Synology lancia il primo allarme ransomware in sette anni. La falla che indica era stata chiusa nel 2024
Synology non è un'azienda che grida all'allarme. L'ultima volta che ha pubblicato un avviso su un attacco ai propri clienti era l'agosto del 2019. Per questo il comunicato del 29 ottobre, intitolato «Synology urges users to update DSM following ransomware attacks on outdated DSM versions», va preso alla lettera. Una variante chiamata C3RB3R, discendente della vecchia famiglia Cerber, sta cifrando i NAS Synology dall'inizio di ottobre. Le vittime trovano i file rinominati con il suffisso .L0CK3D e una nota chiamata read-me3.txt in ogni cartella. Secondo Techaeris, la nota chiede 0,03696 bitcoin, circa 2.950 dollari, e il prezzo raddoppia dopo cinque giorni. Non esiste alcun decryptor gratuito.
La spiegazione di Synology è secca: gli aggressori sfruttano una falla corretta nel dicembre 2024, coperta dall'avviso SA-24:20, contro dispositivi che non hanno mai installato l'aggiornamento. La società di sicurezza cinese 360 punta invece il dito su due bug critici corretti da Synology il 18 settembre di quest'anno, e un team di risposta agli incidenti dice di aver visto una vittima con una build DSM 7.4.1 piuttosto recente. Sulla sostanza, però, nessuno discute. Si tratta di macchine esposte su internet con un sistema operativo non aggiornato e la pagina di amministrazione raggiungibile da chiunque. Shadowserver conta più di 380.000 NAS Synology esposti in rete.
Se ne possedete uno, aprite DSM, andate in Pannello di controllo, Aggiornamento & Ripristino, e installate quello che trovate in attesa. BleepingComputer indica come build minime sicure la 7.4-90075, la 7.3.2-86009-4, la 7.2.2-72806-9 e la 7.2.1-69057-12, a seconda del ramo che usate. Già che ci siete, attivate gli aggiornamenti automatici, cosa che ora Synology raccomanda esplicitamente. Poi assicuratevi che l'interfaccia di amministrazione non sia raggiungibile dall'esterno di casa vostra: nessun port forwarding verso di essa, nessun QuickConnect che non usate. Un dettaglio dell'analisi merita di essere ripetuto. Il ransomware cifra anche i backup conservati sullo stesso NAS. Uno snapshot sulla macchina colpita non è un backup.
Il backup con un clic di Tendvane copia Documenti, Immagini e Desktop su un'unità a vostra scelta, e una copia su un disco che potete scollegare è esattamente il tipo di backup che questo ransomware non può raggiungere.