Ransomware tấn công Synology: nhận biết và cứu dữ liệu

Ransomware "ăn" NAS Synology kiểu gì, và vì sao chủ quan là mất sạch

Ransomware không tự bò vào NAS qua mạng theo kiểu phép thuật nào cả. Phần lớn trường hợp, nó mượn tay chính người dùng mà đi vào. Đường phổ biến nhất: một máy Windows trong mạng LAN dính mã độc qua email, máy đó đang ánh xạ ổ mạng (mapped drive) tới NAS, và thế là ransomware mã hoá luôn cả phần dữ liệu trên NAS như mã hoá ổ cứng nội bộ — nó đâu cần biết đó là NAS hay ổ C:.

Đường thứ hai: NAS bị mở thẳng port SMB (445) hoặc port quản trị DSM (5000/5001) ra Internet, bot quét cổng tìm thấy, brute-force tài khoản admin mặc định, vào được là mã hoá trực tiếp trên NAS luôn — không cần qua máy trung gian nào.

Vài tình huống thực tế hay gặp:

• Gia đình lưu ảnh, video qua ổ mạng ánh xạ từ PC Windows. PC dính mã độc qua email, chỉ vài phút sau cả thư mục ảnh đổi đuôi thành .encrypted.
• Hộ kinh doanh nhỏ mở port SMB/DSM ra Internet cho nhân viên truy cập từ xa. Bị quét cổng, brute-force tài khoản admin mặc định, dữ liệu kế toán mã hoá sạch.
• Bật QuickConnect/DDNS thoải mái, quên bật 2FA. Tài khoản bị chiếm, kẻ tấn công tự tay xoá luôn snapshot (vì chưa bật immutable) rồi mới mã hoá — xoá đường lui trước khi ra tay.

Thói quen quen thuộc của nhiều người là "cắm ổ cứng ngoài, backup định kỳ cho chắc" — không sai, nhưng chậm và dễ quên. Snapshot Btrfs tại chỗ trên Synology cho rollback cả thư mục trong vài phút, nhanh hơn restore full backup rất nhiều. Nhưng snapshot vẫn nằm trên cùng một NAS, nên nó không bao giờ thay được một bản backup thật sự nằm ngoài NAS gốc. Ghim câu này lại, vì đây đúng là chỗ nhiều người tưởng mình đã an toàn — tới lúc cần mới ngã ngửa ra là không.

Dấu hiệu nhận biết sớm — đừng đợi thấy file đòi tiền chuộc mới tin

Ransomware hiếm khi báo trước, nhưng luôn để lại dấu. Vài chỗ nên ngó qua định kỳ:

• File đổi đuôi lạ (.encrypted, .locked...) hoặc xuất hiện file ghi chú đòi tiền chuộc trong các thư mục chia sẻ.
• Dung lượng ổ đĩa tăng hoặc giảm bất thường trong thời gian ngắn — mã hoá file thường làm dung lượng nhảy loạn xạ.
• Log Center ghi nhận hàng loạt thao tác ghi/đổi tên file liên tiếp trong vài phút, đặc biệt từ một tài khoản hoặc một IP.
• Resource Monitor báo CPU và disk I/O tăng đột biến không rõ nguyên nhân, nhất là vào giờ không ai đụng tới NAS.
• Security Advisor và Auto Block ghi nhận đăng nhập sai nhiều lần liên tục hoặc đăng nhập từ IP lạ.

Muốn giám sát chủ động hơn thay vì ngồi canh log tay, có một lớp giám sát real-time — nói ở phần tuỳ chọn nâng cao cuối bài.

Cách ly ngay khi nghi ngờ — làm đúng thứ tự, đừng đảo ngược

Phản ứng đầu tiên của nhiều người là rút phích nguồn NAS ngay. Đừng làm vậy. Thứ tự nên là:

1. Rút cáp mạng NAS hoặc ngắt port trên switch trước. Giữ máy đang chạy để không mất log điều tra nguyên nhân — tắt nguồn vội là mất luôn bằng chứng trong RAM và log đang ghi.
2. Tắt tạm các giao thức SMB/AFP/NFS tại Control Panel > File Services. Chặn đường lây tiếp sang các máy khác đang map ổ tới NAS.
3. Đặt thư mục chia sẻ nghi nhiễm về chế độ chỉ đọc hoặc unmount, ngăn ransomware (nếu vẫn đang chạy ở đâu đó trong mạng) tiếp tục ghi đè.
4. Chỉ shutdown cứng khi ransomware đang mã hoá ồ ạt và không kịp xử lý qua giao diện — đây là lựa chọn cuối, không phải phản xạ đầu tay dù đúng là bản năng ai cũng muốn làm trước.

