全球的西部数据(WD)My Book NAS用户发现他们的设备被神秘地擦除(被执行恢复出厂设置并删除了所有文件)。
WD My Book是一种网络连接的存储设备，它体积很小，看上去就像一本立在办公桌上的书。WD My Book Live应用程序允许用户远程访问他们的文件和管理他们的NAS设备，即使该NAS设备位于防火墙或路由器之后。
上周，全球的WD My Book用户突然发现他们的所有文件都被神秘删除了，而且无法再通过浏览器或应用程序登录设备。
当他们尝试通过Web仪表板登录时，设备声明他们的密码“无效”。
“我有一台WD My Book实时连接到我的家庭局域网并且正常使用了多年。我刚刚发现不知何故今天它上面的所有数据都消失了，目录都在但文件都不见了。之前我的2T卷几乎已满，但现在它几乎是个空盘。更奇怪的是，当我尝试登录控制UI进行诊断时，我只能使用‘用户密码’的输入框进入此登录页面。”WD My Book用户在西部数据社区论坛上说道。
My Book设备接到恢复出厂设置的神秘远程命令
越来越多的My Book用户确认他们的设备遇到了同样的问题。MyBook日志显示这些设备都收到了一个远程命令，要求从昨天下午3点左右开始执行恢复出厂设置，一直持续到晚上。
与通常连接到互联网并受到QLocker Ransomware等攻击的QNAP设备不同，西部数据My Book设备置于在防火墙后面，并通过My Book Live云服务器进行通信以提供远程访问。
一个远程代码执行漏洞
一些用户表示担心西部数据的服务器被黑客入侵，向连接到该服务的所有设备推送远程恢复出厂设置命令。
如果是黑客在“清空”全球的My Book设备，那么蹊跷的是，没有人报告赎金勒索或其他威胁，这意味着这次黑客攻击是一个纯粹的破坏性活动。
一些受此攻击影响的用户报告说使用PhotoRec文件恢复工具成功恢复了他们的一些文件，但其他用户并没有那么幸运。
在最新的公告中，西部数据确认了恶意软件是数据擦除的原因：
“Western Digital已确定某些My Book Live设备受到恶意软件的攻击。在某些情况下，这种攻击会导致恢复出厂设置，似乎会擦除设备上的所有数据。”
对于WD My Book Look NAS设备的用户，西部数据强烈建议断开设备与互联网的连接。
“此时，我们建议您断开My Book Live和My Book Live Duo与互联网的连接，以保护您在设备上的数据。”西部数据在一份公告中表示。
据悉，My Book Live设备收到的最后一次固件更新在2015年。
此后，一个编号CVE-2018-18472的远程代码执行漏洞与公开的概念验证漏洞一起被披露。攻击者对互联网进行了大规模扫描以查找易受攻击的设备，并利用此漏洞发出恢复出厂设置的命令。
【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】
