Los dispositivos NAS de Synology están siendo blanco de ataques del ransomware C3RB3R, los cuales aprovechan fallos de seguridad de 2024. Tras los informes del equipo de seguridad 360 y el Solar Emergency Response Team, la empresa ha instado a los usuarios a actualizar las versiones obsoletas de DiskStation Manager y sus paquetes. Las víctimas han reportado que sus archivos quedan cifrados con la extensión .L0CK3D.

Los dispositivos NAS de Synology se enfrentan a ataques de ransomware C3RB3R vinculados a fallos de seguridad de 2024, lo que ha llevado a la empresa a instarte a actualizar las versiones y paquetes obsoletos de DiskStation Manager.

La advertencia surgió tras los informes del Equipo de Seguridad 360 y el Equipo de Respuesta de Emergencia Solar el 29 de octubre. Las víctimas descubrieron que sus archivos estaban cifrados con la extensión .L0CK3D y contenían una nota de rescate llamada read-me3.txt.

Los equipos de seguridad han identificado provisionalmente el ransomware como C3RB3R. Los informes disponibles no establecen cuántos dispositivos han sido comprometidos.

El aviso de seguridad de Synology, registrado como Synology-SA-24:20, cubre tres vulnerabilidades reveladas tras el Pwn2Own 2024. Publicado el 5 de noviembre de 2024, recibió varias actualizaciones a medida que los parches estuvieron disponibles en las distintas ramas de DSM.

Aunque Appinn describió que las debilidades fueron solucionadas para diciembre de 2024, el historial de revisiones de Synology muestra que varios parches llegaron durante noviembre.

Se examinó anteriormente el fallo crítico CVE-2024-10441 en Synology DSM, que tiene una puntuación CVSS de 9.8 y permite la ejecución remota de código no autenticada sin interacción del usuario.

Synology NAS afectado por ataques de ransomware C3RB3R

El aviso también enumera la CVE-2024-50629, un fallo de webapi que permite a atacantes remotos leer archivos limitados, y la CVE-2024-10445. Este fallo de validación de certificados de actualización permite a un atacante adyacente escribir archivos limitados. Estas tienen puntuaciones de 5.3 y 4.3, respectivamente.

Los informes públicos no han establecido qué vulnerabilidad individual se utilizó en cada incidente de ransomware o si los atacantes las combinaron.

La cobertura inicial generó preocupación porque, según se informa, Solar investigó un dispositivo afectado que ejecutaba DSM 7.4.1-90080 Update 1. En esa etapa, los investigadores aún estaban examinando el punto de entrada y no habían descartado una vulnerabilidad desconocida.

El informe posterior atribuyó los hallazgos de Synology a debilidades antiguas ya parcheadas. Los relatos publicados no explican la aparente discrepancia ni confirman un nuevo ataque de día cero.

Los dispositivos NAS de Synology ya han enfrentado amenazas de ransomware anteriormente. Cyber Security News cubrió la investigación del ransomware Diskstation, que involucraba a criminales que atacaban sistemas de almacenamiento de Synology. Ese caso independiente proporciona contexto sobre la amenaza para los usuarios de NAS. Sin embargo, los informes disponibles no establecen ninguna conexión con C3RB3R.

El aviso de Synology enumera las versiones corregidas, incluyendo DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 y 6.2.4-25556-8. Estos son umbrales de parches históricos, no una recomendación para dejar de actualizar. Como administrador, debes instalar la última versión compatible con tu modelo de NAS y actualizar los paquetes oficiales y los componentes de terceros.

El informe inicial del incidente de Appinn recomienda eliminar el acceso directo por internet a la gestión de DSM y SSH, utilizar una VPN para conexiones remotas y revisar si hay inicios de sesión inusuales, administradores desconocidos y tareas programadas.

También te aconseja activar la autenticación de dos factores y mantener copias de seguridad independientes fuera de línea o en un sitio remoto. Para los usuarios afectados, esas copias de seguridad separadas pueden ofrecer una vía para recuperar los archivos cifrados. Actualizar sigue siendo necesario, pero esto por sí solo no restaura los archivos que ya han sido cifrados por el ransomware.