[TRAGEDIA! - HELP] [TS-209 II] NAS impazzito !?

[mav46qnap]

Salve a tutti, sono nella m***a.

I fatti: ieri sera tento di accedere come faccio solitamente al mio NAS via ftp come admin e l'utente non viene riconosciuto: password non corretta. Provo ad accedere alle cartelle shared del NAS dal portatile e windows mi dice che il percorso non è raggiungibile.

Prova ad entrare nel web file manger tramite un'altro account che ha i privilegi di amministratore (<> da admin) e viene indicato che non esistono cartelle shared da consultare.

Con questo account riesco ad entrare nell'area di amministrazione del NAS, vado sui log di sistema e mi trovo:

Server Name: NAS8BF4FA
IP Address: 192.168.1.35
Date/Time: 12/10/2008 23:37:24
Level: Warning
Default network shares(Public, Qusb, Qweb, Qmultimedia, Qdownload) do not exist.
It''s suggested to format your SATA disk.

Server Name: NAS8BF4FA
IP Address: 192.168.1.35
Date/Time: 12/11/2008 09:49:45
Level: Warning
Re-launch process [smbd].

Il secondo tipo di log (Re-launch process [smbd]) viene segnalato ogni 30 secondi tanto è vero che ho dovuto disabilitare la notifica tramite alert via e-mail perchè venivo intasato dai messaggi di log di questo tipo.

Riesco tramite l'account suddetto a fare la variazione della psw e a entrare come admin. Fatto questo vado nella sezione di Network Share Management e qui l'elenco è vuoto. In pratica sono scomparse sia le cartelle di dafault che quelle che avevo creato io. Vado in creazione, seleziono Browse e riesco a vedere le cartelle per ognuna delle quali vado a ricreare la condivisione.

Accedo adesso sia in ftp che tramite web file manager alle cartelle di cui ho ripristinato la condivisione ma alcune di queste, in particolare la cartella QMultimedia contiene la metà delle cartelle che esistevano prima ....

Che c***o è successo .... ?

Faccio presente che fino ad allora il NAS non mi ha mai segnalato alcun tipo di problema. Ma soprattutto anche avendo ripristinato le cartelle condivise continuano a sollevarsi i messaggi di log del tipo indicato ed altri quali Re-launch process [httpd] o una cosa del genere. Oltre a questi warning adesso mi vengono segnalati dei log di tipo Error come

Server Name: NAS8BF4FA
IP Address: 192.168.1.35
Date/Time: 12/11/2008 00:28:45
Level: Error
Alert Notification: Failed to send mail to
[XXXXXX]

Fuori dalla rete locale adesso se tento di collegarmi al NAS via Internet riesca ad accedere alla pagina principale ma poi qualsiasi selezione richieda o mi va in timeout il browser o ci impiega una vita prima di visualizzarmi le sezioni. Prima andava liscio.

Possono aiutare le seguenti considerazioni:
- il mio uso del NAS è a livello base. In pratica i servizi che utilizzo sono ftp, download station (tramite MlDonkey), multimedia station e iTunes server.
- le cose anomale che posso avere fatto/notato appena prima che si presentasse il problema sono che nei log di connessione ai servizi avevo delle righe di richiesta di login tramite SSH come admin di IP sconosciuti. Alcune di queste richieste di log me le davano come OK
- l'ultima attività che ho effettuato sul NAS è stata quella di scaricare tramite MLDonkey un file con estensione .torrent
- i led presenti sul pannello del NAS segnalano che tutto è a posto e anche per quanto riguarda gli hard disk il NAS non indica malfunzionamenti.

Mi date una mano a capire ma soprattutto a quale possa essere la procedura per fare in modo che il NAS torni ad essere operativo come al momento dell'acquisto ... !?

Grazie.

