Synology ha advertido a sus usuarios sobre un aumento de ataques del ransomware C3RB3r que afectan a dispositivos NAS con versiones desactualizadas de DSM. Para proteger sus datos y evitar el cifrado de archivos, la empresa insta a actualizar el software inmediatamente y activar las actualizaciones automáticas. También recomienda bloquear el acceso a la interfaz de gestión desde internet.

El fabricante taiwanés de dispositivos de almacenamiento conectado en red (NAS), Synology, advirtió a sus clientes que actualicen sus dispositivos inmediatamente debido a un aumento de los ataques de ransomware C3RB3r.

La empresa instó a los usuarios a habilitar las actualizaciones automáticas y a actualizar el software DiskStation Manager (DSM) que se ejecuta en sus dispositivos NAS a la versión más reciente para proteger sus datos.

"Synology ha identificado actores de amenazas que explotan una vulnerabilidad parcheada en diciembre de 2024 para atacar dispositivos que ejecutan versiones obsoletas de DSM. Estos ataques tienen como objetivo cifrar los datos y extorsionar un rescate", señaló en un aviso el jueves enlace.


"Synology insta encarecidamente a todos los usuarios que utilicen versiones vulnerables a actualizar DSM inmediatamente para proteger sus sistemas. Synology también recomienda habilitar las actualizaciones automáticas para mantener DSM actualizado en todo momento".

Un portavoz de Synology no estuvo disponible inmediatamente cuando se solicitó más información sobre estos ataques de ransomware C3RB3r.

Aunque Synology aún no ha compartido qué vulnerabilidad está siendo explotada en estos ataques en curso, enlazó a un aviso de seguridad de noviembre de 2024 enlace con información sobre parches lanzados para vulnerabilidades que permiten a los atacantes ejecutar código arbitrario (CVE-2024-10441), leer archivos (CVE-2024-50629) y escribir archivos (CVE-2024-10445) en dispositivos no parcheados.

Se aconseja a los usuarios de Synology que bloqueen inmediatamente el acceso a la interfaz web de gestión desde Internet y actualicen su software DSM para bloquear los intentos de los atacantes de hackear y cifrar sus dispositivos.

Producto Severidad Versión Corregida Disponibilidad DSM 7.2.2 Crítica Actualizar a 7.2.2-72806-1 o superior. DSM 7.2.1 Crítica Actualizar a 7.2.1-69057-6 o superior. DSM 7.2 Crítica Actualizar a 7.2-64570-4 o superior. DSM 7.1 Crítica Actualizar a 7.1.1-42962-7 o superior. DSM 6.2 Moderada Actualizar a 6.2.4-25556-8 o superior.

Synology rara vez emite avisos de seguridad advirtiendo de ataques dirigidos a los dispositivos de sus clientes, siendo la última alerta publicada en agosto de 2019 tras ataques de fuerza bruta a gran escala que provocaron infecciones por el ransomware eCh0raix.

El aviso de la semana pasada se produce tras una ola masiva de informes de clientes de Synology cuyos datos fueron cifrados y a quienes se les pidió comprar la herramienta "C3rb3r Decryptor" en un portal de la dark web por miles de dólares.

Los primeros informes surgieron hace más de dos semanas, con usuarios afectados enlace diciendo enlace que el ransomware enlace dejó una nota de rescate (read-me3.txt) y añadió la extensión .L0CK3D a los archivos cifrados.

"Todos sus archivos importantes han sido cifrados. ¡Cualquier intento de restaurar sus archivos con software de terceros será fatal para sus archivos! La única forma de descifrar sus archivos de forma segura es comprar el software de descifrado especial 'C3rb3r Decryptor'", advierte la nota de rescate.

"En esta página recibirá las instrucciones completas sobre cómo comprar el software de descifrado para restaurar todos sus archivos. También en esta página podrá restaurar cualquier archivo de forma gratuita para asegurarse de que 'C3rb3r Decryptor' le ayudará".

Nota de rescate de C3RB3R (BleepingComputer)

El ransomware Cerber (también conocido como C3RB3R y CerberImposter), ahora desplegado en ataques dirigidos a dispositivos NAS de Synology, tomó su nombre de un notorio Ransomware-as-a-Service (RaaS) con el mismo nombre que surgió en 2016.

Antes de desaparecer a finales de 2019, la antigua operación de ransomware Cerber representó más del 80% de todos los ataques de ransomware y una cuarta parte de todas las infecciones de ransomware en endpoints empresiales enlace.

A partir de diciembre de 2021, C3RB3R también se desplegó en servidores de Atlassian Confluence y GitLab como parte de varias olas de ataques que explotaban fallos de ejecución remota de código (CVE-2021-26084 y CVE-2021-22205) y omisión de autenticación (CVE-2023-22518).

El observatorio de amenazas de Internet Shadowserver rastrea ahora más de 380,000 dispositivos NAS de Synology expuestos a Internet enlace, pero no proporciona información sobre cuántos han sido ya asegurados contra estos ataques o son honeypots.




Fuente:
BleepingComputer