『Adminユーザーでの不正ログイン試行？プロセスの一部が停止』のクチコミ掲示板

[魔女宅LOVE♪]

情報共有のための投稿です

今朝、自宅のTS-253D（メモリを8GBに増設・認識、HDDはWD120EFBXを２本RAID1）から管理用メアドに
寝静まっていた午前６時ぴったりから、下記メールが２分間で１００件程度届いていました。
今のところ問題なさそうなので、様子見しています。でもちょっと気持ち悪いですね。

現象前から設定していた内容
・ルータのUPnP設定はオフ、ルータの管理用アカウントのパスワードは複雑化
・QNAPのadminアカウントはパスワードを複雑化した上で、無効化
・QNAPのファイヤーウォール設定は「Include subnets only」（いつの間にか日本語から英語になっていますね…）
・QNAPのcloudに関する設定はオフ

以下、確認した内容

１．Web管理画面に入ると、QNAPのプロセスがいくつか異常停止している兆候
　・セキュリティ設定やダッシュボードを開こうとしても反応なし
　・実行中のバックグラウンドタスクはなし
　・QNAPのウイルススキャンは９５％で停止状態（再開ボタンを押すも動かず）
　・ファームウェアは最新
　・コントロールパネルTOPページのファームウェアやメモリ容量の項目はあるが、内容は空欄
　・同パネルの一般設定→サーバ名が消えていた
　　システムポートも勝手にデフォルトになっていた（以前は任意の四桁の数字を入れていた）
　　タイムゾーンという項目もあるが、右側の設定項目が空白で設定自体できなくなり、「このタイムゾーンは無効です」みたいな表示
　　・NTPの設定も日本のNTPサーバアドレスを入れてテストボタンを押すが、通信できないという表示
　　・adminでのログイン試行は全部失敗に終わっていた（当たり前…）
　　・CPUやメモリの使用量に異常なし
　　・マルウェアチェックするも存在しない（ログにもマルウェア存在なし）

　Web画面からの再起動を試みるも５分程度経過してもアクセスできなくなるだけで、NASのHDDアクセスランプは激しく
　点滅するだけでシャットダウンできない。
　NASの電源ボタンを２秒ほど押すと反応し、数分後にシャットダウン

　念のため、モデムとルーターの双方を５分ほど電源オフ（WAN側のIPアドレスを変更したいため）

　通信機器の復帰後、NASの電源をオン。NAS起動後は上記の変な動作は改善

　今回の原因、QNAPのアンチウイルスソフトが途中でハングアップしたために起きた挙動なのか、不正アクセスの試みがあって
　アンチウイルスがハングアップしたのか、どちらが先かは不明
　ソースIPが「ソースIP：127.0.0.1」というのも、釈然としないです。実際、ファイヤーウォールはブロックしきれてませんし。

　原因がはっきりしないこともあり、NASを外部からアクセスして使うという使い方が、ますます怖くなりますね。

メールの内容
アプリ名: QuLog Center
カテゴリー: 接続状態
メッセージ: [QuLog Center] ログインに失敗しました。ユーザー：admin。ソースIP：127.0.0.1。接続タイプ：HTTP。権限と接続を確認してください。

書込番号：25105460

[ありりん00615]

ログからはアクセス元の判別は付かないようですよ。
https://www.qnap.com/ja-jp/how-to/faq/article/qufirewall-%E3%81%8C-127-0-0-1-localhost-%E3%81%8B%E3%82%89%E3%81%AE%E3%83%91%E3%82%B1%E3%83%83%E3%83%88%E3%82%92%E3%83%96%E3%83%AD%E3%83%83%E3%82%AF%E3%81%97%E3%81%A6%E3%81%84%E3%82%8B%E3%81%A8%E3%81%AF%E3%81%A9%E3%81%86%E3%81%84%E3%81%86%E6%84%8F%E5%91%B3%E3%81%A7%E3%81%99%E3%81%8B

書込番号：25105541

[たく0220]

＞魔女宅LOVE♪さん

「127.0.0.1」はlocalhostなのでブロックするわけにはいきませんよね…

SecurityCounselorのセキュリティ診断
初期設定だとスキャンスケジュールが金曜日の朝6時… 今日の朝かな？

SSHからだと「crontab -l」でスケジュール確認できます。
海外のQNAPフォーラムでも同様な現象みかけたかもしれません。
魔女宅LOVE♪さんならご存知だと思いますが QNAPですから…

書込番号：25105639

[魔女宅LOVE♪]

