Synology gibt seine erste Ransomware-Warnung seit sieben Jahren heraus. Die Lücke, die es nennt, wurde 2024 geschlossen

Synology neigt nicht zur Panikmache. Das letzte Mal, dass das Unternehmen eine Warnung vor einem Angriff auf seine Kunden veröffentlichte, war im August 2019. Die Mitteilung vom 29. Oktober mit dem Titel „Synology urges users to update DSM following ransomware attacks on outdated DSM versions“ sollte man also für bare Münze nehmen. Ein Stamm namens C3RB3R, ein Abkömmling der alten Cerber-Familie, verschlüsselt seit Anfang Oktober Synology-NAS-Geräte. Betroffene finden ihre Dateien mit der Endung .L0CK3D umbenannt und in jedem Ordner eine Notiz namens read-me3.txt. Laut Techaeris verlangt die Notiz 0,03696 Bitcoin, etwa 2.950 Dollar, und der Preis verdoppelt sich nach fünf Tagen. Ein kostenloses Entschlüsselungswerkzeug gibt es nicht.

Synologys Erklärung ist unverblümt: Die Angreifer nutzen eine Schwachstelle, die das Unternehmen im Dezember 2024 behoben hat, abgedeckt durch das Advisory SA-24:20, gegen Geräte, auf denen das Update nie installiert wurde. Die chinesische Sicherheitsfirma 360 verweist stattdessen auf zwei kritische Fehler, die Synology am 18. September dieses Jahres gepatcht hat, und ein Incident-Response-Team berichtet von einem Opfer auf einem recht aktuellen DSM-7.4.1-Build. Den Kern bestreitet aber niemand. Es handelt sich um Maschinen, die mit veraltetem Betriebssystem im Internet hängen und deren Verwaltungsseite von überall erreichbar ist. Shadowserver zählt mehr als 380.000 online exponierte Synology-NAS-Geräte.

Wer eines besitzt, öffnet DSM, geht in der Systemsteuerung auf Aktualisieren & Wiederherstellen und installiert, was dort wartet. BleepingComputer nennt als sichere Mindestversionen 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 und 7.2.1-69057-12, je nachdem, auf welchem Zweig man ist. Schalten Sie bei der Gelegenheit die automatischen Updates ein, was Synology inzwischen ausdrücklich empfiehlt. Stellen Sie dann sicher, dass die Verwaltungsoberfläche von außerhalb Ihres Zuhauses nicht erreichbar ist: keine Portweiterleitung dorthin, kein QuickConnect, das Sie nicht nutzen. Ein Detail aus der Analyse verdient Wiederholung. Die Ransomware verschlüsselt auch alle Backups, die auf demselben NAS liegen. Ein Snapshot auf dem getroffenen Gerät ist kein Backup.

Tendvanes Ein-Klick-Backup kopiert Dokumente, Bilder und Desktop auf ein Laufwerk Ihrer Wahl, und eine Kopie auf einem Laufwerk, das man abstecken kann, ist genau die Art, an die diese Ransomware nicht herankommt.