[Wind]

- le cose anomale che posso avere fatto/notato appena prima che si presentasse il problema sono che nei log di connessione ai servizi avevo delle righe di richiesta di login tramite SSH come admin di IP sconosciuti. Alcune di queste richieste di log me le davano come OK

ciao Mav, sono un novizio del Qnap e mi dispiace non esserti d'aiuto ma quanto hai scritto (e ti ho quotato) fa presumere un attacco da qualche hackers o che altro e pare, visti i risultati, sia riuscito nell'intento

[mav46qnap]

si, boh, non so ... Se avessi conferma di ciò sarei più tranquillo nel senso che quanto meno sarei a conoscenza del motivo reale che ha causato il tutto ...

Rimane il fatto che non so come sia possibile ripristinare il sistema al suo stato originale ...

Chiedo lumi ragazzi sono in panne ...

[Gianni]

Salve Wind anchio ho avuto un problemino ed ho dovuto risettare in Nas come te cercavo cercavo la soluzione che in fondo avevo sotto il Naso:
Entra come amministratore nel Nas ,"Impostazioni di Backup ripristino,azzeramento" troverai tre pulsanti tu clicca "Reimposta"
ATTENZIONE fai un backup perchè i dati Verranno persi non dimenticarlo.
Spero di esserti stato di aiuto.
Ciao
Gianni

[luciano]

- le cose anomale che posso avere fatto/notato appena prima che si presentasse il problema sono che nei log di connessione ai servizi avevo delle righe di richiesta di login tramite SSH come admin di IP sconosciuti. Alcune di queste richieste di log me le davano come OK

Se sei certo che gli IP da cui provenivano i tentativi di accesso non fosse qualche tuo accesso da reti che non usi di solito (mi è capitato personalmente di aver acceduto al NAS da casa di un amico e di averlo dimenticato e quando tempo dopo ho visto i log mi era presa una mezza paresi...), allora direi che il problema è stato un accesso non autorizzato alla tua rete.
A quel punto sarebbe da investigare come è stato portato l'attacco, poi mi salverei i log (sono una prova legalmente utile per la Polizia Postale).
Come è configurato il tuo router? Non è che per caso hai messo l'IP del NAS nella DMZ, rendendolo al di fuori della protezione del firewall?

[lucky74]

Che tu abbia subito un attacco hacker non c'è dubbio ma che quello sia la causa non ne sarei così certo.

Anch'io fintanto che avevo le porte nel router aperte (7gx24h), erano frequenti questi tentativi di intrusione (nel mio caso ricordo FTP e non SSH, voglio dire che quello che ti è capitato a livello di log accessi sembra essere normale visto che, credo, tu avevi le porte apetre nel router, mi stupirei piuttosto del contrario.

Gli attacchi di cui sto parlando sono diversi (decine) tentativi di login in ftp con diversi tentativi di nomeutente e password, ad esempio admin/admin. Nel mio caso il log mostrava comunque l'esito failed, per capire se i tuoi attacchi hanno ottenuto esito positivo è quello di verificare se nel log c'è un esito OK ad uno di questi tentativi. Se fosse così allora avresti la riprova di una intrusione indesiderata e sicuramente dannosa per il sistema. Nel mio caso tutti i tentativi avevano esito failed. Altra cosa che farei è prendere nota dell'IP qualora dovesse esserti veramente entrato nel nas e me lo cercherei tramite google, molto probabilmente sarà in qualche blacklist, in quanto alla segnalazione alle Autorità mi sembra una giusta cosa ma non aspettarti un riscontro.

Io adesso tengo le porte chiuse, grazie anche a questo forum ho cambiato la brutta abitudine che stavo prendendo.

Tornando al tuo problema ... non è che ti si è guastato l'HD ?

[luciano]

per capire se i tuoi attacchi hanno ottenuto esito positivo è quello di verificare se nel log c'è un esito OK ad uno di questi tentativi. Se fosse così allora avresti la riprova di una intrusione indesiderata e sicuramente dannosa per il sistema.

lucky74, mi sembra che il nostro amico abbia già confermato l'intrusione: "Alcune di queste richieste di log me le davano come OK", purtroppo.

[lucky74]

Azz... mi era sfuggito quel "particolare" ... mi dispiace ...