Synology har advart kundene sine om at angripere som bruker C3RB3R-løsepengevirus, retter seg mot NAS-enheter som kjører utdatert DiskStation Manager-programvare. Selskapet oppfordret brukerne til å installere oppdateringer umiddelbart etter å ha identifisert angrep som utnytter en sårbarhet det rettet i desember 2024.
Angripere utnytter en eldre sikkerhetsfeil i DSM
Ifølge Synology forsøker angriperne å kryptere lagrede data og kreve betaling for å gjenopprette dem. Selskapet anbefaler å oppgradere DSM og aktivere automatiske oppdateringer for å opprettholde beskyttelsen. Synology har imidlertid ikke identifisert den spesifikke sårbarheten bak den pågående kampanjen.
I stedet knyttet Synology advarselen til et sikkerhetsvarsel fra november 2024 som omfatter tre sårbarheter. Disse inkluderer CVE-2024-10441, som muliggjør kjøring av vilkårlig kode, og CVE-2024-50629, som gjør det mulig å lese filer. Sikkerhetsvarselet omfatter også CVE-2024-10445, en svakhet som tillater skriving til filer.
Selv om det refererte sikkerhetsvarselet inneholder relevant informasjon om sikkerhetsoppdateringer, fastslår det ikke hvilken sårbarhet angriperne for øyeblikket utnytter. Dermed forblir deler av den tekniske angrepsmetoden ukjent. Den bekreftede bekymringen gjelder enheter som fortsatt mangler nødvendige sikkerhetsoppdateringer for DSM.
C3RB3R-løsepengevirus krypterer filer og krever betaling
Advarselen kommer etter en rekke kunderapporter om krypterte filer og krav om løsepenger på flere tusen dollar. Berørte brukere opplyste at skadevaren la til filendelsen .L0CK3D på filene deres. Den etterlot også et løsepengebrev med filnavnet read-me3.txt.
Meldingen henviser ofrene til en portal på det mørke nettet som tilbyr et verktøy kalt C3rb3r Decryptor. I tillegg tilbyr angriperne å dekryptere én fil gratis som en demonstrasjon. Meldingen deres forsøker også å fraråde ofrene å bruke gjenopprettingsprogramvare fra tredjeparter.
Disse påstandene kommer fra angriperne og dokumenterer ikke at kjøp av programvaren deres vil gjenopprette dataene. Samtidig tyder kunderapportene på at kampanjen allerede hadde vært aktiv i mer enn to uker før rapporten 2. november. Synology har ikke oppgitt noe bekreftet antall ofre.
Synology oppgir korrigerte DSM-versjoner
Brukere bør fjerne offentlig internettilgang til NAS-enhetens administrasjonsgrensesnitt og installere den riktige DSM-oppdateringen. Det refererte sikkerhetsvarselet oppgir følgende laveste korrigerte versjoner. Synologys generelle anbefaling er imidlertid å kjøre den nyeste tilgjengelige DSM-versjonen for enheten.
| DSM-gren | Laveste korrigerte versjon |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 |
| DSM 7.2.1 | 7.2.1-69057-6 |
| DSM 7.2 | 7.2-64570-4 |
| DSM 7.1 | 7.1.1-42962-7 |
| DSM 6.2 | 6.2.4-25556-8 |
Sikkerhetsvarselet klassifiserer sårbarhetene som kritiske for de oppførte DSM 7-grenene og som moderat alvorlige for DSM 6.2. Samtidig kan automatiske oppdateringer bidra til å forhindre at enheter fortsetter å kjøre eldre programvare. Begrenset tilgang til administrasjonsgrensesnittet reduserer også eksponeringen for internettbaserte angripere.
Hundretusenvis av enheter er tilgjengelige via internett
Shadowserver overvåker mer enn 380 000 Synology NAS-enheter som er eksponert mot internett. Dette tallet representerer imidlertid ikke et bekreftet antall sårbare systemer. Dataene viser ikke hvor mange enheter som har mottatt sikkerhetsoppdateringer, eller hvor mange som er honeypoter.
C3RB3R-løsepengevirus, også kalt Cerber eller CerberImposter, har tidligere vært rettet mot Atlassian Confluence- og GitLab-servere. Sikkerhetsforskere observerte denne nyere operasjonen for første gang i desember 2021, og påfølgende kampanjer utnyttet sårbarheter i servere. Selv om den bruker Cerber-navnet, er den forskjellig fra den eldre løsepengevirusoperasjonen som dukket opp i 2016.
0 responses to “C3RB3R-løsepengevirus retter seg mot utdaterte Synology NAS-enheter”