A Synology emitiu o primeiro aviso de ransomware em sete anos. A porta que aponta foi fechada em 2024
A Synology não é dada a alarmes. A última vez que publicou um aviso sobre um ataque aos seus clientes foi em agosto de 2019. Por isso, o comunicado que publicou a 29 de outubro, intitulado «Synology urges users to update DSM following ransomware attacks on outdated DSM versions», merece ser levado à letra. Uma estirpe chamada C3RB3R, descendente da velha família Cerber, anda a cifrar equipamentos NAS da Synology desde o início de outubro. As vítimas encontram os ficheiros renomeados com a terminação .L0CK3D e uma nota chamada read-me3.txt em cada pasta. Segundo o Techaeris, a nota pede 0,03696 bitcoin, cerca de 2950 dólares, e o preço duplica ao fim de cinco dias. Não existe nenhum desencriptador gratuito.
A explicação da Synology é direta: os atacantes estão a explorar uma falha que a empresa corrigiu em dezembro de 2024, coberta pelo aviso SA-24:20, contra equipamentos que nunca instalaram a atualização. A empresa de segurança chinesa 360 aponta antes para duas falhas críticas que a Synology corrigiu a 18 de setembro deste ano, e uma equipa de resposta diz ter visto uma vítima numa versão bastante recente, o DSM 7.4.1. Ninguém contesta o essencial, porém. São máquinas ligadas à internet com um sistema operativo desatualizado e a página de gestão acessível a partir de qualquer lado. A Shadowserver conta mais de 380 mil dispositivos NAS da Synology expostos online.
Se tem um, abra o DSM, vá a Painel de Controlo, Atualizar & Restaurar, e instale o que estiver à espera. O BleepingComputer indica como versões mínimas seguras a 7.4-90075, a 7.3.2-86009-4, a 7.2.2-72806-9 e a 7.2.1-69057-12, consoante o ramo em que estiver. Já que lá está, ative as atualizações automáticas, algo que a Synology agora recomenda explicitamente. Depois, certifique-se de que a interface de administração não está acessível a partir de fora de casa: nada de reencaminhamento de portas para ela, nada de QuickConnect que não use. Um pormenor da análise merece ser repetido. O ransomware cifra também quaisquer cópias de segurança guardadas no mesmo NAS. Um snapshot no equipamento que foi atingido não é uma cópia de segurança.
A cópia de segurança com um clique do Tendvane copia Documentos, Imagens e Ambiente de Trabalho para um disco à sua escolha, e uma cópia num disco que pode desligar é exatamente o tipo que este ransomware não consegue alcançar.