Synology har varnat sina kunder för att angripare som använder C3RB3R ransomware riktar sig mot NAS-enheter med föråldrad DiskStation Manager-programvara. Företaget uppmanar användare att installera uppdateringar omedelbart efter att ha identifierat attacker som utnyttjar en sårbarhet som åtgärdades i december 2024.
Angripare utnyttjar en äldre säkerhetsbrist i DSM
Enligt Synology försöker angriparna kryptera lagrade data och kräva betalning för att återställa dem. Företaget rekommenderar att användare uppgraderar DSM och aktiverar automatiska uppdateringar för att upprätthålla skyddet. Synology har dock inte identifierat den specifika sårbarheten bakom den pågående kampanjen.
I stället hänvisade Synology till en säkerhetsvarning från november 2024 som omfattar tre sårbarheter. Dessa inkluderar CVE-2024-10441, som möjliggör körning av godtycklig kod, och CVE-2024-50629, som gör det möjligt att läsa filer. Säkerhetsvarningen omfattar även CVE-2024-10445, en brist som tillåter filskrivning.
Även om den länkade säkerhetsvarningen innehåller relevant information om korrigeringar fastställer den inte vilken sårbarhet angriparna för närvarande utnyttjar. Följaktligen förblir delar av den tekniska angreppsvägen okända. Det bekräftade hotet gäller enheter som fortfarande saknar nödvändiga säkerhetsuppdateringar för DSM.
C3RB3R ransomware krypterar filer och kräver betalning
Varningen följer efter ett stort antal kundrapporter om krypterade filer och krav på lösensummor på tusentals dollar. Drabbade användare uppgav att den skadliga programvaran lade till filändelsen .L0CK3D på deras filer. Den lämnade också ett meddelande med krav på lösensumma i filen read-me3.txt.
Meddelandet hänvisar offren till en portal på dark web som erbjuder ett verktyg kallat C3rb3r Decryptor. Dessutom erbjuder angriparna sig att dekryptera en fil kostnadsfritt som demonstration. Deras meddelande försöker också avskräcka offren från att använda återställningsprogram från tredje part.
Dessa påståenden kommer från angriparna och bevisar inte att ett köp av deras programvara kommer att återställa informationen. Samtidigt tyder kundrapporterna på att kampanjen redan hade pågått i mer än två veckor före rapporten den 2 november. Synology har inte lämnat något bekräftat antal drabbade.
Synology listar korrigerade DSM-versioner
Användare bör ta bort den offentliga internetåtkomsten till NAS-enhetens administrationsgränssnitt och installera rätt DSM-uppdatering. Den hänvisade säkerhetsvarningen listar följande lägsta korrigerade versioner. Synologys övergripande rekommendation är dock att använda den senaste tillgängliga DSM-versionen för respektive enhet.
| DSM-gren | Lägsta korrigerade version |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 |
| DSM 7.2.1 | 7.2.1-69057-6 |
| DSM 7.2 | 7.2-64570-4 |
| DSM 7.1 | 7.1.1-42962-7 |
| DSM 6.2 | 6.2.4-25556-8 |
Säkerhetsvarningen klassificerar bristerna som kritiska för de angivna DSM 7-grenarna och som måttligt allvarliga för DSM 6.2. Samtidigt kan automatiska uppdateringar bidra till att förhindra att enheter fortsätter använda äldre programvara. Begränsad åtkomst till administrationsgränssnittet minskar också exponeringen för internetbaserade angripare.
Hundratusentals enheter är tillgängliga via internet
Shadowserver övervakar fler än 380 000 Synology NAS-enheter som är exponerade mot internet. Den siffran motsvarar dock inte ett bekräftat antal sårbara system. Uppgifterna visar inte hur många enheter som har fått säkerhetsuppdateringar eller hur många som är honeypots.
C3RB3R ransomware, även kallat Cerber eller CerberImposter, har tidigare riktats mot Atlassian Confluence- och GitLab-servrar. Säkerhetsforskare observerade denna nyare operation för första gången i december 2021, och efterföljande kampanjer utnyttjade sårbarheter i servrar. Även om den använder namnet Cerber är den skild från den äldre ransomwareverksamheten som dök upp 2016.
0 svar till ”C3RB3R ransomware riktar sig mot föråldrade Synology NAS-enheter”