Ransomware sul NAS QNAP: cosa fare nei primi minuti e come limitare i danni

Perché i NAS QNAP sono un bersaglio

I NAS sono diventati uno degli obiettivi preferiti dei gruppi ransomware per una ragione semplice: contengono tutto in un unico posto. Documenti, archivi fotografici, database, e soprattutto i backup di tutti gli altri dispositivi. Colpire il NAS significa colpire anche la rete di sicurezza della vittima.

I QNAP, in particolare, sono spesso esposti direttamente a Internet tramite port forwarding, UPnP o il servizio di accesso remoto del produttore, e non sempre aggiornati. Negli ultimi anni le campagne più note (Qlocker nel 2021, Deadbolt dal 2022, eCh0raix a più riprese e nuove varianti nel 2025-2026) hanno sfruttato vulnerabilità del sistema operativo e di app come Photo Station, Multimedia Console e Hybrid Backup Sync per entrare senza bisogno di credenziali.

Come riconoscere l’attacco

I segnali sono inequivocabili, ma vale la pena conoscerli per reagire in fretta:

• I file hanno un’estensione nuova (.deadbolt, .encrypt, .locked o sequenze casuali) e non si aprono.
• In ogni cartella compare un file di testo o HTML con la richiesta di riscatto, di solito in Bitcoin.
• La pagina di login di QTS è stata sostituita da una schermata con le istruzioni per il pagamento (tipico di Deadbolt).
• Il NAS è lento, le ventole girano al massimo e il processo di cifratura è visibile nel monitor delle risorse.
• Al posto dei file ci sono archivi 7z protetti da password (tipico di Qlocker).
• Le istantanee (snapshot) sono sparite o sono state disattivate.

Le prime cinque mosse, in ordine

1. Isola il NAS dalla rete: stacca il cavo Ethernet. Blocca la comunicazione con gli attaccanti e impedisce la propagazione ad altri dispositivi. Non usare l’interfaccia web per farlo: potrebbe essere compromessa.
2. Valuta se spegnere: se la cifratura è appena iniziata e riguarda ancora pochi file, lo spegnimento forzato (tasto di accensione per 10 secondi) interrompe il processo e salva quello che non è ancora stato toccato. Se la cifratura è già completa, non cambia nulla, ma spegnere evita ulteriori modifiche.
3. Documenta tutto: fotografa la richiesta di riscatto, annota l’estensione dei file cifrati, la data e l’ora in cui te ne sei accorto. Queste informazioni servono per identificare la variante e per l’eventuale denuncia.
4. Non pagare: il pagamento non garantisce la chiave, finanzia l’attività criminale e segnala che sei disposto a pagare ancora. Nelle campagne contro i NAS è successo più volte che la chiave fornita non funzionasse.
5. Non toccare i dischi: non formattare, non reinizializzare il NAS, non reinstallare il firmware, non ricostruire il RAID. Ogni scrittura riduce le possibilità di recupero.

Gli errori che peggiorano la situazione

Azione istintiva	Perché è un errore
Reinizializzare il NAS per “ripulirlo”	Sovrascrive le strutture del volume; i file originali non cifrati diventano irrecuperabili
Eseguire strumenti di “decifrazione” trovati online	Spesso sono malware o modificano i file rendendo impossibile un recupero successivo
Lasciare il NAS connesso per “vedere cosa succede”	La cifratura prosegue e l’attaccante può cancellare snapshot e backup
Ripristinare un backup sopra i file cifrati	Se il backup è parziale, perdi la possibilità di recuperare gli originali dal volume
Aggiornare il firmware prima dell’analisi	L’aggiornamento può cancellare tracce utili e, in alcune varianti, rimuovere file temporanei recuperabili

I file originali sono ancora recuperabili?

Dipende da come lavora la variante, e qui la differenza è sostanziale. Alcuni ransomware creano una copia cifrata del file e poi cancellano l’originale: in questo caso l’originale resta fisicamente sul disco finché lo spazio non viene riutilizzato, e un recupero a basso livello sulle immagini dei dischi può riportarlo alla luce. Altri cifrano il file “in place”, sovrascrivendo i blocchi originali: qui il recupero degli originali è impossibile, ma restano altre strade.

Le fonti alternative che un laboratorio verifica sempre:

• Snapshot: se erano attive e l’attaccante non è riuscito a cancellarle, contengono i file nello stato precedente.
• Cestino di rete: alcune varianti spostano gli originali nel cestino delle cartelle condivise invece di cancellarli.
• File temporanei: Qlocker, per esempio, lasciava in alcune condizioni i file in chiaro accanto agli archivi 7z.
• Spazio non allocato: gli originali cancellati, se non sovrascritti, si ricostruiscono sulle immagini dei dischi.
• Chiavi note: per alcune varianti ormai vecchie esistono strumenti di decifrazione pubblici e verificati.
• Backup esterni: cloud, dischi USB scollegati, altri NAS con replica.

Il nostro servizio di recupero dati dopo ransomware parte sempre dalla clonazione di ogni disco del NAS, in modo che nessuna analisi tocchi gli originali, e prosegue con la ricostruzione del volume RAID e la ricerca dei file in tutte le fonti elencate. Nelle situazioni in cui la variante è nota e la cifratura è parziale, le percentuali di recupero sono alte.

Cosa fare dopo il recupero

Riprendere a usare il NAS come prima è il modo più sicuro per subire un secondo attacco. Prima di rimettere i dati:

• Reinstalla il firmware QTS da zero (dopo aver clonato i dischi) e cambia tutte le password, compresa quella dell’account admin, che va disattivato in favore di un account con nome diverso.
• Disattiva UPnP sul router e rimuovi ogni port forwarding verso il NAS.
• Disabilita il servizio di accesso remoto del produttore se non indispensabile; in alternativa usa una VPN.
• Attiva l’autenticazione a due fattori e il blocco IP dopo tentativi falliti.
• Configura snapshot frequenti con conservazione di almeno 30 giorni e, dove disponibile, snapshot immutabili.
• Imposta un backup esterno con la regola 3-2-1: una copia su cloud o su un disco che resta scollegato.
• Installa gli aggiornamenti di sicurezza entro pochi giorni dalla pubblicazione.

Denuncia e aspetti legali

In Italia il ransomware è un reato perseguibile e la denuncia alla Polizia Postale è consigliata, soprattutto per le aziende, che devono anche valutare la notifica al Garante entro 72 ore se sono coinvolti dati personali, come richiesto dal GDPR. Conserva le prove: la richiesta di riscatto, i log del NAS e del router, le date. Il nostro laboratorio può fornire una relazione tecnica sull’intervento.

Se è appena successo

Scollega il NAS, non pagare, non formattare. Contattaci: nel nostro laboratorio di recupero dati a Roma la diagnosi è gratuita, il preventivo arriva entro 4 ore lavorative dall’arrivo dei dischi e paghi solo se recuperiamo i dati, con la lista dei file visibile prima del pagamento e riservatezza totale, con NDA su richiesta. Chiamaci allo 06 6228 0405 oppure compila il modulo di accettazione: ritiro tramite corriere in tutta Italia.