Производителят на мрежови устройства за съхранение Synology призова клиентите си незабавно да актуализират софтуера DiskStation Manager (DSM) заради нарастващ брой атаки с рансъмуера C3RB3R. Нападателите използват уязвимост, за която има корекция още от декември 2024 г., за да криптират данните и да изнудват собствениците на компрометираните устройства.
В предупреждение от 30 октомври Synology съобщава, че е установила атаки срещу устройства с остарели версии на DSM. Компанията препоръчва незабавно инсталиране на последните актуализации и активиране на автоматичното обновяване.
Макар производителят да не посочва конкретната уязвимост, използвана в текущата кампания, той препраща към свой бюлетин за сигурността от ноември 2024 г. В него са описани три уязвимости, позволяващи изпълнение на произволен код (CVE-2024-10441), четене на файлове (CVE-2024-50629) и запис на файлове (CVE-2024-10445) върху неактуализирани устройства.
Кои версии на DSM трябва да бъдат актуализирани?
Synology определя уязвимостите като критични за повечето засегнати версии на DSM. Посочените минимални версии с корекции са:
| Версия | Сериозност | Необходима актуализация |
|---|---|---|
| DSM 7.2.2 | Критична | 7.2.2-72806-1 или по-нова |
| DSM 7.2.1 | Критична | 7.2.1-69057-6 или по-нова |
| DSM 7.2 | Критична | 7.2-64570-4 или по-нова |
| DSM 7.1 | Критична | 7.1.1-42962-7 или по-нова |
| DSM 6.2 | Умерена | 6.2.4-25556-8 или по-нова |
Производителят препоръчва също достъпът до уеб интерфейса за управление на NAS устройствата да бъде блокиран от интернет. Така се ограничава възможността външни нападатели да достигнат директно до административната среда.
Как действа рансъмуерът C3RB3R?
Предупреждението на Synology идва след множество сигнали от потребители, чиито файлове са били криптирани. Засегнатите съобщават за създаване на бележка за откуп с име read-me3.txt и добавяне на разширението .L0CK3D към криптираните файлове.
В съобщението си нападателите твърдят, че възстановяването чрез външен софтуер може да повреди файловете, и настояват жертвите да закупят инструмент за декриптиране, наречен „C3rb3r Decryptor“. Предлага се и безплатно възстановяване на един файл като доказателство, че инструментът работи.
Появилите се през последните седмици публикации на засегнати потребители показват, че кампанията вече има реални жертви. Исканите суми за декриптиране са в размер на хиляди долари.
Име с история в рансъмуер екосистемата
Използваният вариант C3RB3R, известен още като Cerber и CerberImposter, носи името на по-стара рансъмуер операция, появила се през 2016 г. Тя изчезва в края на 2019 г., след като заема значителен дял от глобалните рансъмуер атаки.
От декември 2021 г. нови варианти на C3RB3R са наблюдавани и при атаки срещу сървъри Atlassian Confluence и GitLab. Тогава кампаниите са използвали уязвимости за отдалечено изпълнение на код и заобикаляне на удостоверяването, включително CVE-2021-26084, CVE-2021-22205 и CVE-2023-22518.
Това не доказва пряка организационна връзка между старите операции и настоящите атаки срещу Synology. Съвпадението в името не е достатъчно, за да се приеме, че става дума за същите оператори.
Над 380 000 Synology устройства са видими от интернет
Според данните на Shadowserver в интернет са изложени повече от 380 000 NAS устройства Synology. Организацията обаче не уточнява колко от тях вече са актуализирани, нито колко представляват honeypot системи, използвани за наблюдение на заплахи.
Този брой не трябва да се приема като оценка на компрометираните устройства. Той показва потенциалния мащаб на публично достъпната инфраструктура, но не дава информация за реалния брой уязвими или засегнати системи.
За организациите, които използват NAS устройства за архиви, споделени файлове и резервни копия, актуализацията на DSM и ограничаването на административния достъп от интернет са непосредствени приоритети. Случаят напомня и за необходимостта резервните копия да бъдат защитени така, че криптирането на основното устройство да не унищожи единствената възможност за възстановяване на данните.
