Synology wydało pierwsze od siedmiu lat ostrzeżenie przed ransomware. Luka, którą wskazuje, została załatana w 2024 roku

Synology nie wszczyna alarmów. Ostatni raz ostrzeżenie o ataku na swoich klientów opublikowało w sierpniu 2019 roku. Dlatego komunikat z 29 października zatytułowany „Synology urges users to update DSM following ransomware attacks on outdated DSM versions” (Synology wzywa użytkowników do aktualizacji DSM po atakach ransomware na przestarzałe wersje DSM) warto potraktować dosłownie. Szczep o nazwie C3RB3R, potomek starej rodziny Cerber, od początku października szyfruje serwery NAS Synology. Ofiary znajdują swoje pliki z końcówką .L0CK3D i notatkę o nazwie read-me3.txt w każdym folderze. Według Techaeris notatka żąda 0,03696 bitcoina, czyli około 2950 dolarów, a po pięciu dniach cena się podwaja. Darmowy dekryptor nie istnieje.

Wyjaśnienie Synology jest dosadne: napastnicy wykorzystują lukę, którą firma załatała w grudniu 2024 roku i opisała w biuletynie SA-24:20, przeciwko urządzeniom, na których tej aktualizacji nigdy nie zainstalowano. Chińska firma zajmująca się bezpieczeństwem, 360, wskazuje z kolei na dwa krytyczne błędy, które Synology załatało 18 września tego roku, a jeden z zespołów reagowania twierdzi, że widział ofiarę na całkiem świeżej kompilacji DSM 7.4.1. Sedna sprawy nikt jednak nie kwestionuje. To maszyny wystawione do internetu z przestarzałym systemem operacyjnym i panelem zarządzania dostępnym z dowolnego miejsca. Shadowserver naliczył ponad 380 000 urządzeń NAS Synology widocznych w sieci.

Jeśli masz takie urządzenie, otwórz DSM, wejdź w Panel sterowania, Aktualizacja i przywracanie, i zainstaluj to, co tam czeka. BleepingComputer podaje minimalne bezpieczne kompilacje: 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 i 7.2.1-69057-12, zależnie od gałęzi, na której jesteś. Przy okazji włącz aktualizacje automatyczne, co Synology teraz wprost zaleca. Potem upewnij się, że interfejs administratora nie jest dostępny spoza domu: żadnego przekierowania portów do niego, żadnego QuickConnect, z którego nie korzystasz. Jeden szczegół z analizy warto powtórzyć. Ransomware szyfruje również wszystkie kopie zapasowe przechowywane na tym samym NAS-ie. Migawka na urządzeniu, które zostało zaatakowane, nie jest kopią zapasową.

Kopia zapasowa jednym kliknięciem w Tendvane kopiuje Dokumenty, Obrazy i Pulpit na wybrany przez ciebie dysk, a kopia na dysku, który można odłączyć, to dokładnie taka, do której ten ransomware nie ma dostępu.