國外媒體報道，在上周關于勒索軟件攻擊網絡連接存儲設備的消息之后，聯想EMS的Iomega NAS存儲設備被發現易受攻擊。

本周早些時候，北愛爾蘭的研究機構和WhiteHat Security發現了這個漏洞并通知了LenovoEMC。總共有超過300萬個文件被識別為易受攻擊，包括20，055個文檔，13，677個電子表格，13，972個文本文件和405，395個照片文件。根據Vertical Structure的主管Simon Whittaker的說法，可能會有更多，因為文件是通過擴展來識別的。

“許多其他可能是csv，備份，會計文件等，”他說。“他們本可以從設備中抓取任何和所有文件。該API完全未經過身份驗證，并且能夠以瑣碎的方式遠程列出，訪問和檢索文件。它類似于發現的數千個開放的［亞馬遜］ S3存儲桶。“

雖然在今天的寬帶世界中沒有理由缺乏接口的安全性，但它是一個舊的代碼庫，可能原本不是用于寬帶使用的。他說，由于它的年齡，它可能沒有經過如此徹底的測試。

至于聯想的信譽，該公司在收到漏洞通知后立即為這些設備發布了固件補丁。惠特克說，聯想很快就能輕松到達，并從三個代碼庫退出代碼以解決問題。

然而，這并不是第一次在Iomega中發現已知的漏洞。 去年8月，ISE實驗室的研究人員發現了一系列可能影響其NAS設備的漏洞。在花了一些時間來更新固件之后，聯想在10月份通知其客戶，解釋說攻擊者可以利用設備操作系統中的命令注入漏洞，允許他們通過root shell遠程接管設備。

雖然這些漏洞很嚴重，但它們與上周在QNAP設備上發現的漏洞有所不同。在這種情況下，在QNAP NAS設備上發現了勒索軟件。該漏洞稱為eCh0raix，使用AES加密對NAS上的目標文件擴展名進行加密，并在加密文件中附加“.encrypt”擴展名。然后它要求比特幣贖金。

Whittaker說，不同之處在于，雖然eCh0raix允許執行，但Iomega漏洞不允許黑客直接執行文件。相反，它可以執行文件操作。

黑客專門瞄準中小企業存儲

然而，他們確實有足夠的相似之處，形成一種趨勢。

“首先，黑客開始關注存儲的趨勢明顯。Moor Insights＆Strategy的高級分析師Steve McDowell表示，過去幾周我們已經看過兩次，而且我們也看到有關數據被Amazon S3竊取的報道。“其次，這兩個最新的漏洞都針對的是中小型/家庭辦公空間中通常沒有IT人員的相對不熟練的用戶。”

供應商和用戶共同負責保持存儲設備的安全。

McDowell表示，供應商應通過在消費者和小型辦公級設備上實現自動修補來提升他們的游戲水平。他們還應該采取更大的措施來更徹底地測試設備。

同時，用戶應始終了解補丁的最新信息。

“這些盒子都是建立在為你的服務器和工作站供電的相同開源電源堆上，你并不認為服務器上的安全性是理所當然的，”他說。“對存儲設備做同樣的事情。設置提醒并確保您運行的是最新固件。“