Synology har advaret sine kunder om, at angribere, der bruger C3RB3R-ransomware, er rettet mod NAS-enheder med forældet DiskStation Manager-software. Virksomheden opfordrede brugerne til straks at installere opdateringer efter at have identificeret angreb, der udnytter en sårbarhed, som blev rettet i december 2024.
Angribere udnytter en ældre sikkerhedsbrist i DSM
Ifølge Synology forsøger angriberne at kryptere lagrede data og kræve betaling for at gendanne dem. Virksomheden anbefaler at opgradere DSM og aktivere automatiske opdateringer for at opretholde beskyttelsen. Synology har dog ikke identificeret den specifikke sårbarhed bag den igangværende kampagne.
I stedet knyttede Synology sin advarsel til en sikkerhedsmeddelelse fra november 2024, der omfatter tre sårbarheder. Disse inkluderer CVE-2024-10441, som muliggør udførelse af vilkårlig kode, og CVE-2024-50629, som gør det muligt at læse filer. Sikkerhedsmeddelelsen omfatter også CVE-2024-10445, en svaghed, der tillader skrivning til filer.
Selvom den henviste sikkerhedsmeddelelse indeholder relevante oplysninger om sikkerhedsrettelser, fastslår den ikke, hvilken sårbarhed angriberne i øjeblikket udnytter. Derfor forbliver en del af den tekniske angrebsmetode ukendt. Den bekræftede risiko vedrører enheder, der stadig mangler de nødvendige sikkerhedsopdateringer til DSM.
C3RB3R-ransomware krypterer filer og kræver betaling
Advarslen kommer efter adskillige kunderapporter om krypterede filer og krav om løsepenge på flere tusinde dollar. Berørte brugere oplyste, at malwaren tilføjede filendelsen .L0CK3D til deres filer. Den efterlod også en løsesumsmeddelelse med filnavnet read-me3.txt.
Meddelelsen henviser ofrene til en portal på det mørke net, som tilbyder et værktøj kaldet C3rb3r Decryptor. Derudover tilbyder angriberne at dekryptere én fil gratis som en demonstration. Deres besked forsøger også at afholde ofrene fra at bruge gendannelsessoftware fra tredjeparter.
Disse påstande kommer fra angriberne og dokumenterer ikke, at et køb af deres software vil gendanne dataene. Samtidig tyder kunderapporterne på, at kampagnen allerede havde været aktiv i mere end to uger før rapporten den 2. november. Synology har ikke oplyst et bekræftet antal ofre.
Synology oplyser rettede DSM-versioner
Brugere bør fjerne offentlig internetadgang til NAS-enhedens administrationsgrænseflade og installere den relevante DSM-opdatering. Den omtalte sikkerhedsmeddelelse angiver følgende tidligste versioner med rettelser. Synologys generelle anbefaling er dog at bruge den nyeste tilgængelige DSM-version til den pågældende enhed.
| DSM-gren | Tidligste version med rettelse |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 |
| DSM 7.2.1 | 7.2.1-69057-6 |
| DSM 7.2 | 7.2-64570-4 |
| DSM 7.1 | 7.1.1-42962-7 |
| DSM 6.2 | 6.2.4-25556-8 |
Sikkerhedsmeddelelsen klassificerer problemerne som kritiske for de angivne DSM 7-grene og som moderat alvorlige for DSM 6.2. Samtidig kan automatiske opdateringer hjælpe med at forhindre, at enheder fortsætter med at køre ældre software. Begrænset adgang til administrationsgrænsefladen reducerer også eksponeringen over for internetbaserede angribere.
Hundredtusindvis af enheder er tilgængelige via internettet
Shadowserver overvåger mere end 380.000 Synology NAS-enheder, der er eksponeret mod internettet. Dette tal repræsenterer dog ikke et bekræftet antal sårbare systemer. Dataene viser ikke, hvor mange enheder der har modtaget sikkerhedsrettelser, eller hvor mange der er honeypots.
C3RB3R-ransomware, også kaldet Cerber eller CerberImposter, har tidligere været rettet mod Atlassian Confluence- og GitLab-servere. Sikkerhedsforskere observerede denne nyere operation for første gang i december 2021, og efterfølgende kampagner udnyttede sårbarheder i servere. Selvom den bruger Cerber-navnet, er den forskellig fra den ældre ransomwareoperation, der dukkede op i 2016.
0 svar til “C3RB3R-ransomware angriber forældede Synology NAS-enheder”