Synology hat seine Kunden davor gewarnt, dass Angreifer mit der C3RB3R-Ransomware gezielt NAS-Geräte angreifen, auf denen veraltete Versionen der DiskStation Manager-Software laufen. Das Unternehmen forderte Nutzer auf, umgehend Updates zu installieren, nachdem es Angriffe festgestellt hatte, die eine bereits im Dezember 2024 behobene Schwachstelle ausnutzen.
Angreifer nutzen ältere Sicherheitslücke in DSM aus
Laut Synology versuchen die Angreifer, gespeicherte Daten zu verschlüsseln und für deren Wiederherstellung eine Zahlung zu verlangen. Das Unternehmen empfiehlt, DSM zu aktualisieren und automatische Updates zu aktivieren, um den Schutz aufrechtzuerhalten. Allerdings hat Synology die konkrete Schwachstelle hinter der laufenden Angriffskampagne nicht benannt.
Stattdessen verwies Synology in seiner Warnung auf eine Sicherheitsmitteilung vom November 2024, die drei Schwachstellen behandelt. Dazu gehören CVE-2024-10441, die die Ausführung beliebigen Codes ermöglicht, und CVE-2024-50629, die das Lesen von Dateien erlaubt. Die Sicherheitsmitteilung umfasst außerdem CVE-2024-10445, eine Schwachstelle, die das Schreiben von Dateien ermöglicht.
Obwohl die verlinkte Sicherheitsmitteilung relevante Informationen zu den verfügbaren Patches enthält, geht daraus nicht hervor, welche Schwachstelle die Angreifer derzeit ausnutzen. Daher bleiben Teile des technischen Angriffswegs unbekannt. Die bestätigte Gefahr betrifft Geräte, auf denen die erforderlichen DSM-Sicherheitsupdates noch nicht installiert wurden.
C3RB3R-Ransomware verschlüsselt Dateien und fordert Lösegeld
Die Warnung folgt auf zahlreiche Kundenberichte über verschlüsselte Dateien und Lösegeldforderungen in Höhe von mehreren Tausend US-Dollar. Betroffene Nutzer berichteten, dass die Schadsoftware ihren Dateien die Erweiterung .L0CK3D hinzufügte. Außerdem hinterließ sie eine Lösegeldforderung in einer Datei namens read-me3.txt.
Die Nachricht verweist die Opfer auf ein Dark-Web-Portal, das ein Tool namens C3rb3r Decryptor anbietet. Darüber hinaus bieten die Angreifer an, eine Datei kostenlos als Demonstration zu entschlüsseln. In ihrer Nachricht versuchen sie außerdem, die Opfer von der Nutzung externer Wiederherstellungssoftware abzuhalten.
Diese Aussagen stammen von den Angreifern und belegen nicht unabhängig, dass der Kauf ihrer Software die Daten tatsächlich wiederherstellen würde. Unterdessen deuten die Kundenberichte darauf hin, dass die Kampagne bereits mehr als zwei Wochen vor dem Bericht vom 2. November aktiv war. Synology hat keine bestätigte Zahl betroffener Nutzer veröffentlicht.
Synology nennt korrigierte DSM-Versionen
Nutzer sollten den öffentlichen Internetzugriff auf die Verwaltungsoberfläche ihres NAS-Geräts unterbinden und das entsprechende DSM-Update installieren. Die genannte Sicherheitsmitteilung führt die folgenden Mindestversionen auf, in denen die Schwachstellen behoben wurden. Synology empfiehlt jedoch grundsätzlich, die neueste für das jeweilige Gerät verfügbare DSM-Version zu verwenden.
| DSM-Versionszweig | Mindestversion mit Sicherheitskorrektur |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 |
| DSM 7.2.1 | 7.2.1-69057-6 |
| DSM 7.2 | 7.2-64570-4 |
| DSM 7.1 | 7.1.1-42962-7 |
| DSM 6.2 | 6.2.4-25556-8 |
Die Sicherheitsmitteilung stuft die Schwachstellen für die aufgeführten DSM-7-Versionszweige als kritisch und für DSM 6.2 als mittelschwer ein. Automatische Updates können dazu beitragen, dass Geräte nicht dauerhaft mit veralteter Software betrieben werden. Die Einschränkung des Zugriffs auf die Verwaltungsoberfläche verringert zudem die Angriffsfläche gegenüber Angreifern aus dem Internet.
Hunderttausende Geräte sind über das Internet erreichbar
Shadowserver erfasst mehr als 380.000 Synology-NAS-Geräte, die über das Internet erreichbar sind. Diese Zahl entspricht jedoch nicht der bestätigten Anzahl anfälliger Systeme. Aus den Daten geht weder hervor, wie viele Geräte bereits Sicherheitsupdates erhalten haben, noch wie viele davon Honeypots sind.
Die C3RB3R-Ransomware, auch bekannt als Cerber oder CerberImposter, richtete sich zuvor gegen Atlassian-Confluence- und GitLab-Server. Sicherheitsforscher beobachteten diese neuere Operation erstmals im Dezember 2021. Nachfolgende Kampagnen nutzten Schwachstellen in Servern aus. Obwohl die Ransomware den Namen Cerber verwendet, handelt es sich um eine andere Operation als die ältere Ransomware-Kampagne, die erstmals 2016 auftrat.
0 Kommentare zu „C3RB3R-Ransomware greift veraltete Synology-NAS-Geräte an“