多數(shù)用戶并沒有找回他們的文件。

未修補(bǔ)的漏洞被黑客利用觸發(fā)設(shè)備出廠重置

據(jù)悉，連接到互聯(lián)網(wǎng)的My Book Live和My Book Live Duo設(shè)備存在一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞。黑客利用漏洞后觸發(fā)大量設(shè)備的出廠重置，從而導(dǎo)致用戶數(shù)據(jù)被刪。不過幸運(yùn)的是，尚未發(fā)現(xiàn)任何證據(jù)表明西部數(shù)據(jù)的云服務(wù)、固件更新服務(wù)器或客戶憑證被泄露。

根據(jù)西部數(shù)據(jù)對(duì)受影響用戶處收到的日志文件的審查，發(fā)現(xiàn)黑客是從不同國(guó)家的IP地址直接連接到受影響的My Book Live設(shè)備。這表明受影響的設(shè)備可以從互聯(lián)網(wǎng)上直接訪問，要么通過直接連接，要么通過手動(dòng)或UPnP自動(dòng)啟用端口轉(zhuǎn)發(fā)。

此外，日志文件顯示，在一些設(shè)備上，黑客安裝了一個(gè)名為“.nttpd,1-ppc-be-t1-z ”的木馬，這是一個(gè)為My Book Live和Live Duo使用的PowerPC架構(gòu)編譯的Linux ELF二進(jìn)制文件。該木馬的一個(gè)樣本已被上傳到VirusTotal，正在進(jìn)一步分析。

現(xiàn)在還不清楚黑客為什么會(huì)觸發(fā)出廠重置，如果黑客只是刪除了設(shè)備文件，那么該行為就很蹊蹺，因?yàn)闆]有受害者收到勒索贖金票據(jù)或其他威脅提示，這說明這次攻擊只是單純的破壞性行為。

西部數(shù)據(jù)正在調(diào)查一個(gè)受影響設(shè)備的樣本，以此來弄清黑客的真實(shí)目的。此外，一些用戶表明數(shù)據(jù)恢復(fù)工具可能能夠恢復(fù)受影響設(shè)備的數(shù)據(jù)，針對(duì)這一點(diǎn)西部數(shù)據(jù)目前也正在調(diào)查工具是否有效。

將設(shè)備斷網(wǎng)可保護(hù)數(shù)據(jù)不被刪除

WD My Book Live設(shè)備在2015年進(jìn)行了最后一次固件更新。自那以后，只披露了一個(gè)名為CVE-2018-18472的遠(yuǎn)程代碼執(zhí)行漏洞和一個(gè)公開的概念證明漏洞。此次攻擊很可能是黑客是在互聯(lián)網(wǎng)上對(duì)易受攻擊的設(shè)備進(jìn)行了大規(guī)模掃描，并利用這一漏洞發(fā)出了工廠重置命令。建議用戶將WD My Book Live NAS設(shè)備與互聯(lián)網(wǎng)斷開連接，以保護(hù)設(shè)備上的數(shù)據(jù)。

參考來源：bleepingcomputer