＞ありりん00615さん
貴重な情報ありがとうございます。ログ見てもループバックかよ・・・と落胆していましたが、そんなカラクリがあるとは…。

あんまりログ詳しく見ている暇はないのですが、朝６時で４００件のブロック、午後もモデムやらPC再起動した後のタイミングで
４００件くらいのQファイヤーウォールによるパケットブロックの記録。PCのウイルスチェックするもクリア。
暇じゃないし、深追いするだけ無駄かも・・と放置しています。

書込番号：25105704

[魔女宅LOVE♪]

＞たく0220さん
コメントありがとうございます。
セキュリティスキャンはAM２時開始設定ですが、毎回１００時間ほどかかっており、その９５％の段階で停止しておりました。
なんで止まったのか意味不明ですが、とりあえず再起動してやり直しています。

SSHは２０年くらいやってないのと、もうそういう業界から１０年以上前に離れた人間なので、めんどくさいというのが正直なところです・・滝汗

書込番号：25105707

[たく0220]

＞魔女宅LOVE♪さん

＞セキュリティスキャンはAM２時開始設定ですが、毎回１００時間ほどかかっており、その９５％の段階で停止しておりました。

一応ですが「Malware Remover」などの事ではないです。
「Security Counselor」のセキュリティチェックは数分で終わると思いますが、長時間かかっていますか？
「[SecurityCounselor] Started running Security Checkup.」のようなログ残っていませんか？

参考: セキュリティカウンセラー | NASのセキュリティポータル | QNAP
https://www.qnap.com/solution/security-counselor/ja-jp/

書込番号：25106441

[高辻]

この掲示板にある問題と同じではありませんか？
https://www.reddit.com/r/qnap/comments/znenbm/security_checkup_triggered_failed_login_attempts/

このユーザーからの間接的な情報ですが、QNAPも認知している既知の不具合のようです。
「Update Dec 22:
QNAP support has advised me this is a known issue and they are working on a fix.
It "may require a future firmware release" to be resolved.」

書込番号：25106520

[たく0220]

＞魔女宅LOVE♪さん
＞高辻さん

＞この掲示板にある問題と同じではありませんか？

おそらく私が見かけたのも、そのredditの情報だと思います。
ただトリガーは「Security Counselor」ぽいですが、原因までは判ってなさそうです。

必ず発生するとも限らないみたいなので、とりあえずの処置としては
「Security Counselor」のセキュリティチェックを手動で行ってみて問題なさそうであれば
セキュリティ診断のスケジュールを無効にして、(手間ですが)定期的に手動チェックに切り替えて様子見する事です。

書込番号：25106616

[魔女宅LOVE♪]

クライアントアプリを表示させる画面

この問題、下記状況を確認して当てはまれば、QNAPサポートいわく、既知のバグとのことです。
ファームウェアアップデートでの対応を期待して待ちましょう。
回答していただいた皆様、ありがとうございました。

ログの確認方法
QNAPWebの設定画面からQuLog　Centerアプリを開く
ローカルデバイス→アクセスログ
リスト右端の「＋（アクション）」をクリック
クライアントアプリのチェックをオンに
ログ画面でローカルホストからのログが、SecurityCouncelerのものである場合、バグの可能性大

書込番号：25106617

[魔女宅LOVE♪]

＞たく0220さん
「セキュリティスキャン」は私の誤記です。申し訳ありません。
セキュリティスキャンは問題なしです。
時間がかかったのは、QNAPのウイルススキャン（マカフィじゃない方）です。

書込番号：25106619

[Gambit]

本日、スレ主さんと同様に、
朝6時にNSAから100件近い通知が届き起こされました。

「adminのログイン失敗！？不正アクセスか？」
と驚いて慌ててNASをチェックして色々調べ、このスレを見ました。

時刻が6時、アクセス失敗してたのがSecurityCounselorであることから、
報告にあるバグっぱいですね。

とりあえず寝て、起きてからちゃんと情報収集と対処を考えよう。

書込番号：25184035

[Gambit]

寝ぼけて書いたらNASがNSAになってる。（汗）

2月にファームウェアのアップデートされてるけど、
この問題は解消されなかったのかな？

とりあえず早朝に起こされるのは嫌なので、
手動にするかスキャン時間を変更するか。

書込番号：25184209

[魔女宅LOVE♪]

＞Gambitさん
私と同じようにNASに早朝起こされてナスすべがなくて、お困りになられたんですね・・

そういえば、この事象はうちでは一回きりでした。

しばらくしてファームウェアが出たタイミングで更新もしましたが、ずっと静かなままです。

書込番号：25184232

[Gambit]

私も購入して何年か経ちますが、初めての事態でした。
不正アクセスの可能性はほぼ無いはずなんですが、早朝の鬼通知は焦ります。
ひとまずスケジュールを日中に変更して、様子を見てみます。

書込番号：25184259