Khôi phục dữ liệu — chọn đúng lớp, đừng vội restore đè

Đây là chỗ dễ nhầm nhất: snapshot, versioning và full backup là ba lớp khác nhau, không thay thế nhau được.

Thứ tự ưu tiên thực tế:

• Snapshot Btrfs tại chỗ — nhanh nhất. Chọn bản snapshot gần nhất trước thời điểm phát hiện dấu hiệu lạ, vào gói Snapshot Replication > tab Recovery, chọn snapshot, bấm Restore.
• File versioning — dùng khi chỉ mất vài file/thư mục cụ thể, không cần rollback cả volume.
• Full backup ngoài NAS (Hyper Backup/Active Backup for Business) — lớp cuối, dùng khi snapshot cũng bị ảnh hưởng, ví dụ kẻ tấn công có quyền admin đã xoá hết snapshot không bật immutable, hoặc volume/ổ đĩa hỏng vật lý. Chậm hơn nhưng độc lập hoàn toàn với NAS gốc.

Một điều cần nhớ: đừng restore đè trực tiếp lên dữ liệu đang nhiễm. Xác định mốc thời gian sạch cuối cùng, rồi restore ra một shared folder hoặc volume mới. Restore đè lên chỗ cũ có thể dính lại mã độc ẩn, hoặc xoá mất log cần để tìm nguyên nhân.

Lỗi thường gặp khi xử lý ransomware trên NAS

• Coi snapshot là backup duy nhất. Không có bản sao thứ hai ngoài NAS → khi volume gốc bị phá hoặc snapshot không immutable bị xoá, mất trắng.
• Volume định dạng ext4, không phải Btrfs, hoặc model không hỗ trợ immutable — tưởng đã an toàn nhưng snapshot vẫn bị xoá được bình thường.
• Lịch snapshot quá thưa (kiểu 1 lần/ngày) — khi phát hiện ransomware, bản snapshot gần nhất cũng đã bị mã hoá từ trước, mất cả ngày dữ liệu.
• Mở thẳng port SMB (445) hoặc port quản trị DSM (5000/5001) ra Internet — cổng vào phổ biến nhất của ransomware tấn công NAS, không qua VPN gì cả.
• Hoảng loạn format hoặc restore ngay khi vừa phát hiện, không xác định mốc nhiễm — dễ restore đè lên bản vẫn còn mã độc ẩn, hoặc xoá mất log điều tra.

Thiết lập Snapshot Replication để lần sau không phải hoảng loạn

Snapshot Replication là gói built-in của DSM, miễn phí, có sẵn trong Package Center, tương thích từ DSM 7.0 trở lên (xác nhận có mặt trong DSM 7.4). Toàn bộ thao tác qua giao diện, không cần SSH hay Docker.

1. Mở Package Center, cài Snapshot Replication nếu chưa có.
2. Vào Control Panel > Shared Folder, chọn thư mục chia sẻ cần bảo vệ, mở tab Snapshot.
3. Bật lịch snapshot theo giờ/ngày. Lịch có thể đặt dày tới mỗi 5 phút — gợi ý kiểu GFS: 24 bản theo giờ, 7 bản theo ngày, 4 bản theo tuần, vừa đủ dày để không mất nhiều dữ liệu, vừa không ngập ổ snapshot.
4. Bật Immutable snapshot nếu model của bạn có hỗ trợ (WORM), đặt protection period 7–14 ngày. Ô tick này nhỏ xíu nhưng là thứ duy nhất chặn được ransomware đã chiếm quyền admin và cố xoá sạch snapshot để xoá đường lui của bạn — bỏ qua nó một lần là đủ hối hận cả năm. Kiểm tra danh sách model Synology công bố hỗ trợ trước khi dựa hoàn toàn vào nó.

