Synology lanza su primera alerta por ransomware en siete años. La puerta que señala se cerró en 2024
Synology no es una empresa alarmista. La última vez que publicó un aviso sobre un ataque a sus clientes fue en agosto de 2019. Por eso el comunicado que publicó el 29 de octubre, titulado «Synology urges users to update DSM following ransomware attacks on outdated DSM versions», merece tomarse al pie de la letra. Una variante llamada C3RB3R, descendiente de la vieja familia Cerber, lleva cifrando NAS de Synology desde principios de octubre. Las víctimas encuentran sus archivos renombrados con la terminación .L0CK3D y una nota llamada read-me3.txt en cada carpeta. Según Techaeris, la nota pide 0,03696 bitcoin, unos 2.950 dólares, y el precio se duplica a los cinco días. No existe ningún descifrador gratuito.
La explicación de Synology es tajante: los atacantes están usando un fallo que corrigió en diciembre de 2024, cubierto por el aviso SA-24:20, contra dispositivos que nunca instalaron la actualización. La firma de seguridad china 360 señala en cambio a dos errores críticos que Synology parcheó el 18 de septiembre de este año, y un equipo de respuesta a incidentes dice haber visto una víctima con una compilación bastante reciente de DSM 7.4.1. Nadie discute el fondo del asunto, eso sí. Son máquinas expuestas a internet con un sistema operativo desactualizado y la página de administración accesible desde cualquier parte. Shadowserver cuenta más de 380.000 NAS de Synology expuestos en línea.
Si tienes uno, abre DSM, ve a Panel de control, Actualizar & Restaurar, e instala lo que esté pendiente. BleepingComputer indica como compilaciones mínimas seguras la 7.4-90075, la 7.3.2-86009-4, la 7.2.2-72806-9 y la 7.2.1-69057-12, según la rama en la que estés. Ya que estás ahí, activa las actualizaciones automáticas, algo que Synology ahora recomienda de forma explícita. Después asegúrate de que la interfaz de administración no sea accesible desde fuera de tu casa: nada de reenvío de puertos hacia ella, nada de QuickConnect si no lo usas. Un detalle del análisis merece repetirse. El ransomware también cifra las copias de seguridad guardadas en el mismo NAS. Una instantánea en el equipo atacado no es una copia de seguridad.
La copia de seguridad con un clic de Tendvane copia Documentos, Imágenes y Escritorio a una unidad que tú eliges, y una copia en un disco que puedes desenchufar es exactamente la que este ransomware no puede alcanzar.