Un ransomware cifra los NAS de Synology sin actualizar

Synology ha pedido a sus clientes que actualicen ya el sistema de sus NAS, DiskStation Manager (DSM), ante una oleada de ataques del ransomware C3RB3R. Según recoge BleepingComputer, la compañía avisa de que los atacantes están explotando una vulnerabilidad corregida en diciembre de 2024 contra equipos que siguen con versiones antiguas de DSM, para cifrar los datos y pedir un rescate.

Qué hay que hacer hoy

• Actualizar DSM a la última versión disponible.
• Activar las actualizaciones automáticas, como recomienda la propia Synology.
• Cortar el acceso desde internet a la interfaz web de administración del NAS.

Qué se sabe del ataque

Synology no ha concretado qué vulnerabilidad se está explotando ni qué modelos o versiones exactas están afectados. Su aviso enlaza a un boletín de seguridad de noviembre de 2024 con parches para tres fallos: ejecución de código arbitrario (CVE-2024-10441), lectura de archivos (CVE-2024-50629) y escritura de archivos (CVE-2024-10445). BleepingComputer pidió más detalles a la empresa y no obtuvo respuesta inmediata.

Los primeros casos aparecieron hace más de dos semanas. Quienes los han sufrido cuentan que el ransomware añade la extensión .L0CK3D a los archivos cifrados y deja una nota de rescate, read-me3.txt, que remite a un portal de la web oscura para comprar un «C3rb3r Decryptor» por miles de dólares. La nota advierte de que cualquier intento de recuperar los archivos con otras herramientas será «fatal» para ellos.

No es un aviso habitual: según el mismo medio, el anterior de este tipo lo publicó Synology en agosto de 2019, tras ataques de fuerza bruta masivos que acabaron en infecciones del ransomware eCh0raix. C3RB3R, que toma el nombre de una conocida operación de 2016, ya se usó antes contra servidores de Confluence y GitLab sin parchear.

Una diana en casa

Un NAS suele guardar lo más difícil de reponer: copias de seguridad, fotos, documentos. Tenerlo accesible desde internet es cómodo, pero convierte cada parche pendiente en una puerta abierta. La organización Shadowserver contabiliza más de 380.000 NAS de Synology expuestos a la red, aunque no sabe cuántos están ya protegidos ni cuántos son señuelos. Si el NAS es la única copia, el ransomware se lleva también la copia: conviene tener otra desconectada.

Fuente: BleepingComputer