A Synology a C3RB3R zsarolóvírussal végrehajtott támadások megszaporodása miatt arra figyelmezteti ügyfeleit, hogy haladéktalanul frissítsék hálózati adattárolóikat. A támadók elavult DiskStation Manager rendszereket vesznek célba, titkosítják az eszközökön tárolt adatokat, majd váltságdíjat követelnek a helyreállításért. A gyártó közleménye szerint a támadások olyan NAS eszközöket érintenek, amelyeken a DSM sérülékeny verziója fut. A vállalat az azonnali frissítés mellett az automatikus frissítések bekapcsolását is javasolja, hogy a későbbi biztonsági javítások időben eljussanak az eszközökre.
A kihasznált sérülékenység pontos azonosítóját ugyanakkor a Synology nem nevezte meg. A vállalat egy 2024 novemberében kiadott biztonsági tájékoztatóra hivatkozott, amely többek között az alábbi hibák javítását ismerteti:
- CVE-2024-10441: tetszőleges kód végrehajtását lehetővé tevő sérülékenység.
- CVE-2024-50629: fájlok olvasását lehetővé tevő sérülékenység.
- CVE-2024-10445: fájlok írását lehetővé tevő sérülékenység.
Melyik DSM verzióra kell frissíteni?
A biztonsági tájékoztató a következő javított verziókat sorolja fel. Ezek az adott hibákhoz tartozó minimumverziók; a Synology a készülékhez elérhető legfrissebb DSM kiadás telepítését sürgeti.
- DSM 7.2.2-72806-1
- DSM 7.2.1-69057-6
- DSM 7.2-64570-4
- DSM 7.1.1-42962-7
- DSM 6.2.4-25556-8
.L0CK3D kiterjesztés és több ezer dolláros követelés
A gyártói figyelmeztetést számos felhasználói beszámoló előzte meg. Az első jelentések több mint két héttel korábban jelentek meg. Az érintettek titkosított adatokról és a visszaállításért követelt, több ezer dolláros váltságdíjról számoltak be. A beszámolók alapján a zsarolóvírus a titkosított fájlokhoz .L0CK3D kiterjesztést fűz, és read-me3.txt néven váltságdíjkövetelő üzenetet hagy hátra. Az üzenet azt állítja, hogy külső helyreállítóprogramok használata végzetes károkat okozhat a fájlokban, és kizárólag a támadók eszközével lehet biztonságosan visszaállítani az adatokat.
A támadók egy dark webes oldalra irányítják az áldozatokat, ahol a „C3rb3r Decryptor” nevű visszafejtő megvásárlását kínálják. A portálon egy fájl ingyenes visszafejtését is felajánlják a működőképesség bizonyítására.
A C3RB3R-t először 2021 decemberében észlelték. Korábbi támadási hullámokban Atlassian Confluence- és GitLab-szerverek ellen is bevetették.
Több mint 380 ezer interneten elérhető Synology NAS
A Shadowserver adatai szerint több mint 380 ezer Synology NAS érhető el az internet felől. Ez azonban nem a sérülékeny vagy már megtámadott készülékek száma. Az adatokból nem derül ki, hány eszköz kapta meg a szükséges javításokat, illetve hány lehet közülük megfigyelési célú csapdarendszer, azaz honeypot.