Vài giới hạn kỹ thuật cần biết trước: volume phải định dạng Btrfs, ext4 không tạo được snapshot. Cần tối thiểu 100 MB dung lượng trống để tạo snapshot mới. Hệ thống giới hạn tối đa 65.536 snapshot toàn hệ thống, 1.024 snapshot/thư mục chia sẻ, 256 snapshot/LUN — với lịch GFS bình thường thì khó chạm tới giới hạn này.

Tùy chọn nâng cao (không bắt buộc)

Những phần dưới đây là lớp bổ sung, không phải bước phải làm ngay để có snapshot bảo vệ cơ bản.

• Active Insight — dịch vụ giám sát đám mây của Synology, yêu cầu tối thiểu DSM 7.2, có gói miễn phí và gói trả phí nâng cao. Theo dõi file activity real-time, tự nhận diện pattern giống ransomware và tự kích hoạt snapshot toàn hệ thống kèm báo động cho quản trị. Hợp cho ai muốn có người canh hộ, thay vì tự dán mắt vào Log Center cả ngày.
• Hyper Backup / Active Backup for Business — đẩy bản sao ra ngoài NAS (NAS khác, ổ rời, hoặc cloud như S3/Google Drive/Synology C2), đúng nguyên tắc 3-2-1: 3 bản dữ liệu, 2 loại lưu trữ khác nhau, 1 bản off-site hoặc offline.
• VPN Plus/WireGuard thay cho mở port — cần truy cập NAS từ xa thì VPN luôn an toàn hơn port forward trực tiếp. Một lựa chọn khác đáng biết là RocketZero ( roze.to ) — map NAS thành ổ đĩa trên máy Windows/macOS từ xa mà không cần mở port router, kết nối mã hoá, chạy được cả trên Synology chính hãng và XPEnology. Mỗi NAS có một ID riêng dùng luôn làm địa chỉ truy cập kèm HTTPS sẵn (đặt ID "gia-dinh-an" thì truy cập qua https://gia-dinh-an.roze.to), khác QuickConnect ở chỗ địa chỉ đó là một domain thật có HTTPS đi kèm. Vẫn chỉ là một lựa chọn trong nhiều lựa chọn, không thay được việc bạn phải bật 2FA và Auto Block cho tài khoản.

Bảo mật tài khoản và mạng để ransomware hết cửa vào

• Disable tài khoản admin mặc định, tạo tài khoản quản trị khác với mật khẩu mạnh.
• Bật 2FA cho Login Portal tại Control Panel > User & Group > Advanced.
• Bật Auto Block tại Control Panel > Security > Account để tự chặn IP sau N lần đăng nhập sai.
• Không ánh xạ port SMB/DSM thẳng ra WAN. Cần truy cập từ xa thì dùng VPN hoặc QuickConnect có kiểm soát, thay vì port forward trực tiếp.
• Cập nhật DSM lên bản ổn định mới nhất đều đặn. Bản hiện hành là DSM 7.4.1-90080-1 Update 1 (phát hành 12/10/2026). Các bản trước đó như DSM 7.3.2 đầu năm 2026 từng vá lỗ hổng liên quan Telnet — chạy bản cũ nghĩa là vẫn mở cửa cho những lỗ hổng đã được vá từ lâu.
• Luôn giữ ít nhất một bản backup offline hoặc air-gapped — ổ rời ngắt kết nối sau khi backup xong, hoặc cloud — để phòng trường hợp kẻ tấn công chiếm được quyền admin và xoá sạch cả NAS gốc lẫn snapshot.

Tóm một câu cho dễ nhớ: snapshot cứu bạn trong vài phút, nhưng chỉ có bản backup nằm ngoài NAS mới cứu được bạn khi kẻ tấn công đã có chìa khoá cả căn nhà. Dựng cả hai lớp này từ trước, đừng để đến lúc nhìn thấy đuôi file .encrypted mới cuống cuồng đi tìm hiểu Snapshot Replication là cái gì.