Synology opublikowało 29 października 2026 roku ostrzeżenie: napastnicy wykorzystują lukę, którą firma załatała w grudniu 2024 roku, żeby włamywać się do dysków sieciowych z nieaktualnym systemem DSM, szyfrować dane i żądać okupu. 2 listopada BleepingComputer powiązał te ataki z oprogramowaniem wymuszającym okup C3RB3R. Synology rzadko wydaje takie komunikaty. Według BleepingComputera poprzedni pochodzi z sierpnia 2019 roku, kiedy ataki na hasła metodą siłową rozniosły inne oprogramowanie tego typu, eCh0raix.

Co znajdują właściciele

Pierwsze zgłoszenia od poszkodowanych pojawiły się ponad dwa tygodnie przed komunikatem. Zaszyfrowane pliki dostają rozszerzenie .L0CK3D, a notatka read-me3.txt odsyła na stronę w ukrytej części sieci, gdzie za kilka tysięcy dolarów można kupić „C3rb3r Decryptor”. Notatka straszy też, że próby odzyskania plików cudzymi narzędziami skończą się ich utratą.

C3RB3R, opisywany też jako Cerber albo CerberImposter, pożycza nazwę od grupy z 2016 roku, która zniknęła pod koniec 2019 roku. Obecny działa od grudnia 2021 roku i wcześniej atakował serwery Atlassian Confluence i GitLab przez znane, dawno załatane luki.

Która luka i które wersje są bezpieczne

Synology nie podało, z której luki korzystają napastnicy. Komunikat odsyła do biuletynu Synology-SA-24:20, który opisuje luki, przez które napastnik może zdalnie uruchomić dowolny kod (CVE-2024-10441), odczytywać pliki (CVE-2024-50629) i je zapisywać (CVE-2024-10445). Minimalne wersje z poprawkami to:

  • DSM 7.2.2: 7.2.2-72806-1 lub nowsza,
  • DSM 7.2.1: 7.2.1-69057-6 lub nowsza,
  • DSM 7.2: 7.2-64570-4 lub nowsza,
  • DSM 7.1: 7.1.1-42962-7 lub nowsza,
  • DSM 6.2: 6.2.4-25556-8 lub nowsza (tu zagrożenie oceniono jako umiarkowane, a nie krytyczne).

To tylko dolna granica dla tego biuletynu. Synology radzi zaktualizować system do najnowszej wersji DSM, a nie poprzestawać na tych numerach.

Dlaczego domowy dysk sieciowy jest na celowniku

Na domowym dysku sieciowym często leżą nie tylko pliki: nagrania z kamer, kontenery Dockera, czasem Home Assistant albo jego kopie zapasowe. Kto kiedyś wystawił DSM do internetu, żeby mieć dostęp spoza domu, a potem przestał instalować aktualizacje, ma otwartą furtkę od prawie dwóch lat. Shadowserver widzi obecnie w internecie ponad 380 tys. dysków Synology, ale nie podaje, ile z nich ma poprawki.

Co zrobić teraz

  • Sprawdzić wersję DSM w Control Panel > Info Center (Panel sterowania > Centrum informacji) i zaktualizować system. Synology zaleca też włączenie automatycznych aktualizacji.
  • Odciąć interfejs DSM od internetu, jak radzi BleepingComputer. Usunąć przekierowania portów na routerze, a spoza domu łączyć się z dyskiem przez VPN.
  • Trzymać co najmniej jedną kopię zapasową, której sam dysk sieciowy nie może nadpisać, na przykład na odłączonym dysku albo na innym komputerze. Wtedy złośliwe oprogramowanie na dysku sieciowym nie zaszyfruje przy okazji kopii.

Dysk, który od lat nie dostaje aktualizacji DSM, w ogóle nie powinien być widoczny z internetu.