Data Recovery Heroes.
Recovery Italia® può aiutarVi a risolvere con successo qualsiasi caso di perdita di dati.
preventivo immediatoRecuperare dati da Synology BTRFS dopo attacco ransomware con volume nascosto
26/06/2026
BASIC KNOWLEDGE
In questo caso viene affrontato un nuovo attacco specifico per NAS Synology dove l'organizzazione criminale ha ottenuto un accesso amministrativo al sistema ed ha potuto eseguire comandi shell.
La particolarità di questo attacco è nel tipo di occultamento dei dati e che l'azione è stata condotta con l'obiettivo di salvaguardare i dati, in quanto presumibilmente sarebbero stati resi visibili dopo il pagamento del riscatto.
Il messaggio lasciato dai Criminali "DiskStation Security"
Hello.
This is DiskStation Security.
What happened?
- Your network was not secure.
- Your Network-Attached Storage was compromised.
What does this mean? Where are my files?
- All your data has been encrypted and hidden on a special volume.
- All your important documents have been downloaded.
What can I do to recover my data?
- If you want to recover your data, you have to send 0.07 Bitcoin to this wallet address:
xxxxxx
Always double check the address when copying/pasting it!!!!!
- You have until June 18 2026, to make the payment. After this date your files will be almost impossible to recover.
What should I do after I send the payment?
- Your ID is: nas2021
- Please email us your ID and payment confirmation to:
witold@tutanota.de
mesder@protonmail.com
- After we confirm your payment you will receive detailed instructions on how to decrypt all your data. It does not require any technical skills and it is done fast.
Can I still use my nas?
- Do not delete any files you find on your NAS.
- Do not try to recover your data using any software as it will result in permanent data loss.
- Do not modify any volumes or storage pools on your NAS.
- Do not write large amounts of data to your disk.
Why have my files been downloaded?
- We reserve the right to leak or sell all your important documents, if you don't contact us. Your GDPR regulators and Customers will also be notified about the breach.
This will imply heavy fines.
Where can I buy and send bitcoin?
- You can easily buy and send bitcoin from:
https://www.moonpay.com/buy/btc
https://paxful.com/buy-bitcoin
https://localbitcoins.com/buy_bitcoins
https://www.binance.com/en/buy-Bitcoin
You can think of this as a failed security audit.
We are professionals. This is a one time deal.
We will restore your data immediately after the payment.
We will even send you tips on how to strengthen your network security, to prevent any future attacks.
Thank you.
Analisi del Volume Raid - importazione dell'array di tipo MDADM
Dopo aver collegato gli hard drive al computer dedicato per le analisi è necessario importare il raid linux com mdadm
/sbin/mdadm --assemble --scan -v
a questo punto sarà possibile utilizzare gli strumenti btrfs per una analisi dei volumi e degli snapshot.
Montiamo il raid md2 in modalità read-only
mount -o ro /dev/md2 /mnt/
Analizziamo i subvolumi
btrfs subvolume list /mnt/
ID 257 gen 414608 top level 5 path @synoID 1910 gen 414601 top level 257 path IMPORTANT_README
E' evidente che durante l'attacco sono state eseguire operazioni sui volumi. Nello specifico sembra sia stato creato uno snapshot ed occultato. Una analisi condotta con software per data recovery su BTRFS restituisce il seguente risultato.
Il volume principale è sostanzialmente vuoto.
La particolarità degli snapshot è che gli stream presenti nel volume principale vengono lasciati inalterati e rappresenta una semplice mappatura su nuovo volume.
I settori occupati dai file originali non hanno avuto alcuna alterazione o movimentazione. Si sono semplicemente spostati di volume in termini di metadati.
Ciò significa che i dati sono pefettamente recuperabili, sia utilizzando metodi di ricostruzione dei metadati del BTRFS che in modalità file carving.
Conclusioni e valutazioni Finali
L'attacco analizzato specializzato nel danneggiare i volumi presenti su SYNOLOGY ha delle debolezze intrinseche legate alla consistenza del riscatto ed alla percezione dell' utente finale.
Il primo problema è che l'utente non vedendo i file criptati potrebbe essere indotto a pensare che i dati siano stati cancellati del tutto e quindi non pagare il riscatto.
Il metodo di realizzare un volume nascosto è debole, in quanto i file non hanno avuto alcuna movimentazione nè encryption e risultano essere perfettamente recuperabili con delle analisi relativamente semplici.
La scelta del metodo di attacco è legata alla performance di realizzazione del processo di occultamento, in quanto una encryption di diversi TB di dati avrebbe richiesto un tempo molto lungo. Occultare il volume principale ha richiesto l'esecuzione di uno script e pochi secondi di esecuzione.
Come molto spesso accade, attacchi condotti con metodi ultra-fast garantiscono un ottimo risultato globale, ma consentono ad uno specialista di ottenere ottimi risultati di restore e recupero dei dati di fronte ad una analisi approfondita.
Hai bisogno di aiuto o di maggiori informazioni ?
Contatta il nostro call center o inviaci una richiesta di assistenza a info@recoveryitalia.it. I nostri esperti sono a tua completa disposizione per una consulenza gratuita.
METRO A ANAGNINA