[讨论/分享] Synology的后门（转）

本帖最后由 bolk001 于 2023-3-18 21:45 编辑

Synowedjat是Synology的后门。检查包更新时，无论您是否使用正版Synology设备，都会从服务器下载并执行包更新。强烈建议将其移除。

明确地：
1.后台服务检查更新时，调用“synopkg chkupgradepkg”
2.“synopkg chkupkg”启动synowedjat-exec
3.synowedjat-exec公司
-将硬件信息上传至account.synology.com/wedjat
-下载并解压缩synowedjat.sa，一个包含后门的synology档案
-运行主二进制文件“synowedjat protection”
4.synowedjat有几种模式
-调试模式（由argv[1]控制）
-“collect”和“collect-ec”以明文或加密的形式将一组全面的主机信息上传到synology的服务器
-“惩罚”会重置登录页面的背景，并发送盗版通知
-“保护”是默认模式
-定期运行/run/ai_tool.cpython-38.pyc来玩弄“Active Insight”软件包设置
-将一组全面的主机信息上传到synology的服务器
-根据服务器的响应进入“惩罚”模式

建议：
1.停止进程：killall-KILL synowedjat
2.删除程序包：rm/run/synowedjat*
3.删除配置：rm/usr/syno/etc/wedjat.status
4.删除“Active Insight”包
5.由于synowedjat-exec与操作系统捆绑在一起，请不要删除它。相反，请编辑/etc/hosts以禁用对account.synology.com和dlid.synology的访问


套件Active Insight千万别装。
转自xpenology.com
如不合论坛要求，请版主删除。